Piratage 6,3 milliards $ : le PDG de Binance révèle de nouvelles failles

L’enquête s’étend au-delà de l’ordinateur portable

Binance a découvert d’autres points de violation au-delà de l’ordinateur portable de l’ingénieur initialement soupçonné, lors de son enquête sur le piratage de 6,3 milliards de dollars, a déclaré le co-PDG Richard Teng.

Dans une vidéo publiée le 30 octobre, il a déclaré : « Cette attaque n’a pas été menée par une seule personne. Notre enquête initiale suggérait que l’incident de sécurité pouvait impliquer un ordinateur portable compromis, mais notre enquête ultérieure a mis au jour d’autres points de violation. » M. Teng a décrit la destruction des preuves :

« Il s’agissait d’une attaque complexe. Le pirate a également utilisé un mécanisme d’autodestruction qui a détruit les outils et les traces au fur et à mesure, ce qui a rendu notre travail de traçage et d’enquête plus difficile. »

Dans sa déclaration précédente expliquant le déroulement de l’attaque, il avait souligné : « Soyons clairs : l’attaquant ne s’est pas contenté d’utiliser les droits d’accès d’un seul ingénieur, et il ne s’agissait pas d’une simple action en un « clic ». Le processus d’attaque était bien plus complexe. Notre enquête n’a attribué la responsabilité à aucune personne en particulier. »

Les contrôles de signature sous le feu des projecteurs

Expliquant l’échec de la validation, M. Teng a déclaré : « L’attaquant a utilisé un protocole de signatures multiples connu, l’EIP-7702, pour obtenir une autorisation d’exécution sur la chaîne concernant un portefeuille chaud. Cette délégation n’a pas franchi nos contrôles de validation habituels. » Le dirigeant a poursuivi :

« C’est pourquoi nous devons suspendre le service de retrait afin d’enquêter, de reconstruire et de tester à nouveau l’ensemble de l’infrastructure. »

La fonctionnalité EIP-7702 d’Ethereum permet à un portefeuille d’autoriser un code de contrat intelligent à agir en son nom, y compris pour transférer des actifs. La délégation d’un code malveillant peut permettre à un attaquant de prendre le contrôle de ces avoirs, tandis que l’approbation par signatures multiples constitue un contrôle distinct nécessitant plusieurs signatures.

Une analyse indépendante menée par TRM Labs sur les systèmes de signature de Binance a mis en évidence une compromission de son infrastructure de signature sur l’ensemble des blockchains. La société a cité des signatures valides provenant de portefeuilles utilisant différentes clés et différents schémas de signature comme preuve que des attaquants pouvaient amener les systèmes de Binance à autoriser des transferts. Cette découverte concernait le contrôle du processus de signature des transactions, tandis que M. Teng n’avait signalé aucune preuve de fuite de clé privée.

Par ailleurs, l’évaluation « on-chain » de la faille réalisée par Elliptic a identifié 50 autorisations pré-signées sur Ethereum. L’une d’entre elles permettait la délégation à un code contrôlé par les attaquants, qui a vidé à plusieurs reprises le portefeuille concerné à mesure que de nouveaux fonds arrivaient.

Les fonds de l’entreprise garantissent la couverture des pertes

Les fonds de l’entreprise réservés pour couvrir les pertes ont dépassé 6,34 milliards de dollars, a déclaré M. Teng. Sur ce montant, 5 milliards de dollars étaient déjà détenus sous forme de tokens concernés, notamment des USDC, USDT, BTC, ETH et BNB. Les achats de tokens restants se déroulaient via les marchés et les canaux de gré à gré afin de remplacer les actifs affectés par le piratage.

Dans la vidéo, le PDG de Binance s’est engagé à utiliser les fonds de l’entreprise pour couvrir l’intégralité des pertes, tandis que des déclarations antérieures avaient également fait référence au « Secure Asset Fund for Users » (SAFU). M. Teng avait rassuré les clients :

« En résumé, votre argent est en sécurité, et nous couvrons toutes les pertes. »

Il a attribué cette couverture aux bénéfices conservés en cryptomonnaies et a évoqué un réinvestissement à long terme dans l’activité et la sécurité. Concernant les actifs détenus sous la garde de la plateforme, il a déclaré : « Nous n’utilisons JAMAIS les fonds des clients ; ceux-ci ne sont donc pas affectés. Ce qui a été touché lors de cet incident, c’est le portefeuille chaud de Binance lui-même. Les actifs des utilisateurs sont conservés selon l’architecture de sécurité mise en place par Binance. La grande majorité d’entre eux se trouve dans des portefeuilles froids et n’est transférée vers un portefeuille chaud que lorsqu’un utilisateur effectue un retrait. »

La reprise des retraits en attente de tests

Teng a présenté les conditions de rétablissement des retraits : « Nous sommes en train de reconstruire le service de retrait, et nous ne le réactiverons pas tant qu’il n’aura pas passé avec succès des tests rigoureux. » Il a ajouté :

« Nous avons bon espoir que les utilisateurs puissent effectuer des retraits avant notre échéance de dimanche, ce qui devrait être le cas d’ici 40 heures. »

Dans le cadre de cette réponse, l’audit de sécurité à l’échelle de l’entreprise portait sur les terminaux, l’infrastructure cloud, la gestion des clés et les systèmes de signature.

Des mises à jour précédentes faisaient état de dépôts normaux, de la révocation des autorisations des adresses concernées et d’environ 3 milliards de dollars d’actifs gelés chez des partenaires. Les forces de l’ordre, les sociétés de renseignement spécialisées dans la blockchain, les émetteurs de tokens et d’autres plateformes d’échange s’efforçaient d’assurer le recouvrement des fonds et de déterminer les responsabilités. M. Teng a remercié les utilisateurs pour leur patience et les partenaires pour leur aide rapide, affirmant que Binance travaillait sans relâche pour indemniser intégralement les utilisateurs.

Parallèlement à la planification d’une analyse technique rétrospective une fois que les enquêteurs auront vérifié les conclusions, M. Teng a conseillé aux utilisateurs concernés de vérifier leurs soldes et de contacter le service d’assistance. Il s’est engagé à fournir un rapport complet de preuve des réserves d’ici le lundi 2 novembre, un premier aperçu pouvant être disponible plus tôt.