Binance enquête sur un vol de cryptomonnaies de 6,3 milliards de dollars, qui pourrait être le plus important de l'histoire du secteur.
La plateforme d'échange a révélé l'incident le 29 octobre, après que des attaquants ont vidé les fonds de portefeuilles utilisés pour traiter les transactions. Binance a d'abord soupçonné la compromission de l'ordinateur portable d'un ingénieur, mais une enquête ultérieure a mis au jour d'autres points de compromission.
Les partenaires du secteur ont localisé ou gelé environ 3 milliards de dollars d'actifs touchés, tandis que Binance s'est engagée à couvrir les pertes des clients grâce à son fonds Secure Asset Fund for Users (SAFU) et à ses ressources propres.
Binance a temporairement suspendu les retraits, tandis que les dépôts restent opérationnels. Dans un article publié sur X, le coprésident-directeur général Yi He a déclaré que la plateforme travaillait à améliorer ses services de retrait et les contrôles associés aux adresses, les retraits devant reprendre dans les 48 heures.
Comment l'attaque s'est produite
Binance affirme que l'intrusion présumée remontait initialement à l'ordinateur portable compromis d'un ingénieur, ce qui pourrait avoir permis aux attaquants d'accéder aux systèmes internes. La plateforme a ensuite signalé avoir découvert d'autres points de compromission, sans fournir de détails techniques supplémentaires.
Le point d'entrée présumé montre pourquoi les postes de travail des développeurs peuvent constituer des cibles attrayantes pour les attaquants qui cherchent à accéder à des systèmes critiques.
« Binance n'a pas indiqué comment l'ordinateur portable a été compromis, mais les machines des développeurs sont attaquées quotidiennement », a déclaré Mackenzie Jackson, directeur technique régional chez Aikido Security.
Mackenzie Jackson a expliqué que des machines de développeurs compromises peuvent exposer des identifiants cloud, des clés SSH et des jetons d'accès que les attaquants peuvent utiliser pour se déplacer au sein des systèmes internes. Binance n'a toutefois pas confirmé que ces techniques avaient été utilisées dans cette attaque.
La société de renseignement sur la blockchain TRM Labs a déclaré que les attaquants avaient compromis l'infrastructure de signature des transactions de Binance, permettant des transferts non autorisés depuis les portefeuilles touchés. Selon son analyse, la majeure partie des cryptomonnaies volées a été déplacée en l'espace d'environ 20 minutes.
Binance n'a pas identifié les attaquants. Toutefois, les sociétés de renseignement sur la blockchain TRM Labs et Chainalysis ont associé l'incident à des pirates nord-coréens, en invoquant des similitudes avec des attaques précédentes et le déplacement des fonds volés.
Chainalysis a également indiqué que les produits d'une précédente attaque contre Bitget étaient mélangés à des actifs volés à Binance. L'enquête se poursuit et Binance n'a pas confirmé cette attribution.
Paolo Ardoino, PDG de Tether, a indiqué sur X que son entreprise avait gelé plus de 1,567 milliard de dollars de fonds soupçonnés d'être liés au piratage de Binance. L'Arbitrum Council a également indiqué qu'il avait gelé environ 30,8 millions de dollars de fonds liés à l'exploit.
Une réponse coordonnée limite le déplacement des fonds volés
L'incident Binance montre comment la coopération entre les plateformes d'échange de cryptomonnaies, les émetteurs de stablecoins et les sociétés de sécurité blockchain peut restreindre le déplacement des actifs volés.
Tether, Circle, Ripple et d'autres organisations ont entrepris de geler les cryptomonnaies liées à l'attaque. Toutefois, le gel des actifs ne garantit pas leur récupération. Si les émetteurs de stablecoins peuvent bloquer les transferts de certains jetons, des cryptomonnaies comme le bitcoin et l'ether ne peuvent pas être gelées de la même manière.
Cette réaction intervient également alors que les enquêteurs examinent d'éventuels liens avec des pirates nord-coréens, qui ont déjà ciblé des entreprises de cryptomonnaies en attaquant leurs employés et leurs systèmes internes.
« Cet incident se trouve encore dans la phase initiale de “brouillard de guerre”, et Binance devra prendre le temps d'enquêter pleinement sur la manière dont cette attaque s'est produite. Toutefois, les premiers rapports correspondent bien au mode opératoire du groupe connu sous le nom de TraderTraitor, une entité nord-coréenne soutenue par l'État et associée à de précédents vols de cryptomonnaies », a déclaré Rafe Pilling, directeur principal de la recherche sur les menaces chez Sophos.
Pour les plateformes d'échange de cryptomonnaies, cet incident souligne l'importance de sécuriser les postes de travail des développeurs, de restreindre l'accès à l'infrastructure de signature des transactions et de coordonner la réponse aux incidents avec des partenaires externes.
Les organisations doivent également disposer de procédures permettant d'identifier rapidement les transactions non autorisées et de collaborer avec les émetteurs concernés et les autorités judiciaires afin de limiter les pertes supplémentaires.
Les questions qui subsistent sont de savoir comment les attaquants ont pris le contrôle de systèmes critiques, quelle part des cryptomonnaies volées peut être récupérée et quand les clients de Binance retrouveront un accès normal aux services de la plateforme.
Autre actualité : Cathay Pacific a révélé une fuite de données impliquant le fournisseur de technologies de voyage Amadeus qui a exposé les informations d'environ 53 000 réservations de vols.