Des hackers nord-coréens auraient dérobé 6,36 milliards de dollars à Binance en environ 20 minutes, mais la plus grande plateforme d’échange de cryptomonnaies au monde s’emploie à faire en sorte que ses clients n’en paient pas le prix.
L’attaque du 29 octobre est le plus important vol de cryptomonnaies jamais enregistré, dépassant le piratage de Bybit à hauteur de 1,5 milliard de dollars en février 2025. La société de renseignement blockchain TRM Labs a attribué l’incident avec un haut degré de confiance à TraderTraitor, une unité de hackers nord-coréens également liée à l’attaque contre Bybit.
Binance a initialement suspendu les retraits sur plusieurs réseaux blockchain pendant l’enquête sur la faille. Dimanche, toutefois, la plateforme avait couvert environ 90 % des actifs dérobés et commencé à rétablir progressivement les retraits.
Une attaque de 20 minutes contre l’infrastructure de portefeuilles de Binance
Selon TRM Labs, les attaquants ont commencé leurs préparatifs au moins 36 heures avant le vol du 29 octobre, en testant du code malveillant et en préparant les autorisations de transaction.
La principale vague de retraits a commencé à 20 h 05 UTC, les portefeuilles de Binance sur plusieurs blockchains transférant des fonds vers des adresses contrôlées par les attaquants. Ces derniers ont déplacé la majeure partie des 6,36 milliards de dollars en environ 20 minutes. Une deuxième vague, impliquant des portefeuilles Avalanche et Polygon, a suivi vers 23 h 05 UTC.
L’enquête de TRM a identifié environ 3,79 milliards de dollars d’actifs liés à Ethereum, 1,47 milliard de dollars en Bitcoin et des actifs représentant plusieurs centaines de millions de dollars sur Tron et le XRP Ledger.
Les attaquants auraient compromis l’infrastructure de signature des retraits de Binance plutôt que de simplement dérober une clé privée. Sur Ethereum, ils ont utilisé des autorisations EIP-7702 pré-signées pour faire exécuter à un portefeuille à chaud de Binance un contrat intelligent malveillant qui a transféré ses fonds.
Binance a d’abord identifié l’ordinateur portable d’un ingénieur compromis ainsi qu’un accès non autorisé à un conteneur de services. Toutefois, le co-PDG Richard Teng a ensuite déclaré que les enquêteurs avaient découvert d’autres points de compromission et décrit une opération plus complexe.
« Les opérations de cybermonnaie de la Corée du Nord sont passées d’attaques répétées contre des plateformes d’échange et des projets d’actifs numériques à un modèle de revenus à l’échelle industrielle », a déclaré Justin Moore, directeur des opérations de lutte contre les adversaires chez Arctic Wolf, à eSecurity Planet. « Plutôt que de s’appuyer sur un seul type d’exploit, ces opérateurs ciblent les développeurs, les employés, les systèmes de signature et les infrastructures tierces, à la recherche du point où un accès de confiance peut être converti en transfert autorisé. »
Binance gèle et remplace des milliards d’actifs dérobés
La riposte a mobilisé des émetteurs de cryptomonnaies, des équipes de sécurité blockchain et des services répressifs. Tether, Circle, Ripple et World Liberty Financial ont gelé environ 2,67 milliards de dollars en stablecoins, tandis que le Security Council d’Arbitrum a gelé des ETH et des jetons ARB supplémentaires.
Binance a déclaré vendredi que des partenaires du secteur avaient contribué à geler environ 3 milliards de dollars d’actifs dérobés. Samedi, la plateforme avait affecté plus de 6,34 milliards de dollars de fonds de l’entreprise pour couvrir les pertes de ses clients.
Dans une mise à jour publiée samedi, Binance a déclaré avoir reconstitué environ 90 % des actifs dérobés. Les 10 % restants pourraient prendre plus de temps, car certaines cryptomonnaies étaient moins liquides et plus difficiles à acheter dans les quantités requises.
La plateforme a également commencé à rétablir progressivement les retraits, en rouvrant d’abord l’accès aux actifs fondés sur Ethereum et à certaines positions sur BNB Smart Chain, avant d’ajouter d’autres réseaux, dont Solana.
Des experts en sécurité alertent sur la compromission des accès des employés
L’incident soulève des questions sur la manière dont les plateformes d’échange protègent les systèmes qui autorisent les transactions, en particulier lorsque des employés ont accès à une infrastructure capable de déplacer des milliards de dollars.
Moore a déclaré que la compromission apparente des processus de retrait et de signature sur plusieurs blockchains représentait une escalade significative des opérations nord-coréennes de vol de cryptomonnaies.
« La caractéristique déterminante de l’incident Binance est la subversion apparente des processus de retrait et de signature de confiance sur plusieurs blockchains », a-t-il déclaré. Il a recommandé de mieux isoler les appareils des employés disposant de privilèges, de mettre en place une approbation indépendante pour les transactions à fort impact et de séparer l’infrastructure de signature des environnements de travail quotidiens.
Rand Davis, directeur de la technologie chez SecurityScorecard, a déclaré à eSecurity Planet que l’incident démontrait comment les attaquants ciblent les employés et les systèmes qui sous-tendent les contrôles de sécurité. Le Breach Susceptibility Indicator (BSI) de SecurityScorecard pour Binance s’établissait à 97. Selon l’entreprise, les organisations obtenant un score de 97 ou plus sont 39 fois plus susceptibles de subir une faille que la population de référence. Toutefois, cet indicateur mesure les problèmes de sécurité et l’exposition observés, et non la probabilité qu’une attaque se produise.
Davis a également averti que les organisations qui dépendent de plateformes d’échange et de dépositaires de cryptomonnaies devraient conserver une visibilité continue sur ces relations et se préparer à des situations dans lesquelles un prestataire suspend les retraits ou d’autres services.
Ce que la faille de Binance signifie pour les utilisateurs de cryptomonnaies
La décision de Binance de couvrir les pertes signifie que les clients dont les actifs ont été affectés ne devraient pas subir directement les conséquences financières du vol. Toutefois, l’incident a mis en évidence un autre risque lié à la conservation de cryptomonnaies sur des plateformes d’échange centralisées : l’accès aux actifs des clients dépend en partie de la sécurité de l’infrastructure interne de la plateforme.
Bien que Binance ait rétabli les retraits sur plusieurs réseaux, son approche progressive signifie que certains utilisateurs peuvent encore subir des retards pendant que la plateforme achève ses contrôles de sécurité. L’entreprise doit également terminer son enquête et publier une preuve de réserves actualisée.
Pour les entreprises qui détiennent des actifs numériques ou dépendent de plateformes d’échange pour leurs paiements et leurs liquidités, l’incident rend la planification des mesures d’urgence indispensable. Une plateforme peut rester financièrement capable de couvrir les fonds dérobés tout en restreignant temporairement l’accès aux avoirs de ses clients.
Le problème le plus important est que la compromission des accès d’employés de confiance et des systèmes d’approbation des transactions peut contourner des protections qui rendraient autrement les portefeuilles individuels difficiles à pirater. Le rétablissement de Binance peut rassurer les clients sur sa capacité à absorber la perte, mais l’incident laisse au secteur des cryptomonnaies un problème de sécurité plus difficile encore à résoudre.
À lire également : pour en savoir plus sur les opérations nord-coréennes de vol de cryptomonnaies, découvrez comment le piratage de KelpDAO à hauteur de 293 millions de dollars a exposé les faiblesses de la sécurité de la finance décentralisée et a été lié par des chercheurs au Lazarus Group.