Binance révèle comment des hackers ont déplacé 6,34 milliards $ après une faille de signature des portefeuilles

Une attaque préparée pendant des mois

Selon Binance, l'attaque a commencé dès juin, lorsqu'un nouvel ingénieur Wallet DevOps a téléchargé un package logiciel modifié lors de l'installation d'un outil de codage basé sur l'IA. L'entreprise dit avoir repéré l'incident, puis avoir changé les identifiants et remplacé l'appareil, mais l'assaillant avait déjà obtenu des informations sur son mode de travail et sur les membres de son équipe.

En septembre, la cible a de nouveau été visée via un site légitime de recherche d'emploi. L'attaquant s'est fait passer pour un recruteur, a organisé un entretien vidéo puis a demandé à l'ingénieur de télécharger un exercice de code. Un malware présent dans le dépôt a ensuite été utilisé pendant l'installation pour s'exécuter sur l'ordinateur de travail.

Binance indique que les attaquants ont ensuite pu se servir de l'appareil usurpé et d'un outil d'IA interne pour accéder aux systèmes de deux autres ingénieurs. Le 20 octobre, ils auraient trouvé un token destiné aux déploiements de conteneurs, puis utilisé des identifiants volés pour lancer un conteneur et injecter du code malveillant dans l'environnement de portefeuille le 29 octobre.

Des transferts sur plusieurs réseaux

Les hackers ont ensuite accédé à un service interne de signature de portefeuilles, contournant ainsi la procédure habituelle de retrait. Binance estime que plusieurs réseaux ont été touchés : 233.46 million XRP via 5 Binance hot wallets, puis 970,503 SOL, 44.2 million OP et 18,270 BTC.

L'exchange précise aussi que les attaquants ont exploité EIP-7702, une fonctionnalité d'Ethereum permettant de déléguer des droits d'exécution à un contrat intelligent. L'équipe de recherche de Binance dit avoir détecté une manipulation malveillante de nonce à l'aide de 50 signing transactions, qui n'ont pas été retirées après la suspension des retraits.

Binance ajoute que la configuration de son portefeuille en Multi-Party Computation a compliqué l'intervention, puisqu'il n'existait pas de clé privée unique permettant d'annuler rapidement les autorisations malveillantes.

2,85 milliards de dollars gelés

Le co-PDG de Binance, Richard Teng, affirme que "plus de 2,85 milliards de dollars ont été gelés ou interceptés" avec l'aide des forces de l'ordre, des émetteurs de jetons et de sociétés d'intelligence blockchain. Il indique aussi que 98 % des jetons affectés avaient été réapprovisionnés au 31 octobre, le reste des actifs les moins liquides étant encore en cours d'achat.

Binance dit avoir reconstruit les systèmes de portefeuilles et les outils internes d'IA touchés, remplacé les appareils compromis, révoqué les identifiants et ajouté une détection comportementale des anomalies basée sur l'IA.