Binance pointe vers l'ordinateur portable piraté d'un ingénieur dans la faille de 6,3 milliards de dollars

Mise à jour (30 oct. à 2h44 UTC) : Cet article a été mis à jour pour inclure l'enquête préliminaire de Binance sur la faille de sécurité.

Binance a déclaré que son enquête initiale sur la faille cryptomonnaie de plusieurs milliards de dollars pointait vers un ordinateur portable d’ingénieur DevOps compromis.

L’exchange a précisé que cette compromission aurait pu permettre à un attaquant d’accéder à un conteneur de service et de soumettre des transactions de retrait non autorisées. Aucune fuite de clés privées de portefeuille n’a été détectée, bien que l’enquête soit toujours en cours.

S’exprimant plus tôt jeudi devant Cointelegraph, Ben-Natan a indiqué que l’évaluation préliminaire de Blockaid pointait également vers une « mauvaise utilisation de clés », où les attaquants trompent ou compromettent un système de signature afin d’autoriser des transactions malveillantes sans extraire la clé privée sous-jacente.

« Il semble s’agir… d’une compromission de l’infrastructure de signature. Nous ne pensons pas qu’une clé ait été divulguée », a-t-il déclaré.

L’évaluation de Ben-Natan s’appuie sur l’expérience de Blockaid avec des attaques similaires et ses observations de l’activité sur la chaîne.

Binance estime l’impact à 6,3 milliards de dollars et gèle environ 3 milliards de dollars

Binance estime désormais l’impact total à environ 6,3 milliards de dollars et affirme avoir collaboré avec des partenaires blockchain pour geler environ 3 milliards de dollars d’actifs concernés sur la chaîne.

L’exchange a indiqué qu’il couvrirait toutes les pertes à l’aide de son Fonds sécurisé pour les utilisateurs (SAFU) et de fonds propres, précisant que les fonds des utilisateurs étaient protégés. Il s’est également engagé à publier une nouvelle preuve de réserves.

Binance a temporairement suspendu les dépôts et les retraits pendant ses vérifications de sécurité et a révoqué l’autorisation de l’adresse compromise. Il collabore avec les forces de l’ordre et des partenaires d’intelligence blockchain pour retracer et récupérer les fonds.

L’exchange publiera un rapport technique détaillé une fois l’enquête terminée et les faits pleinement vérifiés.

Blockaid identifie une délégation malveillante de portefeuille

Dans son analyse sur la chaîne publiée sur X, Blockaid a indiqué que l’attaquant avait regroupé 50 autorisations EIP-7702 dans une seule transaction ciblant Binance 14. Une autorisation correspondait apparemment au nonce requis du compte, ce qui lui a permis d’être acceptée.

L’EIP-7702 permet à un compte de déléguer l’exécution à un code de contrat intelligent. Blockaid a précisé que le compte concerné avait été délégué à un contrat de ramassage non vérifié, permettant à un opérateur désigné de vider les jetons et l’Ether.

Ben-Natan a déclaré à Cointelegraph que l’opération aurait pu impliquer plusieurs appareils compromis et des déplacements au sein du réseau de l’exchange.

Avant la dernière mise à jour de Binance, Miguel Morel, PDG d’Arkham, avait déclaré à Cointelegraph qu’il manquait encore d’informations pour déterminer si l’attaque impliquait des clés volées ou une infrastructure compromise.

« D’après ce que nous pouvons en dire, l’attaque semble toujours en cours », a-t-il déclaré à l’époque.

Corée du Nord, comparaison Bybit

Interrogé sur le fait de savoir si la manipulation présumée des signatures ressemblait à l’attaque Bybit de février 2025, Ben-Natan a qualifié les deux incidents de « très, très similaires ».

Dans ce cas, la mise à jour forensique publiée par Bybit indiquait que les attaquants avaient compromis les identifiants d’un développeur de Safe, accédé à l’infrastructure du fournisseur de portefeuilles et trompé les signataires afin qu’ils approuvent une transaction malveillante.

Ben-Natan a également déclaré que cette activité rappelait des opérations liées à la Corée du Nord, citant la familiarité de Blockaid avec ces attaques. Il a évoqué des préparatifs sophistiqués sur la blockchain, tout en soulignant que l’attribution restait non confirmée.

Binance n’a pas identifié les auteurs de l’attaque, précisant qu’elle collabore avec les forces de l’ordre pour déterminer leur identité.

Magazine : Ledger falsifié, rapporté à Singapour un mois avant la révélation de l’affaire : Asia Express