Binance affirme qu’une cyberattaque qui a duré plusieurs mois, déclenchée par un outil de codage par IA altéré et un faux entretien d’embauche, a entraîné le vol d’environ 6,3 milliards de dollars d’actifs numériques. Dans un compte rendu publié mardi, la plateforme d’échange a décrit la manière dont des pirates ont compromis les ordinateurs d’employés et obtenu des identifiants leur permettant d’accéder à son infrastructure de portefeuilles, avant le vol du 29 octobre.
Selon le rapport de Binance, la campagne a débuté en juin, lorsqu’un ingénieur a téléchargé un paquet logiciel modifié en configurant un outil de codage par IA. Binance a détecté le logiciel malveillant et remplacé l’appareil concerné, mais affirme que les attaquants avaient déjà recueilli des informations sur son équipe chargée des portefeuilles.
En septembre, des pirates se faisant passer pour des recruteurs ont ciblé un autre ingénieur logiciel. Ils ont persuadé l’employé de télécharger un logiciel malveillant déguisé en exercice de codage, compromettant ainsi son ordinateur professionnel et contournant les protections de sécurité de la plateforme d’échange.
Le 20 octobre, les attaquants ont utilisé cet ordinateur et un outil d’IA interne pour accéder aux systèmes de deux autres ingénieurs et obtenir des identifiants de déploiement. Binance affirme que ces identifiants ont été utilisés le 29 octobre pour installer un logiciel malveillant dans son infrastructure de portefeuilles et accéder au service interne qui signe les transactions en cryptomonnaies, permettant ainsi de transférer des fonds en dehors de la procédure habituelle de retrait.
Les attaquants ont également utilisé le mécanisme EIP-7702 d’Ethereum, qui permet aux portefeuilles de déléguer des autorisations de transaction à des contrats intelligents. Binance a indiqué que ce mécanisme avait permis aux transferts non autorisés de se poursuivre après la suspension des retraits. Son système de portefeuille à calcul multipartite, qui répartit le contrôle de la signature des transactions, a rendu ces autorisations plus difficiles à révoquer.
Le dernier bilan de Binance indique que 2,85 milliards de dollars des actifs concernés avaient été gelés ou interceptés. La plateforme d’échange a déclaré qu’elle absorberait les pertes plutôt que de les répercuter sur ses clients et qu’elle avait reconstitué 98 % des actifs en jetons concernés au 31 octobre.
Le FBI a attribué l’attaque à des pirates informatiques nord-coréens. Mardi, Kim Yo Jong, la sœur du dirigeant nord-coréen Kim Jong Un, a nié l’implication de son pays et qualifié l’attribution du FBI de politiquement motivée. Richard Teng, co-PDG de Binance, a décrit l’incident sur X comme une campagne de plusieurs mois, plutôt que comme une erreur ou une violation isolée.
Sources: Cointelegraph.