Selon Binance, le vol de 6,34 milliards de dollars d’actifs, le 29 octobre, a fait suite à une opération de cinq mois qui a commencé par le téléchargement d’un logiciel altéré, puis s’est appuyée sur de faux entretiens d’embauche pour cibler des employés. La plateforme a détaillé l’attaque dans son premier rapport public sur l’incident, publié mardi, en même temps qu’une présentation du co-PDG Richard Teng et du directeur de la sécurité Jimmy Su.

D’après le rapport, les attaquants ont obtenu un premier point d’accès en juin, lorsqu’un ingénieur DevOps spécialisé dans les portefeuilles a téléchargé un programme d’installation modifié pour un outil populaire de programmation assistée par IA. Binance a détecté une anomalie, remplacé l’appareil et modifié les identifiants, mais indique que l’incident a révélé le rôle de l’ingénieur et les noms de ses collègues de l’équipe des portefeuilles.

En septembre, une autre ingénieure a été contactée sur une plateforme d’emploi légitime par une personne se faisant passer pour un directeur de projet. Après des entretiens vidéo avec des personnes affirmant représenter les ressources humaines et la direction de l’entreprise, elle a reçu un exercice de programmation à installer sur un ordinateur professionnel. Binance affirme que le dépôt contenait un composant logiciel légitime remplacé par une version malveillante, qui établissait une connexion avec un serveur contrôlé par les attaquants. À l’époque, ses outils de sécurité des terminaux n’ont pas détecté le logiciel malveillant.

Les attaquants ont ensuite utilisé l’ordinateur compromis et un outil interne d’IA pour accéder aux systèmes de deux autres ingénieurs spécialisés dans les portefeuilles. Le 29 octobre, ils se sont connectés à l’ordinateur d’un autre ingénieur, ont déployé un conteneur au moyen d’identifiants volés et ont commencé à transférer des actifs. Binance affirme que l’opération impliquait également un logiciel malveillant conçu pour échapper à la détection des terminaux.

Le rapport indique que cinq portefeuilles chauds ont envoyé 233,46 millions de XRP à une adresse contrôlée par les attaquants entre 20 h 05 et 20 h 09 UTC. Des transferts d’environ 970 500 SOL et 44,2 millions d’OP ont suivi, ainsi que 18 270 BTC provenant d’un portefeuille chaud de Binance.

Les attaquants ont également utilisé EIP-7702 d’Ethereum pour accorder à un contrat intelligent qu’ils contrôlaient une autorité partielle sur un portefeuille chaud de Binance. Binance indique que la suspension des retraits n’a pas bloqué cette voie, car les attaquants avaient soumis 50 transactions de signature créant des délégations sur la chaîne, en dehors de son infrastructure de retrait. Le dernier transfert non autorisé, d’un montant de 2 961,9 ETH, a été confirmé à 23 h 56 UTC. Binance a supprimé la délégation à 00 h 10 UTC le 30 octobre.

Binance a déclaré avoir gelé ou intercepté environ 2,85 milliards de dollars d’actifs volés et reconstitué 98 % des jetons concernés en utilisant ses propres fonds ; le reste est acheté sur le marché libre. L’entreprise a indiqué avoir reconstruit le système de portefeuilles et l’outil interne d’IA dans de nouveaux environnements, remplacé les appareils concernés, révoqué les identifiants et renforcé la détection des anomalies comportementales. Elle commande également un audit indépendant et accroît ses investissements dans la sécurité des terminaux et des environnements de développement.

Selon le rapport de Binance, le FBI a attribué l’attaque à la Corée du Nord, sans que Binance ne formule elle-même d’attribution. La Corée du Nord a rejeté cette accusation lundi. Binance a déclaré avoir bloqué cette année 57 autres tentatives présumées liées à la Corée du Nord, qui recouraient à des méthodes similaires.

Sources: Bitcoin Magazine.