if ( !emtpy($headline_subheadline ) ) : ?>
L’échange a signalé avoir reconstitué la plupart des actifs cryptographiques volés lors de la violation impliquant l’ordinateur portable compromis d’un ingénieur. Le FBI a attribué le vol à des pirates informatiques nord-coréens.
endif; ?>
Binance a imputé la perte de 6,3 milliards de dollars en crypto-monnaie à un ordinateur portable DevOps compromis la semaine dernière, ajoutant qu’il couvrirait désormais toutes les pertes subies par ses clients.
« Binance couvrira toutes les pertes du Secure Assets Fund for Users (SAFU) et des fonds de l’entreprise », a déclaré vendredi la plus grande bourse de crypto-monnaie au monde, ajoutant que les fonds des utilisateurs sont en sécurité et qu’elle n’a trouvé aucune preuve de fuite de clé privée du portefeuille au cours de son enquête sur l’incident. Il avait gelé environ 3 milliards de dollars d’actifs en chaîne, suspendu temporairement les retraits pendant que les contrôles de sécurité étaient terminés et révoqué l’autorisation d’adresse concernée.
Les retraits sont désormais rétablis par étapes, rouvrant initialement les services sur 15 réseaux, dont Bitcoin, Ethereum, Solana et XRP. Binance affirme avoir reconstitué environ 95 % des actifs concernés à l’aide des fonds de l’entreprise, tandis que les 5 % restants, comprenant des jetons moins liquides, pourraient prendre plus de temps à se procurer.
La bourse a déclaré que son enquête préliminaire avait mis en évidence un appareil d’employé compromis qui permettait d’accéder à un conteneur de service impliqué dans les retraits.
« Cette attaque, qui aurait visé un ingénieur de développement, met en évidence que la sécurité est un élément essentiel à chaque étape opérationnelle et à chaque niveau de personnel », a déclaré Tim Rawlins, conseiller principal et directeur de la sécurité chez NCC Group. « Lorsque les failles de sécurité des identités de confiance et des accès administratifs peuvent être ciblées, les attaquants peuvent exploiter bien plus que les vulnérabilités techniques sous-jacentes. »
Le FBI a depuis attribué l’attaque à des acteurs menaçants nord-coréens, identifiant le groupe de piratage TraderTraitor comme responsable du vol.
« Compte tenu de ce que nous savons sur les activités de pays comme la Corée du Nord visant à cibler les crypto-monnaies, il n’est pas surprenant que les attaquants soient prêts à investir des efforts considérables pour cibler les individus qui ont accès aux éléments constitutifs des échanges », a déclaré Rawlins.
Un ordinateur portable compromis atteint le pipeline de retrait
Les conclusions préliminaires de Binance suggèrent que les attaquants ont compromis l’ordinateur portable d’un ingénieur DevOps avant d’accéder à un conteneur de service et de soumettre des retraits non autorisés. La bourse n’a pas encore publié les détails techniques de l’attaque, ce qui laisse des questions importantes sur le chemin précis de l’intrusion et sur la manière dont les attaquants ont parcouru ses systèmes internes.
« Une plate-forme détenant des actifs numériques doit disposer de plusieurs niveaux de sécurité pour éviter qu’une seule compromission, telle que le piratage de l’ordinateur portable d’un employé, ne suffise à autoriser un transfert », a déclaré Mario Rivas, responsable de la sécurité de la blockchain et des actifs numériques chez NCC Group.
L’attaque signalée est similaire à la violation Bybit de février 2025, dans laquelle des attaquants ont compromis la machine d’un développeur chez Safe{Wallet} et manipulé l’interface présentée aux signataires des transactions. Cependant, l’incident de Binance impliquait un mécanisme différent.
Le département de renseignement sur les menaces (TID) de F6 a déclaré que l’attaque de Binance aurait ciblé un processus de retrait automatisé plutôt que de tromper directement les signataires autorisés. Evgeniy Yanov, responsable du département d’audit et de conseil chez F6, a cité la plateforme de sécurité cryptographique Blockaid, soulignant un lot de 50 autorisations EIP-7702 au sein d’une seule transaction, ainsi qu’une délégation à un contrat de « balayeur » malveillant, comme caractéristique inhabituelle de l’attaque signalée.
« Ce mécanisme spécifique n’a jamais été observé auparavant dans des violations à grande échelle de cette ampleur », a déclaré Yanov.
Le FBI pointe du doigt l’opération TraderTraitor en Corée du Nord
Le FBI a attribué l’attaque à TraderTraitor, une unité de piratage informatique d’élite nord-coréenne considérée comme faisant partie de l’infrastructure plus large de Lazarus.
L’agence, en collaboration avec les services secrets américains et l’IRS Criminal Investigation, a déclaré avoir observé les attaquants convertir en privé des actifs volés en Ethereum. Il a averti que les fonds pourraient ensuite être blanchis via des plateformes financières décentralisées et des services d’échange instantané.
Le TID de F6 a déclaré que l’attribution était basée sur une combinaison d’intelligence en chaîne et hors chaîne. « La signature du groupe correspond aux vols précédents : de petits retraits de Tornado Cash utilisés pour alimenter le portefeuille de l’opérateur, une préparation approfondie bien avant le braquage proprement dit et des transactions pré-signées exécutées en une seule rafale », ajoute-t-il.
Les chercheurs du TID ont noté des similitudes avec de précédents vols de crypto-monnaie liés à la Corée du Nord, notamment les incidents Bybit et KelpDAO. Cependant, ils ont averti que Binance n’a pas nommé les auteurs de manière indépendante et que les preuves complètes de l’attribution n’ont pas été publiées.
Binance n’a pas immédiatement répondu à une demande de commentaire.
Rawlins, du groupe NCC, a noté que l’utilisation croissante de l’IA pourrait aider les attaquants à enchaîner les vulnérabilités et les faiblesses opérationnelles, tandis que les organisations sont de plus en plus confrontées à des adversaires prêts à investir des efforts considérables lorsque le retour financier potentiel est substantiel. « Une bonne cyber-hygiène et des principes fondamentaux de sécurité efficaces sont essentiels pour se défendre contre les attaques qui manquent encore à de nombreuses organisations », a-t-il déclaré.
