Le piratage de Binance, survenu le 29 octobre, fait désormais l’objet d’un premier rapport détaillant les méthodes employées par les attaquants. Il révèle une opération préparée pendant plusieurs mois, reposant sur une succession de compromissions humaines et techniques.
Selon Binance, environ 6,34 milliards de dollars d’actifs ont été affectés, dont 2,85 milliards gelés ou interceptés. La plateforme affirme prendre les pertes intégralement à sa charge et avoir déjà reconstitué 98 % des actifs concernés. Le FBI, cité dans le rapport, attribue l’opération à la Corée du Nord.
Juin : un premier ingénieur piégé
Tout commence en juin 2026. Un ingénieur de l’équipe Wallet DevOps télécharge une version compromise de Homebrew, un gestionnaire de paquets, pour installer un outil de programmation assistée par IA. L’anomalie est détectée, son ordinateur remplacé et ses identifiants renouvelés. Mais les attaquants ont déjà pu identifier son rôle et celui de ses collègues au sein de l’infrastructure des portefeuilles.
Septembre : un faux recrutement particulièrement élaboré
Un autre ingénieur est ensuite contacté sur une plateforme d’emploi par un individu se faisant passer pour un directeur de projet. Après deux faux entretiens, il est invité à télécharger un prétendu exercice technique sur son ordinateur professionnel. Le dépôt de code contient en réalité un logiciel malveillant qui remplace un composant légitime de l’outil de développement pyenv, communique avec un serveur contrôlé par les pirates et efface ses traces. Ce malware, exploitant une vulnérabilité inconnue (0-day), échappe aux protections installées sur le poste.
20 octobre : l’outil d’IA interne comme tremplin
Depuis l’ordinateur compromis, les attaquants exploitent un outil d’intelligence artificielle interne à Binance pour étendre leur accès à deux autres ingénieurs. Ils découvrent notamment, sur le poste du premier ingénieur compromis en juin, un jeton permettant de déployer des conteneurs sur l’infrastructure de l’entreprise.
29 octobre : prise de contrôle du service de signature
Les pirates se connectent alors à l’ordinateur d’un troisième ingénieur et utilisent le jeton dérobé pour déployer un conteneur et exécuter un script malveillant. Ils accèdent ainsi au service interne de signature des transactions des portefeuilles chauds (hot wallets) de Binance et peuvent déclencher des transferts en dehors de la procédure habituelle de retrait.
Entre 20 h 05 et 20 h 09 UTC, cinq portefeuilles chauds envoient 233,46 millions de XRP vers une adresse contrôlée par les attaquants. Environ 970 500 SOL et 44,2 millions d’OP sont également transférés, puis 18 270 BTC.
EIP-7702 : une autorisation qui échappe aux procédures habituelles
Les attaquants exploitent ensuite EIP-7702, un mécanisme d’Ethereum permettant à un compte de déléguer certaines capacités d’exécution à un contrat intelligent. Au moyen de 50 transactions de signature, ils établissent des délégations frauduleuses donnant à un contrat qu’ils contrôlent des droits d’exécution sur un portefeuille chaud.
Ces autorisations étant inscrites sur la blockchain, elles restent actives indépendamment de l’infrastructure de retrait de Binance. Suspendre les retraits ne suffit donc pas à interrompre les transferts. La révocation se révèle également complexe en raison du système de signature multipartite (MPC) utilisé par la plateforme, qui ne repose pas sur une clé privée unique. Binance doit mettre au point une procédure spécifique pour neutraliser les autorisations malveillantes.
Le dernier transfert non autorisé, de 2 961,9 ETH, est finalisé à 23 h 56 UTC. Les délégations frauduleuses sont finalement révoquées à 00 h 10 UTC le 30 octobre.
