Binance évoque un possible ordinateur portable d’ingénieur compromis, tandis que TRM Labs et ZachXBT désignent la Corée du Nord, mais aucune attribution officielle n’a été faite

La manière dont l’attaquant est entré reste une question ouverte. Binance a déclaré que son enquête initiale suggérait que l’incident pourrait impliquer l’ordinateur portable compromis d’un ingénieur DevOps, ce qui aurait pu permettre à un attaquant d’accéder à un conteneur de service et de soumettre des retraits non autorisés. Elle a dit n’avoir trouvé aucune preuve d’une fuite de clés privées de portefeuille, et a souligné que ces conclusions sont préliminaires.

Pour ce qui est de l’identité des auteurs, les analystes de la blockchain pointent ailleurs. CoinDesk rapporte que TRM Labs a relié l’attaque, avec un haut degré de confiance, à TraderTraitor, un groupe de pirates nord-coréen, que ZachXBT a désigné le Lazarus Group comme l’auteur probable, et que Blockaid a lui aussi pointé la Corée du Nord. Bitcoin.com News souligne qu’aucune attribution officielle n’a été faite. Le vol de Bybit de février 2025 a été attribué à des pirates affiliés à la Corée du Nord, selon l’AFP.

Sur le plan technique, Bitcoin.com News rapporte que l’explication principale implique EIP-7702, une fonctionnalité d’Ethereum qui permet à un portefeuille d’autoriser un smart contract (contrat intelligent) à agir pour son compte. Une analyse de Blockaid a repéré une transaction de délégation comportant 50 autorisations, dont une correspondait, et les actifs du portefeuille ont été vidés environ trois minutes plus tard. Les enquêteurs examinent l’hypothèse d’une clé privée volée, d’un signataire autorisé piégé pour approuver des instructions malveillantes, ou d’un élément compromis de l’infrastructure de signature de Binance, sans qu’aucune ne soit établie.