Binance affirme que le vol de 6,34 milliards de dollars a commencé par un faux entretien d’embauche et un test de programmation piégé envoyé à un ingénieur en septembre

Binance a publié mardi ses premières conclusions sur le vol du 29 octobre, qui font remonter l’attaque à une fausse offre d’emploi. En septembre, un ingénieur logiciel de Binance a été contacté via une plateforme de recherche d’emploi légitime par une personne se présentant comme directeur de projet, a indiqué la plateforme d’échange. Après des entretiens avec une prétendue responsable des ressources humaines et un prétendu PDG, l’ingénieur a été invité à télécharger un exercice de programmation qui a installé une variante zero-day de logiciel malveillant que les outils de protection des postes de l’entreprise n’ont pas détectée.

Ce n’était pas la première tentative. En juin, un ingénieur de l’équipe Wallet DevOps de Binance avait installé un paquet Homebrew falsifié en cherchant un outil de programmation par IA ; Binance avait remplacé l’appareil et renouvelé les identifiants. À ce moment-là, selon Fortune, les attaquants avaient déjà appris le rôle de cet ingénieur et l’identité d’autres personnes gérant les portefeuilles de l’entreprise.

Le 20 octobre, selon Binance, l’attaquant a utilisé l’ordinateur infecté et un outil d’IA interne pour prendre le contrôle des machines de deux autres ingénieurs chargés des portefeuilles et a trouvé un jeton de déploiement de conteneurs. Le 29 octobre, il s’en est servi pour lancer l’attaque. Entre 20 h 05 et 20 h 09 UTC, cinq portefeuilles chauds ont envoyé 233,46 millions de XRP vers une adresse contrôlée par l’attaquant, et d’autres portefeuilles chauds ont envoyé environ 970 500 SOL, 44,2 millions d’OP et 18 270 BTC ; le dernier transfert, d’environ 2 962 ETH, a été finalisé à 23 h 56 UTC. L’attaquant avait utilisé le mécanisme EIP-7702 d’Ethereum pour donner à son propre smart contract (contrat intelligent) des droits d’exécution partiels sur un portefeuille chaud, et comme ce portefeuille reposait sur le calcul multipartite (MPC), aucune clé ne pouvait à elle seule les révoquer immédiatement, a expliqué Binance. La délégation malveillante a été supprimée le 30 octobre à 0 h 10 UTC.

« Cela n’aurait pas dû arriver, et nous nous excusons pour l’inquiétude, les perturbations et l’incertitude que cela a causées à nos utilisateurs », a écrit Binance. La plateforme indique qu’environ 2,85 milliards de dollars sont gelés ou interceptés, qu’elle avait remplacé 98 % des jetons touchés au 31 octobre et qu’elle a détecté et bloqué cette année 57 menaces informatiques présumées liées à la Corée du Nord. Le FBI a attribué le vol à la Corée du Nord, qui dément.