Binance s’est fait voler 6,3 milliards de dollars, l’essentiel en 20 minutes

Binance, la plus grande plateforme d’échange de cryptomonnaies au monde, a perdu environ 6,3 milliards de dollars au profit de pirates qui ont vidé ses portefeuilles en ligne sur dix blockchains, pour l’essentiel en une vingtaine de minutes. Il s’agit du plus grand vol de cryptomonnaies jamais enregistré, soit environ quatre fois le précédent record, les 1,5 milliard de dollars dérobés à la plateforme concurrente Bybit. Binance a suspendu les retraits le temps de déterminer comment les attaquants ont réussi à s’introduire dans ses systèmes. Pour l’instant, les détenteurs de cryptomonnaies sur la plateforme ne peuvent donc pas les en retirer.

La plateforme assure que ses clients ne supporteront pas le coût des pertes. « Binance couvrira l’intégralité des pertes grâce au fonds SAFU et aux fonds de l’entreprise. Les fonds des utilisateurs sont en sécurité », a-t-elle déclaré dans un communiqué, en référence à son Secure Asset Fund for Users, une réserve d’urgence constituée pour faire face à ce type d’incident. Les dépôts fonctionnent normalement. Le problème concerne l’accès aux fonds : tant que les retraits ne seront pas rétablis, le solde affiché sur un compte Binance pourra être consulté, mais pas transféré ailleurs. C’est précisément le risque que l’on prend lorsqu’on laisse ses cryptomonnaies sur une plateforme d’échange plutôt que dans un portefeuille que l’on contrôle.

La première explication avancée par Binance mettait en cause une seule machine. L’enquête préliminaire laissait penser qu’un pirate avait pu accéder à un conteneur de service grâce à l’ordinateur portable compromis d’un ingénieur DevOps, puis soumettre des transactions de retrait non autorisées. Quelques heures plus tard, l’entreprise a élargi le champ de ses conclusions, affirmant avoir « découvert d’autres points d’intrusion » et qualifiant l’incident d’attaque complexe. Le codirecteur général Richard Teng a écrit que « l’attaquant ne s’est pas contenté d’utiliser les autorisations d’un seul ingénieur, et il ne s’agissait pas d’une simple action “en un clic” ». Binance affirme n’avoir trouvé aucun indice de fuite d’une clé privée de portefeuille.

Les enquêteurs externes décrivent un braquage préparé à l’avance. La société d’analyse des blockchains TRM Labs a suivi environ 6,36 milliards de dollars sortis des portefeuilles Binance sur Ethereum, Bitcoin, Tron, le XRP Ledger, Solana et cinq autres réseaux. Elle a également repéré des essais du code d’attaque sur d’autres portefeuilles, plusieurs heures avant le vol. Comme des portefeuilles utilisant différents types de clés et mécanismes de signature ont tous généré des signatures valides pour l’attaquant en une trentaine de minutes, TRM estime que celui-ci a très probablement réussi à faire en sorte que le propre système de signature de Binance approuve les transactions de son choix.

TRM attribue l’attaque, avec un haut degré de confiance, à TraderTraitor, une unité de piratage nord-coréenne que le FBI avait tenue pour responsable du vol commis contre Bybit. Chainalysis est parvenu à la même conclusion. Binance, de son côté, n’a désigné aucun responsable.

La course pour bloquer les fonds a commencé quelques minutes après l’attaque. Les entreprises qui émettent les stablecoins peuvent les geler, et elles l’ont fait : Tether a bloqué environ 1,77 milliard d’USDT, Circle quelque 825 millions d’USDC et Ripple 40,5 millions de RLUSD. D’après TRM, le Security Council d’Arbitrum a également forcé le transfert d’environ 30 millions de dollars hors du portefeuille de l’attaquant sur son réseau. Binance estime qu’environ 3 milliards de dollars ont été gelés au total. Le Bitcoin et l’Ether n’ont pas d’émetteur en mesure de les bloquer. L’attaquant s’est donc empressé d’échanger les stablecoins contre de l’Ether, en vendant une partie avec une décote supérieure à 10 % pour les mettre hors d’atteinte.

C’est là que les assurances commencent à montrer leurs limites. TRM estime que l’attaquant contrôle toujours plus de 420 000 ETH et 18 270 BTC, soit environ 2,4 milliards de dollars que personne ne peut bloquer. La société s’attend à ce que les prochaines opérations passent par des ponts inter-chaînes, des services d’échange et des courtiers de gré à gré. Binance n’a pas précisé quelle part de sa réserve d’urgence sera mobilisée pour couvrir les pertes, et n’a pas publié de rapport sur leur cause profonde. Pour l’heure, la promesse que les fonds des utilisateurs sont en sécurité repose sur la parole de l’entreprise, et la découverte de « points d’intrusion supplémentaires » ne signifie pas que la faille a été colmatée.

Les plateformes d’échange sont des cibles de choix, car elles détiennent les cryptomonnaies de leurs clients dans des portefeuilles chauds, connectés à Internet afin de permettre des retraits rapides. Le mois dernier, Bitget a perdu 387,5 millions de dollars lors d’une attaque qu’elle a, elle aussi, imputée à la Corée du Nord. Le marché dans son ensemble a également été touché : après l’annonce, le Bitcoin et l’Ether ont reculé et s’échangeaient à environ 2 à 3 % de moins à la mi-journée à Hong Kong, selon CNN.

La suspension crée aussi une fenêtre d’opportunité pour les escrocs. Binance a appelé ses clients à « rester vigilants face aux arnaques » et à « ne pas faire confiance aux liens, messages ou demandes d’informations sur leur compte provenant de sources non officielles ». La plateforme n’a annoncé aucune procédure de remboursement ou de récupération qui demanderait des mots de passe, des codes de vérification ou des informations sur un portefeuille. Tout message proposant d’accélérer un retrait est donc une arnaque, quel que soit le logo affiché. Binance n’a pas indiqué si certains pays ou réseaux retrouveraient l’accès avant les autres.

Les retraits sont suspendus depuis environ 22 h 15 UTC le 29 octobre. Dans une mise à jour publiée le matin du 30 octobre, Binance a indiqué qu’elle prévoyait toujours de les rétablir dans un délai d’environ 45 heures, ce qui laisse envisager une reprise tôt le dimanche 1er novembre, sans toutefois préciser si tous les réseaux rouvriront en même temps. L’entreprise a promis de publier une mise à jour de son Proof of Reserves une fois les réparations terminées, ainsi qu’un rapport technique après la fin de l’enquête.

D’ici là, la plus grande plateforme d’échange de cryptomonnaies demande à ses clients une chose que les cryptomonnaies étaient justement censées rendre inutile : leur confiance.

Étiquettes: cybersécurité, cryptomonnaies, Binance, Bybit, Richard Teng, TraderTraitor