Les pirates ont volé environ 6,3 milliards de dollars d'actifs numériques à Binance, un important opérateur d'échange de crypto-monnaie.
Le braquage est plus de quatre fois plus important que le précédent vol de cryptographie le plus important. TRM Labs Inc., une start-up d'intelligence blockchain financée par du capital-risque, croit que les deux cyberattaques ont été menées par un groupe de piratage informatique soutenu par l'État nord-coréen et identifié comme TraderTraitor.
Environ 40 % de la somme volée était composée de pièces stables émises par trois grandes sociétés de cryptographie : Circle Internet Group Inc., Ripple Labs Inc. et Tether Ltd. Elles ont réussi à geler la plupart des fonds avant que les pirates ne les mettent hors de portée. Binance, pour sa part, a mis de côté plus de 6,34 milliards de dollars pour couvrir les pertes des utilisateurs.
Les pirates ont volé les fonds en compromettant plusieurs portefeuilles de l'entreprise. L'un d'eux alimente l'infrastructure que Binance utilise pour traiter les transactions Ethereum des clients. Selon TRM, les pirates ont piraté le portefeuille jeudi soir et envoyé l'intégralité de son solde vers un portefeuille qu'ils contrôlaient.
TraderTraitor a compromis le portefeuille de Binance en exploitant une fonctionnalité Ethereum appelée EIP-7702 que les responsables de la blockchain ont publiée l'année dernière. Il permet à un extrait de code appelé contrat intelligent de contrôler temporairement un portefeuille. EIP-7702 n'active les contrats intelligents que s'ils reçoivent l'autorisation d'exécution de l'opérateur du portefeuille. Cette autorisation prend la forme d'un message crypté.
Les pirates ont utilisé un contrat intelligent malveillant pour s'emparer du portefeuille Ethereum de Binance. On ne sait pas encore comment ils ont obtenu l'autorisation nécessaire pour exécuter un tel code.
Selon Binance, une enquête interne a déterminé que TraderTraitor avait compromis un ordinateur portable appartenant à l'un de ses ingénieurs DevOps. La société affirme avoir également « découvert des points de violation supplémentaires ».
« Les machines des développeurs et DevOps se trouvent à proximité des systèmes les plus sensibles des organisations et détiennent les informations d'identification, les jetons et l'accès au déploiement », a déclaré Kobi Sivilya, responsable de la sécurité de l'information de la société de cybersécurité Checkmarx Ltd. « La question pour toute organisation est de savoir jusqu'où un attaquant peut s'éloigner d'un seul poste de travail compromis. Les équipes doivent vérifier qui a un accès permanent à quels systèmes, si cet accès est correctement limité et si une machine peut atteindre les services critiques sans un deuxième contrôle. »
TRM a déterminé que TraderTraitor avait répété la cyberattaque pendant au moins 36 heures avant le vol. Mercredi matin, les pirates ont déposé une petite somme d’argent dans un portefeuille crypto malveillant. Jeudi matin, ils ont testé une partie du code qu'ils ont utilisé lors de la cyberattaque sur trois portefeuilles différents.
Selon Binance, le malware contenait un « mécanisme d'autodestruction » qui supprimait les outils installés par les pirates sur son infrastructure et les journaux d'activité qu'ils généraient. Ce mécanisme a rendu plus difficile pour l’entreprise d’enquêter sur l’attaque. Binance a cependant déterminé que les pirates avaient contourné les flux de travail d'approbation qu'il utilise pour traiter les sorties de cryptomonnaies.
« Les organisations qui s'appuient sur des bourses, des dépositaires ou toute contrepartie financière critique devraient se demander quelle visibilité continue elles ont sur ces relations », a déclaré Rand Davis, directeur de la technologie chez SecurityScorecard, à SiliconANGLE dans un e-mail. « Ils devraient également se demander quelle est leur stratégie lorsqu'une contrepartie interrompt les retraits ou les services. Les responsables de la sécurité peuvent profiter de ce moment pour cartographier les tiers qui se trouvent sur leurs chemins critiques, tester la pression des plans d'urgence et surveiller les suites de phishing et d'ingénierie sociale qui suivent généralement un événement majeur de cette ampleur. «
Binance a suspendu les dépôts cryptographiques et se retire sur son échange après avoir découvert la violation. La société a depuis rétabli ses dépôts, mais son système de traitement des retraits reste hors ligne. Binance prévoit de réactiver la fonctionnalité lundi.
