Quelques mois avant que Binance ne perde 6,3 milliards de dollars lors de ce qui est devenu le plus grand piratage d'une plateforme d'échange de crypto actifs de l'histoire, son directeur de la sécurité décrivait, dans une entrevue accordée à Cointelegraph, comment une fausse entrevue d'embauche pouvait offrir aux attaquants une porte d'entrée au sein de la plateforme. La tactique qu'il décrivait ressemblait étroitement à l'une des méthodes d'intrusion utilisées ultérieurement contre la plateforme. Cet épisode illustre comment le processus de recrutement d'une plateforme d'échange peut constituer en lui-même une surface d'attaque, au même titre que le code et l'infrastructure que les équipes de sécurité défendent habituellement.

Lors d'une entrevue en juillet sur la réponse de Binance à la montée des menaces de sécurité, le directeur de la sécurité Jimmy Su a déclaré que les fausses entrevues d'embauche étaient « quelque chose qui nous préoccupe beaucoup en interne ». Il a expliqué que des attaquants pouvaient adapter une offre d'emploi à un employé spécifique, puis le convaincre d'exécuter du code dans le cadre d'une évaluation technique.

« Et une fois que le code est exécuté, l'appareil est compromis et ils peuvent commencer à récolter des identifiants », a indiqué Su, ajoutant que les attaquants pouvaient ensuite utiliser cet accès pour pénétrer plus profondément dans le réseau.

L'avertissement détaillé de Su concernant les évaluations de code malveillantes n'avait pas été inclus dans la couverture de juillet de Cointelegraph, mais il prend un sens nouveau après le vol d'octobre. Selon l'enquête préliminaire de Binance, un ingénieur logiciel de la plateforme a téléchargé un exercice de code malveillant sur son ordinateur professionnel lors d'une fausse entrevue d'embauche en septembre. Cette compromission est devenue une partie de l'attaque en plusieurs étapes qui a culminé avec la violation d'octobre.

Su avait également anticipé la raison pour laquelle les outils de sécurité pouvaient ne pas détecter un tel piège. Une évaluation technique peut comporter des étapes en apparence légitimes, comme télécharger un dépôt de code depuis GitHub, avait-il expliqué en juillet.

« Chaque étape est en réalité légitime en soi. Ainsi, de nombreux outils antivirus peuvent ne pas être capables de la détecter et de la signaler », a-t-il déclaré.

L'enquête de Binance a ensuite décrit un échec de détection similaire, indiquant que le processus d'installation de l'exercice exécutait un malware qui a contourné les outils de sécurité des points de terminaison de la plateforme grâce à l'obfuscation et à d'autres techniques d'évasion.

Binance a déclaré que la responsabilité de détecter les attaques incombe à l'entreprise

Su a confié à Cointelegraph qu'il incombait à Binance de contenir le risque lorsque des employés poursuivaient des opportunités externes sur leurs ordinateurs professionnels.

« Bien sûr, les employés peuvent explorer des opportunités externes. Ce qui nous inquiète, c'est qu'ils le fassent sur l'appareil de l'entreprise », a-t-il déclaré. Si un employé tombe dans le piège d'une fausse entrevue, a-t-il ajouté, « la responsabilité de le détecter nous incombe » ainsi que celle « d'arrêter l'exécution effective de ce code ».

À lire aussi : des pirates nord-coréens créent des memecoins pour blanchir les fonds du piratage de Binance, selon la société d'analyse blockchain Elliptic.

Binance testait déjà ses employés face à de faux recruteurs. Su a indiqué que son équipe rouge interne menait des simulations de phishing mensuelles depuis trois à quatre ans, avec une formation de remédiation pour les employés qui échouaient.

« Au début, l'hygiène de sécurité laissait beaucoup à désirer. Mais après tout ce temps, l'entreprise s'est considérablement améliorée », a-t-il déclaré.

La compromission de septembre s'est néanmoins produite malgré ce programme de simulations pluriannuel, rappelant que la formation de sensibilisation seule ne ferme pas les approches adaptées à un employé spécifique — la méthode exacte que Su décrivait en juillet.

Cette menace modifie également la manière dont certains employeurs du secteur crypto évaluent les candidats potentiels, selon Kevin Gibson du cabinet de recrutement Proof of Search, qui a confié à Cointelegraph que des clients veulent de plus en plus savoir si les candidats ont été rencontrés en personne.

« Un certain nombre de nos clients nous demandent maintenant directement si nous avons rencontré un candidat en personne », a déclaré Gibson, ajoutant que les candidats rencontrés en personne par un recruteur tiers ont un avantage.

Les employés, comme dans le cas de Binance, peuvent aussi devenir des cibles. « Dans la crypto, une offre d'emploi douteuse ou un simple appel de remise en contact peut être la première étape d'un coup à plusieurs millions de dollars », a-t-il déclaré.

Pour les entreprises qui détiennent des fonds de clients, cela signifie que le canal du recrutement devient de facto une partie du périmètre de sécurité : un seul appareil professionnel compromis peut ouvrir un chemin vers des systèmes internes plus profonds, comme le décrit le propre récit de Binance sur la violation.

Binance bloque une cybermenace nord-coréenne tous les cinq jours

Binance a indiqué avoir bloqué 57 cybermenaces suspectées d'être liées à la Corée du Nord depuis le début de l'année, soit environ une attaque tous les cinq jours.

Ce rythme, conjugué au rapport d'Elliptic sur le blanchiment des fonds volés via des memecoins, témoigne d'une activité soutenue liée à la Corée du Nord visant la plateforme, plutôt que d'un incident isolé.

Après l'attaque d'octobre, Binance a déclaré avoir renforcé les contrôles des appareils, reconstruit les systèmes de portefeuille et les outils d'IA internes affectés, durci les contrôles d'accès et révoqué les identifiants compromis. La plateforme a également indiqué augmenter ses investissements dans la protection des points de terminaison et la sécurité de l'environnement de développement, et avoir fait appel à des experts indépendants en cybersécurité pour examiner l'incident. Certains détails techniques et mesures de sécurité resteraient confidentiels, a-t-elle précisé.

Les conclusions de Binance étant encore préliminaires et certains détails techniques non divulgués, les prochaines mises à jour de l'enquête et de l'examen des experts indépendants seront les développements à suivre pour comprendre plus pleinement comment les attaquants ont progressé dans les systèmes de la plateforme et quelles protections supplémentaires en découleront.