Le piratage record de Binance illustre précisément pourquoi les exchanges crypto offshore ont besoin d'une supervision américaine, a soutenu le président de la Commodity Futures Trading Commission (CFTC), Michael Selig, utilisant le vol d'environ 6,4 milliards de dollars pour appuyer la demande de l'agence en faveur d'un cadre réglementaire fédéral.

S'exprimant sur CNBC vendredi, Selig a déclaré que cette intrusion « démontre exactement notre argument » derrière les régulations du marché crypto que l'agence a proposées plus tôt ce mois-ci.

« Le véritable problème ici, c'est que ce sont des exchanges offshore non régulés, et ils ne disposent pas du même type de protections que celles dont nous disposons dans nos marchés financiers ici aux États-Unis », a-t-il déclaré, en défendant une « option fédérale » qui permettrait à ces plateformes de s'enregistrer auprès de la CFTC et de se soumettre aux mêmes normes de cybersécurité régissant les marchés américains.

Un ordinateur portable, pas une faille de la blockchain

Selig a cherché à minimiser le rôle de la technologie blockchain elle-même dans l'attaque. L'exploit, a-t-il dit, n'a pas compromis la blockchain sous-jacente — en l'occurrence Ethereum — ni ses smart contracts, mais a exploité une vulnérabilité qui, selon lui, a été « introduite depuis l'ordinateur de quelqu'un », le type d'incident de sécurité qui se produit également sur les marchés traditionnels.

Ce qui distingue la crypto, a-t-il expliqué, c'est la vitesse : les fonds volés peuvent circuler bien plus rapidement que dans la finance conventionnelle, et les attaquants peuvent les acheminer via des outils comme Tornado Cash pour brouiller les pistes.

Le portrait dressé par Selig pourrait toutefois être incomplet. Binance a d'abord attribué l'intrusion à l'ordinateur d'un ingénieur DevOps compromis, mais a indiqué vendredi que son enquête en cours avait depuis mis au jour « des points d'intrusion supplémentaires », le PDG Richard Teng décrivant une « attaque d'un processus plus complexe » qui « n'a pas simplement exploité les permissions d'un seul ingénieur ».

Et si le vol n'a pas révélé de faille dans Ethereum lui-même, l'attaque s'est en partie déroulée on-chain : l'attaquant a utilisé EIP-7702, une fonctionnalité d'Ethereum permettant aux portefeuilles ordinaires d'exécuter du code de smart contract, pour transformer un hot wallet de Binance — un portefeuille connecté à internet utilisé pour les retraits quotidiens — en « sweeper » au moyen de 50 autorisations pré-signées, drainant ses actifs.

La société d'analyse blockchain TRM Labs a indiqué que l'intrusion plus large pointe vers la compromission de l'infrastructure de signature de Binance plutôt que vers une faiblesse d'une quelconque blockchain. Cette conclusion compte dans le débat politique : elle situe la défaillance dans les opérations de l'exchange — la couverture qu'un régime fédéral d'enregistrement régulerait — plutôt que dans le code de la blockchain.

La transparence comme outil réglementaire

Selig a malgré tout présenté la transparence de la blockchain comme un avantage réglementaire. « Le fait que nous puissions retracer les transactions on-chain, même lorsque certaines de ces technologies sont utilisées pour brouiller ces traces, donne aux régulateurs un énorme potentiel pour exercer réellement leur rôle de police ici », a-t-il déclaré.

Ces propos aiguisent un plaidoyer réglementaire que Selig formule depuis plusieurs semaines. La CFTC a poursuivi son propre travail d'élaboration de règles crypto plutôt que d'attendre le Congrès, transmettant à la Maison-Blanche des propositions qui définiraient les contrats événementiels comme des « swaps » et évoquant un plan visant à soumettre les exchanges crypto à une supervision fédérale — dans le cadre d'une évolution plus large où les régulateurs ont pris la tête de la politique relative aux actifs numériques après l'enlisement du Clarity Act au Sénat. L'action de la Maison-Blanche sur ces propositions, et la possibilité que le Sénat revienne sur le Clarity Act, comptent désormais parmi les principaux indicateurs de cette dynamique de supervision.

Le piratage de Binance offre à cet effort un argument marquant. L'exploit est le plus important de l'histoire de la crypto, Binance ayant provisionné 6,34 milliards de dollars pour couvrir les pertes tout en rassurant ses utilisateurs sur la sécurité de leurs actifs. Le Secret Service et le FBI ont ouvert une enquête sur ce vol, et les sociétés d'analyse blockchain TRM Labs et Chainalysis l'ont attribué au groupe TraderTraitor nord-coréen. L'enquête de Binance est toujours en cours, et la capacité du traçage on-chain à suivre des fonds acheminés via des outils d'obfuscation comme Tornado Cash figurera parmi les éléments à surveiller à mesure que les enquêtes fédérales progressent.