L'enquête de Binance sur sa récente faille de sécurité a dépassé la théorie initiale selon laquelle un simple ordinateur portable compromis avait déclenché l'incident. Le co-CEO Richard Teng a déclaré que les enquêteurs avaient identifié des points d'intrusion supplémentaires et reconstitué la manière dont l'attaquant a obtenu une approbation on-chain sur l'un des hot wallets de la plateforme. Il a ajouté qu'aucune fuite de clé privée n'avait été constatée. Binance s'est engagée à couvrir l'intégralité des pertes avec ses fonds propres et son Secure Asset Fund for Users (SAFU), la réserve d'urgence créée par la plateforme en 2018 pour couvrir les pertes dans des cas extrêmes.

Une attaque plus complexe qu'une intrusion en un clic

Dans un post sur X, le co-CEO Richard Teng a déclaré que Binance soupçonnait initialement que le piratage avait commencé par un ordinateur portable compromis. Les découvertes ultérieures ont mis en évidence davantage de points d'intrusion, rendant l'attaque considérablement plus complexe qu'une intrusion en un seul clic.

Selon Teng, l'attaquant a accédé à un conteneur de services, puis a soumis des transactions de retrait non autorisées. Il a souligné que l'incident n'était pas le fait d'un employé isolé ayant abusé de ses permissions, et Binance n'a attribué la responsabilité à aucun individu.

Les enquêteurs ont indiqué que l'attaquant avait déployé un mécanisme d'autodestruction pour effacer outils et traces, ce qui a ralenti la progression de l'équipe de sécurité dans la reconstitution du chemin d'attaque. Ce type de tactique d'effacement, communément décrit dans l'industrie de la sécurité comme des techniques anti-forensiques, est conçu pour entraver la reconstitution après incident.

Teng a également précisé que l'attaquant avait exploité EIP-7702, une fonctionnalité d'autorisation d'Ethereum, pour obtenir une approbation d'exécution on-chain sur un hot wallet de Binance. Cela a permis à l'attaquant de contourner les contrôles d'approbation habituels de Binance. EIP-7702 a été activé dans le cadre de la mise à jour Pectra d'Ethereum en mai 2025 et permet aux comptes utilisateurs standards d'adopter temporairement des fonctionnalités de smart contract, comme le regroupement de plusieurs opérations sous une seule autorisation.

La plateforme n'a signalé aucune faille dans EIP-7702 lui-même, indiquant plutôt que l'attaquant a utilisé cette fonctionnalité pour contourner ses contrôles internes. Binance a déclaré n'avoir trouvé aucune preuve que les clés privées des portefeuilles aient été exposées. L'enquête se poursuit et la plateforme prévoit de publier un post-mortem technique une fois ses conclusions vérifiées.

Binance réserve 6,34 milliards de dollars pour couvrir les pertes

Teng a affirmé que les fonds des clients n'avaient pas été affectés et que Binance indemniserait les utilisateurs. La plateforme a réservé plus de 6,34 milliards de dollars en fonds propres pour couvrir les actifs dérobés, selon une précédente mise à jour de Teng.

Selon Teng, environ 5 milliards de dollars sont déjà détenus dans les mêmes actifs impliqués dans l'incident, notamment BTC, ETH, BNB, USDT et USDC. Binance s'emploie à acquérir le montant restant via des achats sur le marché et des transactions de gré à gré.

La plateforme estime l'impact total de la faille à environ 6,3 milliards de dollars et indique qu'environ 3 milliards de dollars ont été gelés on-chain avec l'aide de partenaires blockchain. Teng a noté que la plupart des actifs des clients sont conservés dans des cold wallets et ne sont transférés vers des hot wallets que lorsque les utilisateurs demandent des retraits. Les cold wallets gardent les clés privées hors ligne, tandis que les hot wallets restent connectés à internet pour traiter les retraits des utilisateurs — la couche désormais au cœur de l'enquête et des efforts de remédiation.