Mise à jour (30 oct. à 2 h 44 UTC) : cet article a été mis à jour pour inclure l'enquête préliminaire de Binance sur la faille de sécurité.

L'enquête initiale de Binance sur la faille cryptographique de plusieurs milliards de dollars pointe vers l'ordinateur compromis d'un ingénieur DevOps. La plateforme a indiqué vendredi que cette compromission aurait pu permettre à un attaquant d'accéder à un conteneur de service et de soumettre des transactions de retrait non autorisées. Elle a ajouté n'avoir trouvé aucune preuve de fuite de clé privée de portefeuille, tout en soulignant que son enquête se poursuit.

L'évaluation préliminaire de Blockaid va dans le même sens. S'exprimant auprès de Cointelegraph jeudi, le PDG de Blockaid, Ido Ben-Natan, a déclaré que l'incident semblait impliquer un « usage abusif de clés », dans lequel des attaquants ont trompé ou compromis un système de signature pour autoriser des transactions malveillantes sans extraire la clé privée sous-jacente.

« Il semble s'agir … d'une compromission de l'infrastructure de signature. Nous ne pensons pas qu'une clé ait fui », a-t-il déclaré. L'évaluation de Ben-Natan s'appuyait sur l'expérience de Blockaid avec des attaques similaires et sur ses observations de l'activité onchain.

Binance estime l'impact à 6,3 milliards de dollars et gèle environ 3 milliards

Binance a annoncé ses conclusions préliminaires dans un communiqué sur X, estimant l'impact total de l'incident à environ 6,3 milliards de dollars et indiquant avoir travaillé avec des partenaires blockchain pour geler environ 3 milliards de dollars d'actifs volés onchain. Si elle se confirme, cette estimation dépasserait le vol Bybit de février 2025, jusqu'ici le plus important piratage recensé dans l'histoire des cryptomonnaies.

La plateforme a déclaré qu'elle couvrirait l'intégralité des pertes grâce à son Secure Asset Fund for Users (SAFU) et à ses fonds propres, précisant que les fonds des utilisateurs étaient en sécurité. SAFU est un fonds d'assurance d'urgence créé par Binance en 2018, financé par une partie des frais de trading et conçu pour couvrir les pertes des utilisateurs dans des cas extrêmes. Elle s'est également engagée à publier une mise à jour de sa Preuve de Réserves, la méthode cryptographique utilisée par les plateformes pour démontrer qu'elles détiennent les actifs adossés aux soldes de leurs clients.

Les dépôts et retraits ont été temporairement suspendus le temps des vérifications de sécurité, et Binance a indiqué avoir révoqué l'autorisation de l'adresse concernée. La société collabore avec les forces de l'ordre et des partenaires de renseignement blockchain pour tracer et récupérer les fonds, et elle a déclaré publier une analyse technique détaillée une fois l'enquête terminée et les faits entièrement vérifiés.

Blockaid identifie une délégation malveillante de portefeuille

Dans une analyse onchain publiée sur X, Blockaid a indiqué que l'attaquant avait regroupé 50 autorisations EIP-7702 en une seule transaction ciblant Binance 14. Une autorisation aurait correspondu au nonce requis du compte, permettant son acceptation.

L'EIP-7702, déployé avec la mise à niveau Pectra d'Ethereum en mai 2025, permet à un compte de déléguer son exécution à du code de contrat intelligent. Blockaid a précisé que le compte affecté avait été délégué à un contrat sweeper non vérifié, permettant à un opérateur désigné de drainer des jetons et de l'Ether.

À lire aussi : Le piratage de Binance ébranle les marchés crypto, le BNB chute de 7 %, le Bitcoin recule

Ben-Natan a indiqué à Cointelegraph que l'opération aurait pu impliquer plusieurs appareils compromis et des déplacements dans le réseau interne de la plateforme.

Avant la dernière mise à jour de Binance, le PDG d'Arkham, Miguel Morel, avait déclaré à Cointelegraph que les informations étaient insuffisantes pour déterminer si l'attaque impliquait des clés volées ou une infrastructure compromise. « D'après ce que nous pouvons constater, le piratage semble toujours en cours », avait-il déclaré à l'époque.

Comparaison avec la Corée du Nord et Bybit

Interrogé sur la question de savoir si la manipulation supposée de la signature ressemblait à l'attaque contre Bybit de février 2025, Ben-Natan a décrit les deux incidents comme « très, très similaires ». Dans ce cas, la mise à jour judiciaire publiée par Bybit indiquait que les attaquants avaient compromis les identifiants d'un développeur de Safe, accédé à l'infrastructure du fournisseur de portefeuille et trompé les signataires pour approuver une transaction malveillante. Le FBI a attribué ce vol, estimé à environ 1,5 milliard de dollars, à des pirates liés à la Corée du Nord.

Ben-Natan a également déclaré que l'activité ressemblait à des opérations liées à la Corée du Nord, citant la familiarité de Blockaid avec ces attaques. Il a pointé des préparatifs onchain sophistiqués, mais a souligné que l'attribution restait non confirmée.

Binance n'a pas identifié les attaquants, indiquant collaborer avec les forces de l'ordre pour établir leur identité.

Magazine : Un Ledger falsifié signalé à Singapour un mois avant l'annonce : Asia Express