Binance a publié sa deuxième mise à jour sur l'incident de sécurité le 30 octobre, présentant un plan de récupération en quatre volets pour le récent piratage de la plateforme et visant le début de la reprise des retraits sous environ 34 heures après l'annonce. La reprise progressive des retraits restait conditionnée à l'achèvement des vérifications de sécurité, des mesures correctives et de la validation des systèmes concernés, tandis que les dépôts et les autres services non affectés continuaient de fonctionner normalement, selon l'annonce.

Les co-CEO Yi He et Richard Teng ont signé la mise à jour, qui situe la compromission du portefeuille chaud vers 20 h 05 UTC le 29 octobre. Les portefeuilles chauds sont des portefeuilles connectés à Internet que les plateformes utilisent pour traiter les retraits quotidiens, par opposition aux systèmes de stockage à froid hors ligne. S'agissant de la perte estimée à 6,3 milliards de dollars, le communiqué a souligné que les utilisateurs ne supporteront pas le coût :

« Binance absorbera l'impact financier de ces fonds volés, pas nos utilisateurs. »

La plateforme s'est engagée à couvrir les pertes via son fonds Secure Asset Fund for Users (SAFU) et sa trésorerie d'entreprise, c'est-à-dire ses réserves financières. Le SAFU est une réserve d'urgence établie par Binance en 2018 et financée par une partie des frais de trading.

Achats de tokens et gel on-chain

Binance a indiqué que plus de 6,34 milliards de dollars de fonds d'entreprise avaient été réservés pour couvrir les pertes, dont 5 milliards de dollars déjà détenus dans les tokens concernés. Ces avoirs couvraient environ 80 % des pertes portant sur des actifs tels que $USDC, $USDT, BTC, ETH et BNB, des achats via le marché et les circuits de gré à gré étant en cours pour acquérir les tokens correspondants restants. Les transactions de gré à gré sont négociées directement entre contreparties plutôt qu'exécutées sur des carnets d'ordres publics.

Environ 3 milliards de dollars avaient été gelés on-chain, a rapporté Binance, et les efforts de récupération se poursuivaient aux côtés des forces de l'ordre, des émetteurs de tokens, des sociétés de renseignement et d'autres plateformes. L'analyse indépendante de la société d'analyse blockchain Elliptic sur le traçage et le gel des actifs volés fait état de gels vérifiés à hauteur de 2,84 milliards de dollars au 30 octobre à 8 h UTC, concernant principalement $USDT et $USDC. Les fonds gelés restaient soumis aux travaux de récupération en cours.

Comme le traçage des actifs volés s'appuie sur les registres publics des transactions blockchain, les enquêteurs peuvent examiner directement on-chain les soldes et les transferts des portefeuilles. Par ailleurs, Binance a prévu un premier instantané de preuve de réserve (proof-of-reserves) dans les 12 heures suivant son annonce, avec des résultats attendus d'ici lundi 2 novembre, montrant les avoirs de la plateforme par rapport aux soldes des clients. Les attestations de preuve de réserve sont devenues une pratique de transparence répandue parmi les grandes plateformes après l'effondrement de FTX en 2022.

L'enquête pointe l'accès de signature

Les premières conclusions indiquent que l'ordinateur portable d'un ingénieur DevOps compromis a permis des soumissions de retraits non autorisées. Les ingénieurs DevOps maintiennent le déploiement des logiciels et l'infrastructure qui le soutient. Binance a affirmé n'avoir trouvé aucune preuve de fuite des clés privées des portefeuilles, les identifiants cryptographiques qui contrôlent l'accès aux fonds on-chain.

Dans une vidéo séparée du 30 octobre, Teng a décrit des points d'entrée supplémentaires, des contrôles d'approbation contournés et un mécanisme d'autodestruction qui a détruit les outils et les traces. Binance a déclaré avoir circonscrit l'infrastructure compromise, révoqué les autorisations concernées et introduit des contrôles supplémentaires contre les activités non autorisées, tandis que des spécialistes internes et externes travaillaient à reconstituer la séquence complète de l'attaque.

L'analyse de la société de sécurité blockchain Hypernative a identifié un accès de signature compromis et des signatures valides produites à partir de clés contrôlées par Binance. La société a décrit l'utilisation d'EIP-7702, une fonctionnalité d'Ethereum permettant à un portefeuille classique d'exécuter du code de contrat intelligent, pour exécuter du code contrôlé par l'attaquant via un portefeuille Binance.

Binance a indiqué attendre des conclusions techniques supplémentaires vérifiées sous environ 48 heures après l'annonce, sous réserve des impératifs de l'enquête, suivies d'un post-mortem détaillé couvrant l'attaque et les mesures de protection introduites en réponse.