Les superviseurs de la Réserve fédérale et du Bureau du contrôleur de la monnaie (OCC) ont commencé cette semaine à téléphoner aux banques américaines afin de vérifier si leurs systèmes présentaient des signes de compromission après le piratage de Binance, d'un montant de 6,3 milliards de dollars. Cette prise de contact a débuté le lundi 2 novembre — le jour même de l'entrée en vigueur d'une nouvelle règle de l'OCC et de la Federal Deposit Insurance Corporation (FDIC) qui restreint les cas dans lesquels les examinateurs peuvent contraindre les banques à corriger leurs failles de cybersécurité.

Les régulateurs vérifient les systèmes des banques à la recherche de vulnérabilités

Ce jour-là, les superviseurs de la Réserve fédérale et de l'OCC ont commencé à appeler les banques pour leur demander si elles avaient subi des interruptions de service ou constaté quoi que ce soit d'inhabituel sur leurs systèmes. Plusieurs personnes familiarisées avec cette démarche ont décrit ces appels au Reuters.

Une banque ayant reçu un appel a signalé aucune interruption. Son personnel avait préparé des éléments de langage destinés aux clients, mais n'a finalement eu à traiter que quelques questions. Binance a déclaré n'avoir aucune connaissance des échanges entre banquiers et régulateurs, mais a indiqué tenir les régulateurs du monde entier informés de la violation de sécurité.

Une nouvelle règle relève le seuil de correction obligatoire

La règle, adoptée par l'OCC et la FDIC le 27 août et publiée au Federal Register le 1er septembre, est entrée en vigueur le 2 novembre. Elle définit, pour la première fois dans la réglementation, ce qui constitue une « pratique dangereuse ou malsaine », selon la FDIC, et rend plus difficile l'émission d'un « matter requiring attention » (MRA) — la notification écrite formelle par laquelle les examinateurs demandent à une banque de corriger un problème.

Selon la nouvelle norme, les examinateurs doivent relier la faiblesse à un préjudice financier probablement grave pour la banque ou à une violation effective de la loi. Les problèmes ne remplissant pas ce critère deviennent des observations de surveillance, qui ne s'accompagnent d'aucun plan d'action, ne sont pas suivies comme des constats formels et n'ont pas à être portées à la connaissance du conseil d'administration.

La Réserve fédérale n'a pas adhéré à la règle, de sorte que les banques qu'elle supervise ne sont pas concernées ; la Fed a plutôt poursuivi une norme similaire via sa politique interne. L'OCC a conservé un pouvoir distinct permettant de contraindre les banques à corriger des failles de sécurité graves, même sans lien avec leurs finances, tandis que la FDIC a indiqué n'utiliser ce pouvoir que rarement, et uniquement selon la même norme stricte. Cette divergence tient à la structure de la supervision bancaire américaine : l'OCC agrée et supervise les banques nationales, la Fed supervise les banques membres de l'État fédéré et les sociétés de portefeuille bancaires, et la FDIC supervise les banques agréées au niveau des États qui ne sont pas membres de la Fed — ainsi, une même faiblesse de cybersécurité peut relever de régimes différents selon l'autorité qui supervise la banque concernée.

Les banques sondent leurs propres défenses

Selon des informations, les banques dissèquent le piratage de Binance et mènent des diagnostics sur leurs propres systèmes pour déterminer si elles pourraient résister à une attaque similaire. Dans les heures qui ont suivi le vol, une équipe de sécurité de l'une des plus grandes banques américaines a contacté ses homologues de Binance. L'équipe rédige actuellement un rapport interne qui, selon une source, pourrait conduire à une révision des systèmes de la banque et à d'éventuelles mises à jour de cybersécurité. La vitesse à laquelle s'améliorent les modèles d'IA rend plus difficile, pour les banques, de garder une longueur d'avance sur les attaquants, et les banques auraient commencé à consacrer des ressources importantes aux revues et aux correctifs de code.

Comment s'est déroulé le piratage de 6,3 milliards de dollars de Binance

Cryptopolitan avait précédemment rapporté qu'environ 6,3 milliards de dollars avaient été drainés de la plateforme lors de l'incident du 29 octobre, considéré comme le plus vol de cryptomonnaies jamais enregistré. Dans son rapport d'incident, Binance a indiqué que l'attaque avait commencé en juin, lorsqu'un ingénieur chargé des portefeuilles avait installé un outil de codage IA altéré, et s'était intensifiée en septembre après qu'un second ingénieur avait téléchargé du code malveillant à la suite d'un faux entretien d'embauche. Ces deux points d'entrée — un outil de développement compromis et un logiciel malveillant transmis via un processus de recrutement frauduleux — correspondent à des catégories d'intrusion bien documentées : la compromission de la chaîne d'approvisionnement logicielle et l'ingénierie sociale. Les attaquants ont ensuite utilisé un outil IA interne avec des identifiants volés pour accéder aux portefeuilles de la plateforme, selon les informations antérieures de Cryptopolitan (reportage précédent).

Le FBI a imputé l'attaque au groupe TraderTraitor de Corée du Nord dans une alerte du 31 octobre, une affirmation rejetée par Pyongyang. Le co-DG de Binance, Richard Teng, a déclaré que la plateforme avait remplacé environ 95 % des fonds volés grâce à ses propres réserves et demeurait financièrement solide. À partir de là, les points à surveiller sont les mises à jour continues de Binance aux régulateurs du monde entier, qu'elle a dit se poursuivre, ainsi que les résultats des diagnostics et des rapports internes que les banques ont entamés en réponse au vol.