Binance affirme que des pirates nord-coréens ont utilisé un faux entretien d’embauche pour infecter l’ordinateur d’un employé avec un logiciel malveillant, puis exploité leur accès aux systèmes internes de l’entreprise pour voler environ 6,34 milliards de dollars d’actifs numériques. La plateforme a détaillé l’attaque dans un rapport d’incident publié aujourd’hui, retraçant la faille jusqu’à une compromission entamée en septembre et ayant abouti au vol du 29 octobre.
Selon Binance, un attaquant a contacté un ingénieur logiciel par l’intermédiaire d’une plateforme légitime de recherche d’emploi, en se faisant passer pour un directeur de projet d’une entreprise fictive. Le recruteur a organisé deux entretiens, dont un appel vidéo avec une personne prétendant travailler aux ressources humaines. Pour le deuxième entretien, l’employé a été invité, via une application de discussion, à télécharger un exercice de programmation depuis un dépôt en ligne.
Binance affirme que le dépôt contenait du code malveillant qui a installé un logiciel malveillant personnalisé sur le Mac de l’ingénieur. Ce logiciel a remplacé un composant d’un outil de développement légitime, permettant aux attaquants d’exécuter des commandes depuis un serveur externe. L’entreprise a déclaré que les outils de sécurité des terminaux n’avaient pas détecté le logiciel malveillant à ce moment-là et que les attaquants avaient dissimulé leur activité et effacé les traces de la compromission.
Au 20 octobre, les attaquants avaient utilisé l’ordinateur de l’ingénieur et un outil interne d’intelligence artificielle pour compromettre deux autres employés travaillant sur l’infrastructure des portefeuilles de Binance. Binance affirme qu’ils ont obtenu des identifiants et un jeton de déploiement de conteneur. Le 29 octobre, ces identifiants ont servi à déployer un script malveillant et à accéder au service de signature des portefeuilles, permettant des transferts sur plusieurs chaînes de blocs. Les attaquants ont également utilisé le mécanisme d’autorisation EIP-7702 d’Ethereum pour continuer à voler des actifs après que Binance a suspendu les retraits.
Selon le rapport, le FBI a attribué l’attaque à des pirates parrainés par l’État nord-coréen, connus sous le nom de TraderTraitor et également suivis sous les noms de Lazarus Group, Jade Sleet et APT38. Binance n’a pas établi de lien entre l’incident et une campagne de piratage nord-coréenne particulière, mais le faux recruteur et l’exercice de programmation malveillant ressemblent à des tactiques documentées dans d’autres campagnes visant des développeurs et des travailleurs du secteur des cryptomonnaies.
Binance affirme avoir reconstruit les systèmes touchés, remplacé les appareils compromis et révoqué les identifiants volés. Au 3 novembre, environ 2,85 milliards de dollars d’actifs volés avaient été gelés ou interceptés. La plateforme a également indiqué qu’au 31 octobre, 98 % des actifs en jetons concernés avaient été reconstitués et qu’elle poursuivait son enquête avec l’aide de sociétés indépendantes spécialisées dans la sécurité.
Sources: BleepingComputer.