Le géant de la cryptomonnaie Binance a annoncé jeudi qu'un incident de sécurité sur sa plateforme avait touché environ 6,3 milliards de dollars d'actifs. La plus grande plateforme d'échange de cryptomonnaies au monde a déclaré que près de 3 milliards de ces fonds avaient déjà été gelés sur la chaîne. En réponse à cette faille, les émetteurs de stablecoins Tether et Circle ont signalé avoir gelé respectivement plus de 1,567 milliard de USDT et 800 millions de USDC. De plus, le Conseil de sécurité d'Arbitrum a exécuté une transaction pour geler environ 30,5 millions de dollars liés à l'exploitation.

L'enquête initiale de Binance suggère que l'incident impliquait un ordinateur portable compromis d'un ingénieur DevOps, ce qui a permis à un attaquant d'accéder à un conteneur de service et de soumettre des transactions de retrait non autorisées. L'échange a précisé qu'il n'y avait aucune preuve de fuite de clé privée de portefeuille. Pour atténuer les pertes supplémentaires, Binance a temporairement suspendu les dépôts et les retraits, révoqué les autorisations des adresses affectées et fait appel aux forces de l'ordre et à des partenaires en matière d'intelligence blockchain. L'entreprise a confirmé qu'elle couvrirait toutes les pertes grâce à son Fonds d'actifs sécurisés pour les utilisateurs (SAFU) et à ses fonds internes, les retraits devant reprendre dans un délai de 48 heures suivant une refonte de la sécurité.

Cet événement marque le plus grand vol de cryptomonnaies enregistré à ce jour, surpassant le vol de 1,5 milliard de dollars perpétré chez Bybit en février 2025. La firme d'intelligence blockchain Chainalysis a estimé le montant volé à environ 5,912 milliards de dollars au moment du vol, soit près de quatre fois le montant pris lors du deuxième plus grand vol de cryptomonnaies. TRM Labs a attribué l'attaque avec une grande confiance à des acteurs menaçants nord-coréens, la liant au groupe TraderTraitor, qui était également derrière le vol chez Bybit en 2025 et le piratage de KelpDAO en avril 2026.

Selon TRM Labs, la préparation de l'attaque a commencé au moins 36 heures avant le vol. Les attaquants ont pris le contrôle d'un portefeuille chaud (hot wallet) de Binance en soumettant une seule transaction contenant 50 autorisations pré-signées. Cette technique impliquait de préparer des signatures pour des numéros de transaction consécutifs afin d'assurer leur validité lors de l'exécution. Trois minutes et 24 secondes après la délégation, l'opérateur a ordonné au portefeuille chaud de transférer son solde total, y compris 167 464 ETH et 63 jetons tels que 1,615 milliard de USDT, vers une adresse contrôlée par l'attaquant.

Le scientifique en chef d'Elliptic, le Dr Tom Robinson, a estimé que des acteurs liés à la Corée du Nord ont perpétré le vol, citant des méthodes similaires et le mélange de fonds provenant de l'exploitation récente de Bitget. Elliptic a noté que plutôt que de voler des clés privées, l'attaquant a manipulé les propres systèmes de Binance pour signer des transactions en son nom, une méthode ressemblant au vol chez Bybit où l'infrastructure et le personnel ont été compromis au lieu de la cryptographie. À ce jour, Tether, Circle, Ripple et World Liberty Financial ont gelé environ 2,67 milliards de dollars en stablecoins, tandis qu'Arbitrum a gelé environ 30 millions de dollars en ETH et ARB.

Malgré ces efforts, l'attaquant conserve le contrôle de plus de 420 000 ETH et 18 270 BTC, valorisés à environ 2,4 milliards de dollars, ainsi que de montants plus faibles sur d'autres chaînes. Elliptic a rapporté que bien que 2,84 milliards de fonds aient été gelés, l'attaquant contrôle environ 3,33 milliards de dollars d'actifs répartis sur environ 43 adresses de portefeuille qui ne peuvent pas être gelées par un émetteur. Cela inclut 511 861 ETH, 18 270 BTC, 233 millions de XRP et 670 millions de TRX.

Les liens avec la Corée du Nord sont basés sur plusieurs facteurs, notamment le mélange des fonds provenant des exploitations de Binance et Bitget dans la même adresse Ethereum. Les attaquants ont utilisé de petits retraits via Tornado Cash pour financer leurs portefeuilles et ont exécuté des transactions pré-signées en une seule rafale, des techniques observées lors de piratages précédents attribués au régime. Cependant, Elliptic a fait appel à la prudence dans l'attribution en raison d'écart dans les modèles de blanchiment ; contrairement aux groupes nord-coréens typiques qui échangent des stablecoins contre des actifs natifs en quelques minutes, cet attaquant a conservé les USDT volés pendant 37 à 46 minutes sans convertir la majeure partie et a utilisé des makers de marché et des protocoles de prêt DeFi différemment de ce qui a été observé après le piratage de Bybit.

Le co-PDG de Binance, Richard Teng, a déclaré que bien que l'incident ait pu commencer par un ordinateur portable compromis, l'attaque était complexe et ne constituait pas une simple action en un clic. L'entreprise a depuis révélé que son enquête en cours avait mis au jour des points de faille supplémentaires au-delà du compromis initial de l'ordinateur portable. Binance coordonne ses efforts avec les forces de l'ordre pour confirmer l'identité des criminels et les traduire en justice.

Sources: The Hacker News.