Détails du piratage
La plateforme Binance a révélé les détails d'une faille de sécurité majeure survenue le 29 octobre, qui a entraîné le vol d'actifs numériques évalués à environ 6,34 milliards de dollars. Selon le rapport d'incident, les attaquants, que le Federal Bureau of Investigation (FBI) a attribués au groupe Lazarus lié à la Corée du Nord, ont utilisé des méthodes d'ingénierie sociale sophistiquées pour s'introduire dans les systèmes internes de l'entreprise.
Séquence de l'attaque : d'un entretien d'embauche au piratage des portefeuilles
L'attaque a commencé en septembre dernier lorsqu'une fausse équipe de gestion de projet a contacté un ingénieur logiciel de Binance via une plateforme de recrutement. Pour donner une impression de crédibilité, les attaquants ont mené des entretiens vidéo en direct et ont utilisé de faux comptes sur les réseaux sociaux. Lors du deuxième entretien, il a été demandé à l'ingénieur de télécharger une « tâche de programmation » à partir d'un dépôt de code, qui contenait un logiciel malveillant non détecté (malware Zero-day).
Le logiciel malveillant a réussi à contourner les outils de protection de sécurité en remplaçant un outil de développement légitime (pyenv) par une version malveillante sur le système macOS, donnant ainsi aux attaquants un contrôle total sur l'appareil de l'ingénieur. Le 20 octobre, les attaquants ont exploité leur accès à l'appareil de l'ingénieur et à un outil d'intelligence artificielle interne pour pirater d'autres employés et obtenir des identifiants ainsi que des jetons de déploiement de conteneurs (container deployment tokens).
Pourquoi cette nouvelle est importante ?
Cette violation met en évidence les risques de « l'ingénierie sociale » ciblée contre les développeurs dans les entreprises technologiques sensibles. L'utilisation par les attaquants de logiciels malveillants personnalisés (Custom Malware) capables de se cacher des programmes antivirus traditionnels représente une escalade dans les méthodes de menaces persistantes avancées (APT). Les attaquants ont également exploité le mécanisme EIP-7702 sur le réseau Ethereum pour poursuivre les retraits même après les tentatives de la plateforme pour les arrêter, ce qui indique une exploitation minutieuse des vulnérabilités des protocoles de la blockchain.
Mesures prises
Binance a confirmé avoir reconstruit les systèmes compromis, remplacé le matériel piraté et révoqué les identifiants volés. Le 3 novembre, environ 2,85 milliards de dollars d'actifs volés avaient été gelés ou récupérés, avec une indemnisation de 98 % des jetons affectés d'ici la fin octobre. La plateforme poursuit ses enquêtes en coopération avec des sociétés de sécurité indépendantes pour évaluer l'étendue des dégâts et veiller à ce que de telles violations ne se reproduisent pas.