Binance affirme avoir perdu 6,3 milliards de dollars lors d'un piratage qui a commencé par un faux entretien d'embauche. La plateforme d'échange décrit les attaquants comme étant liés à la Corée du Nord. Selon son récit, ils ont passé des mois à compromettre des employés et des systèmes internes avant de mener l'exploit.
Un entretien d'embauche comme porte d'entrée
Le point d'entrée n'était pas un bug logiciel. C'était une personne. Selon Binance, les attaquants ont utilisé un faux entretien d'embauche pour compromettre les employés de la plateforme, ce qui relève de l'ingénierie sociale plutôt que d'une effraction technique. Aucun zero-day exotique n'a été nécessaire pour obtenir un pied dans la place, juste un discours crédible et quelqu'un prêt à prendre l'appel.
Ce détail compte car c'est la partie de l'histoire qu'une plateforme ne peut pas corriger avec une mise à jour logicielle. La formation du personnel et les contrôles d'accès internes sont ce qui fait obstacle ici.
Des mois à l'intérieur avant l'exploit
Ce n'était pas un coup de force éclair. Binance affirme que les attaquants ont passé des mois à compromettre des employés et des systèmes internes avant l'exploit lui-même. Plusieurs employés, plusieurs systèmes. Le tableau est celui d'une intrusion lente et patiente qui s'est élargie étape par étape, et non d'un seul ordinateur portable volé.
La plateforme n'a pas précisé, du moins dans le récit disponible à ce jour, combien de membres du personnel ont été affectés ni quand la compromission a commencé. Ce sont ces chiffres qui montreraient combien de temps les attaquants ont pu opérer sans être repérés.
La couche de signature des hot wallets
La cible était l'infrastructure de signature des hot wallets de Binance. Les hot wallets sont les portefeuilles connectés qu'une plateforme utilise pour déplacer rapidement des fonds, et les systèmes de signature sont ce qui autorise ces transferts. Contrôlez cette couche et vous n'avez pas besoin de forcer les portefeuilles. Vous pouvez les amener à approuver les transactions à votre place.
Cela correspond aux mois de préparation. Atteindre l'infrastructure de signature signifie généralement passer d'abord par les personnes et les systèmes internes, ce qui est exactement le chemin que Binance dit avoir emprunté par les attaquants.
Où intervient l'EIP-7702
L'exploit a utilisé le mécanisme EIP-7702 d'Ethereum, selon la plateforme. Il s'agit d'un ajout relativement récent à Ethereum, et son apparition dans un piratage de cette ampleur attirera l'attention d'autres plateformes qui en dépendent. Les faits disponibles ne précisent pas comment les attaquants l'ont utilisé, et en dire plus relèverait de la spéculation.
Ce qu'ils établissent, c'est la combinaison. Une compromission au niveau humain a permis aux attaquants d'entrer, et un mécanisme spécifique à Ethereum a fait partie de l'exploit lui-même.
Ce que Binance n'a pas dit
Le chiffre de 6,3 milliards de dollars provient de Binance, tout comme le lien avec la Corée du Nord. L'attribution est la description des attaquants par la plateforme, et non une conclusion d'un enquêteur externe, et elle doit être lue comme telle jusqu'à ce que quelqu'un d'autre se prononce.
Plusieurs éléments de base manquent encore. Il n'y a pas de détail sur les actifs dérobés. Aucune information n'est disponible sur l'éventuel gel ou la récupération de fonds. Il n'y a pas de chronologie de la réalisation de l'exploit. Le compte rendu technique complet de Binance sur la manière dont l'infrastructure de signature a été atteinte, et sur l'utilisation de l'EIP-7702 contre elle, est la prochaine chose à surveiller.
