Les enquêteurs estiment que plusieurs facteurs pourraient être en cause, notamment l'ordinateur portable compromis d'un ingénieur DevOps, des indices désignant des acteurs nord-coréens comme responsables.
Les enquêteurs cherchent à comprendre comment des pirates ont dérobé 6,3 milliards de dollars (5,6 milliards d'euros) à la plateforme d'échange de cryptomonnaies Binance, un vol présenté comme "le plus grand piratage de l'histoire", plusieurs indices laissant penser qu'un groupe de pirates nord-coréen serait derrière l'attaque.
PUBLICITÉ
PUBLICITÉ
Les montants en jeu dépassent largement ceux des précédents piratages de cryptomonnaies, comme Bybit (1,5 milliard de dollars, 1,39 milliard d'euros), Poly Network (610 millions de dollars, 545 millions d'euros) et Ronin Network (540 millions de dollars, 482 millions d'euros). L'incident visant Binance est le dernier en date d'une série d'incidents de cybersécurité survenus en octobre, l'utilisation croissante de l'IA pour déceler des failles étant largement mise en cause par les experts en cybersécurité.
Binance est la plus grande plateforme d'échange de cryptomonnaies au monde, qui contrôle environ 35 % de la part totale du marché des cryptos, selon l'entreprise. Elle constitue un pilier clé de l'écosystème des cryptomonnaies, en permettant aux utilisateurs d'acheter et de vendre des cryptomonnaies.
À l'image des bureaux de change traditionnels, elle conserve les pièces de ses clients dans des portefeuilles qu'elle contrôle et traite les retraits à partir de quelques-uns de ces portefeuilles qui restent en ligne en permanence.
L'attaque s'est déroulée en un peu moins de quatre heures : les pirates ont accédé à plusieurs portefeuilles via un ordinateur portable compromis et ont transféré les fonds des portefeuilles de Binance vers les leurs. Binance et ses partenaires sont parvenus à geler 2,7 milliards de dollars (2,4 milliards d'euros) parmi les fonds volés, mais le reste demeure intact dans les portefeuilles des attaquants.
Voici la chronologie des événements :
Jeudi
22h29 (CET) Binance indique enquêter activement sur des signalements d'un possible problème de sécurité et rassure ses clients en affirmant que leurs fonds sont "totalement en sécurité", tout en les mettant en garde contre des "escroqueries".
23h15 (CET) L'entreprise précise qu'elle effectue des contrôles de sécurité et que les retraits reprendront dès que le problème de sécurité sera résolu.
Vendredi
00h06 (CET) L'entreprise suspend les échanges sur Binance Alpha et indique que les échanges reprendront une fois le problème de sécurité résolu. Elle répète que les fonds des clients restent en sécurité.
00h22 (CET) Binance annonce pour la première fois que des actifs sont affectés. L'entreprise dit avoir connaissance de signalements de fonds gelés et précise que 2,54 milliards de dollars (2,26 milliards d'euros) sont actuellement gelés. Elle ajoute que ce chiffre pourrait augmenter, car elle travaille en étroite collaboration avec les forces de l'ordre et les autorités compétentes pour retracer et geler les actifs.
01h13 (CET) Binance publie une déclaration dans laquelle elle affirme qu'elle "couvrira toutes les pertes" et que, par précaution, tous les dépôts et retraits ont été temporairement suspendus.
01h52 (CET) L'entreprise met à jour le montant des actifs gelés, qui atteint désormais 3 milliards de dollars (2,68 milliards d'euros).
03h25 (CET) Binance révèle que l'impact total est d'environ 6,3 milliards de dollars (5,6 milliards d'euros). Son enquête suggère qu'un ordinateur portable d'un ingénieur DevOps compromis pourrait avoir servi de point d'entrée à une attaque qui a permis d'accéder à un conteneur de service et de soumettre des transactions de retrait non autorisées.
L'entreprise ajoute qu'il n'existe aucune preuve de fuite de clés privées de portefeuilles. Par précaution, elle a révoqué l'autorisation de l'adresse concernée et a fait appel aux forces de l'ordre et à des partenaires spécialisés dans la blockchain pour retracer et récupérer les fonds, en plus de geler des comptes.
05h36 (CET) L'entreprise indique dans une mise à jour que l'incident résulte de plusieurs facteurs, et pas uniquement de l'ordinateur portable compromis.
09h47 (CET) Binance confirme sa déclaration précédente selon laquelle un ordinateur portable compromis pourrait avoir été le point d'entrée, mais précise que les enquêteurs ont découvert d'autres brèches dans ce qui constitue une "attaque complexe". L'entreprise affirme qu'elle est en bonne voie pour rétablir les services de retrait dans un délai de 45 heures.
11h55 (CET) L'entreprise indique avoir commencé à récupérer les actifs concernés pour les utilisateurs et qu'elle couvrira les pertes grâce aux fonds de l'entreprise, en réservant 6,34 milliards de dollars (5,66 milliards d'euros) pour couvrir l'incident.
"Nous traverserons cette tempête", déclare l'entreprise sur le réseau social X.
Comment ont-ils procédé ?
Binance a indiqué que l'incident constituait une "attaque complexe" résultant de plusieurs facteurs.
Son enquête initiale suggère que l'incident de sécurité pourrait impliquer un ordinateur portable d'un ingénieur DevOps compromis, ce qui a permis à un attaquant d'accéder à un conteneur de service et de soumettre des transactions de retrait non autorisées.
La société d'infrastructure de données blockchain Bitquery rapporte que le propre système de retrait de Binance a signé le transfert de 6,3 milliards de dollars (5,6 milliards d'euros) depuis 17 de ses portefeuilles chauds en un peu moins de quatre heures, du jeudi soir à 21h04 au vendredi matin à 0h56 (CET).
Selon Bitquery, cette situation a poussé les émetteurs de stablecoins Tether, Circle et Arbitrum, ainsi que quatre émetteurs plus petits, à geler 2,7 milliards de dollars afin d'empêcher le vol des fonds, tandis que Bitcoin a confirmé que 3 milliards de dollars avaient été gelés au total.
L'attaquant a échangé 729 millions de dollars supplémentaires de stablecoins avant le début des gels. Au final, l'attaquant détenait encore environ 3,1 milliards de dollars, principalement en Ether et en Bitcoin, selon Bitquery.
Bitquery rapporte également que les fonds ont été envoyés vers de nouvelles adresses sur neuf blockchains, Ethereum, Bitcoin et TRON étant les plus touchées.
L'entreprise poursuit son enquête en liaison avec les forces de l'ordre et des partenaires spécialisés dans l'intelligence blockchain afin de retracer et de récupérer les fonds.
Binance a temporairement suspendu les dépôts et retraits le temps d'achever les contrôles de sécurité, a révoqué l'autorisation de l'adresse concernée et a fait appel aux forces de l'ordre et à des partenaires spécialisés dans l'intelligence blockchain pour retracer et récupérer les fonds.
L'entreprise a indiqué qu'elle publierait un rapport technique détaillé une fois l'enquête terminée et les faits vérifiés.
Elle prévoit également de publier une preuve de réserves mise à jour après la mise en œuvre des mesures correctives.
Qui en est responsable ?
L'entreprise de cybersécurité et d'intelligence blockchain TRM Labs affirme que TraderTraitor, un groupe de pirates nord-coréen, est à l'origine de l'attaque.
"Sur la base de renseignements solides, sur chaîne et hors chaîne, nous formulons ce jugement avec un haut degré de confiance", a déclaré l'entreprise dans un communiqué.
Elle souligne aussi que le FBI a désigné ce même groupe comme responsable du piratage de 1,5 milliard de dollars (1,34 milliard d'euros) de Bybit en février 2025.