Les enquêteurs affirment que plusieurs facteurs pourraient avoir été impliqués, notamment l’ordinateur portable d’un ingénieur DevOps compromis, avec des signes indiquant que des acteurs nord-coréens en sont responsables.
Les enquêteurs étudient comment des pirates ont volé 6,3 milliards de dollars (5,6 milliards d’euros) à l’échange de crypto-monnaie Binance dans ce qui est décrit comme le « plus grand piratage de l’histoire », avec des signes suggérant qu’un groupe de hackers nord-coréen était à l’origine de l’attaque.
Les chiffres impliqués éclipsent ceux des précédents piratages cryptographiques, tels que Bybit (1,5 milliard de dollars, 1,39 milliard d’euros), Poly Network (610 millions de dollars, 545 millions d’euros) et Ronin Network (540 millions de dollars, 482 millions d’euros). L’incident de Binance est le dernier d’une série d’incidents de cybersécurité survenus en octobre, l’utilisation croissante de l’IA pour trouver des vulnérabilités étant largement imputée par les experts en cybersécurité.
Binance est la plus grande bourse de crypto-monnaie au monde, contrôlant environ 35 % de la part totale du marché de la crypto-monnaie, selon la société. Il fonctionne comme un pilier clé de l’écosystème crypto, permettant aux gens d’acheter et de vendre des crypto-monnaies.
Comme les bureaux de change traditionnels, il conserve les pièces de monnaie de ses clients dans des portefeuilles qu’il contrôle et traite les retraits de quelques-uns de ces portefeuilles qui restent en ligne en permanence.
L’attaque a eu lieu en un peu moins de quatre heures, alors que les pirates ont accédé à plusieurs portefeuilles via un ordinateur portable compromis et ont envoyé les fonds des portefeuilles de Binance vers le leur. Heureusement, Binance et ses partenaires ont réussi à geler 2,7 milliards de dollars (2,4 milliards d’euros) de fonds volés, mais les fonds restants restent intacts dans les portefeuilles de l’attaquant.
Voici une chronologie de la façon dont cela s’est produit :
Jeudi
22h29 CET Binance déclare enquêter activement sur les informations faisant état d’un problème de sécurité potentiel et rassure ses clients sur le fait que leurs fonds sont « totalement sûrs », mais met en garde contre les « escroqueries ».
23h15 CET La société indique qu’elle effectue des contrôles de sécurité et que les retraits reprendront dès que le problème de sécurité sera résolu.
Vendredi
00h06 CET La société suspend les échanges de Binance Alpha, affirmant que les échanges reprendront une fois le problème de sécurité résolu. Cela rassure une fois de plus les clients sur le fait que leurs fonds restent en sécurité.
00h22 CET Binance fait sa première annonce selon laquelle les actifs sont affectés. La société affirme avoir connaissance d’informations faisant état de fonds gelés, précisant que 2,54 milliards de dollars (2,26 milliards d’euros) ont actuellement été gelés. Il ajoute que ce chiffre pourrait augmenter à mesure qu’il travaille en étroite collaboration avec les forces de l’ordre et les autorités compétentes pour retrouver et geler les avoirs.
01h13 CET Binance publie une déclaration disant qu’elle « couvrira toutes les pertes » et que, par mesure de précaution, tous les dépôts et retraits ont été temporairement suspendus.
01:52 CET La société met à jour le chiffre des actifs gelés, qui s’élève à 3 milliards de dollars (2,68 milliards d’euros).
03h25 CET Binance révèle que l’impact total est d’environ 6,3 milliards de dollars (5,6 milliards d’euros), son enquête suggérant que l’ordinateur portable d’un ingénieur DevOps compromis pourrait avoir été le point d’entrée d’une attaque permettant l’accès à un conteneur de service et la soumission de transactions de retrait non autorisées.
La société ajoute qu’il n’y a aucune preuve d’une fuite de clé privée du portefeuille. Par mesure de précaution, il a révoqué l’autorisation d’adresse concernée et a engagé les forces de l’ordre et les partenaires de la blockchain pour retrouver et récupérer les fonds, en plus de geler les comptes.
05:36 CET La société indique dans une mise à jour que l’incident provient de plusieurs facteurs, et pas seulement de l’ordinateur portable compromis.
09h47 CET Binance confirme sa déclaration précédente selon laquelle un ordinateur portable compromis pourrait avoir été le point d’entrée, mais affirme que les enquêteurs ont trouvé d’autres failles dans ce qui était une « attaque complexe ». La société affirme être en bonne voie pour reprendre les services de retrait dans 45 heures.
11h55 CET La société affirme avoir commencé à récupérer les actifs concernés pour les utilisateurs et couvrira les pertes grâce aux fonds de la société, avec 6,34 milliards de dollars (5,66 milliards d’euros) réservés pour couvrir l’incident.
« Nous allons surmonter cette tempête », déclare l’entreprise sur la plateforme de médias sociaux X.
Comment ont-ils fait ?
Binance a déclaré que l’incident était une « attaque complexe » qui résultait de plusieurs facteurs.
Son enquête initiale suggère que l’incident de sécurité pourrait impliquer l’ordinateur portable d’un ingénieur DevOps compromis, ce qui a permis à un attaquant d’accéder à un conteneur de service et de soumettre des transactions de retrait non autorisées.
La société d’infrastructure de données blockchain Bitquery rapporte que le propre système de retrait de Binance a retiré 6,3 milliards de dollars (5,6 milliards d’euros) de 17 de ses portefeuilles chauds en un peu moins de quatre heures, de jeudi soir à 21h04 à 00h56 CET vendredi matin.
Cela a incité les émetteurs de pièces stables Tether, Circle et Arbitrum, ainsi que quatre émetteurs plus petits, à geler 2,7 milliards de dollars pour empêcher le vol des fonds, explique Bitquery, tandis que Bitcoin a confirmé que 3 milliards de dollars avaient été gelés au total.
L’attaquant a échangé 729 millions de dollars supplémentaires de pièces stables avant le début du gel. En fin de compte, l’attaquant détenait toujours environ 3,1 milliards de dollars, principalement en Ether et Bitcoin, selon Bitquery.
Bitquery rapporte également que les fonds ont été envoyés à de nouvelles adresses sur neuf blockchains, Ethereum, Bitcoin et TRON étant les plus durement touchés.
La société enquête toujours sur le problème en liaison avec les forces de l’ordre et les partenaires de renseignement de la blockchain pour retrouver et récupérer les fonds.
Binance a temporairement suspendu les dépôts et les retraits pendant que les contrôles de sécurité sont effectués, a révoqué l’autorisation d’adresse concernée et a engagé les forces de l’ordre et les partenaires de renseignement de la blockchain pour retrouver et récupérer les fonds.
La société a annoncé qu’elle publierait une autopsie technique détaillée une fois l’enquête terminée et les faits vérifiés.
Il prévoit également de publier une preuve de réserves mise à jour une fois les mesures correctives terminées.
Qui était derrière tout ça ?
La société de renseignement et de cybersécurité Blockchain TRM Labs affirme que TraderTraitor, un groupe de piratage informatique nord-coréen, était à l’origine de l’attaque.
« Sur la base de renseignements robustes en chaîne et hors chaîne, nous portons ce jugement avec une grande confiance », a déclaré la société dans un communiqué.
Il souligne également que le FBI a désigné le même groupe comme responsable du piratage Bybit de 1,5 milliard de dollars (1,34 milliard d’euros) en février 2025.
