Binance révèle enfin comment deux faux entretiens d’embauche ont vidé ses coffres
La plus grande plateforme d’échange de cryptomonnaies vient de publier son récit détaillé du piratage du 29 octobre. Binance explique que les pirates ont approché ses ingénieurs pendant plusieurs mois avant de frapper. Le FBI attribue désormais l’attaque à la Corée du Nord.
Chez les plateformes d’échange de cryptomonnaies, des fortunes dorment dans des portefeuilles reliés en permanence à Internet. Face à des infrastructures mieux protégées, les groupes organisés visent désormais les postes de travail des salariés. Tout se prépare parfois très en amont, comme l’a rappelé la coupure par Google de 1,3 million de box Android TV dotées d’un accès dissimulé. Reste une autre porte d’entrée, le recrutement.
Binance a publié mercredi un récit détaillé de l’attaque du 29 octobre. Jusqu’ici, le groupe reconnaissait un préjudice de 5,4 milliards d’euros réparti sur dix blockchains, sans dire comment les pirates avaient atteint ses réserves. Ce document comble le vide. Il décrit une opération lancée cinq mois plus tôt.
Un exercice envoyé par un faux PDG a contaminé l’ordinateur d’un ingénieur de Binance
Selon l’alerte publiée par le FBI, l’attaque porte la signature de la Corée du Nord. Tout démarre en juin. Un ingénieur chargé de l’infrastructure des portefeuilles de Binance installe une version vérolée d’un outil de codage dopé via intelligence artificielle, trouvée via un moteur de recherche. Alertée, l’entreprise repère l’anomalie et réagit. Trop tard, les assaillants repartent avec des informations sur ses collègues.
En septembre, un développeur de Binance reçoit le message d’un prétendu directeur de projet sur une plateforme d’offres d’emploi légitime. Deux entretiens suivent. Une fausse responsable du recrutement le met en confiance par visioconférence, puis un faux patron lui transmet un exercice à réaliser. Le fichier téléchargé cache un malware. Ce programme s’exécute pendant l’installation, remplace un composant de développement authentique et efface ses traces au fil de l’eau.
Le 20 octobre, les pirates exploitent l’ordinateur infecté et un outil d’IA interne pour prendre la main sur deux autres machines. Neuf jours plus tard, ils lancent le script qui vide les caisses. Depuis l’attaque, Binance a reconstruit son système de portefeuilles, remplacé les appareils touchés et révoqué les identifiants volés. Sur les 5,5 milliards d’euros concernés, près de la moitié a déjà été gelée. La plateforme affirme avoir reconstitué 98 % des jetons de ses utilisateurs.
