Binance a communiqué davantage de détails sur la cyberattaque qui a touché 6,34 milliards de dollars d’actifs numériques, précisant qu’elle avait commencé plusieurs mois avant le vol du 29 octobre. La plateforme d’échange a établi un lien entre l’incident et la conclusion du FBI selon laquelle la Corée du Nord en était responsable.
En juin, un ingénieur Wallet DevOps travaillant sur l’infrastructure de portefeuille de Binance a téléchargé, depuis un moteur de recherche, une version falsifiée d’un outil populaire de programmation par IA. Binance a détecté l’anomalie et est intervenue, mais a déclaré que l’incident avait exposé des informations concernant les collègues de l’ingénieur.
En septembre, une autre ingénieure logicielle de Binance a été contactée sur une plateforme légitime de recherche d’emploi par une personne se faisant passer pour un « directeur de projet ». Après deux entretiens, le PDG de la prétendue entreprise a envoyé à l’ingénieure une mission via une application de messagerie. Le fichier téléchargé contenait un logiciel malveillant qui s’exécutait lors de l’installation.
Binance a indiqué que le logiciel malveillant utilisait des méthodes d’obfuscation et d’évasion pour éviter d’être détecté, notamment en remplaçant un composant authentique d’un outil de développement par une version malveillante. Il dissimulait également son activité et effaçait les traces de la compromission.
Le 20 octobre, les attaquants se sont servis de l’ordinateur de l’ingénieure logicielle compromise et d’un outil d’IA interne pour prendre le contrôle des appareils de l’ingénieur Wallet DevOps et d’un autre collègue. Le 29 octobre, ils ont accédé à l’ordinateur du troisième ingénieur, utilisé des identifiants volés à l’ingénieur Wallet DevOps et exécuté un script malveillant pour lancer l’attaque.
Binance a déclaré que 2,85 milliards de dollars des 6,34 milliards de dollars d’actifs concernés avaient été gelés. Elle a reconnu que certains actifs avaient continué à être transférés après la suspension des retraits, car les transactions avaient déjà été autorisées.
Au 3 novembre, la plateforme d’échange indiquait avoir reconstruit le système de portefeuille touché et les outils d’IA internes, remplacé les appareils concernés, désactivé les identifiants et jetons compromis, et effectué des analyses de sécurité renforcées sur les appareils des employés. Elle a également ajouté un système de détection des anomalies reposant sur l’IA.
Binance a déclaré qu’elle prendrait les pertes financières à sa charge et avait réservé des fonds suffisants pour couvrir les sommes volées. Elle a indiqué avoir reconstitué 98 % des actifs en jetons concernés et travailler à l’achat des actifs restants, moins liquides.
Sources: Engadget.