Résumé :
Les pirates qui ont volé 6,3 milliards de dollars à Binance la semaine dernière ont trouvé un moyen de transférer 40 % de la cryptomonnaie volée d'un seul coup, réduisant ainsi les chances d'être détectés lors de l'opération. Le prix qu’ils ont payé n’était que de 15 dollars. L’examen des enregistrements de transactions sur la blockchain Ethereum montre comment un groupe de voleurs a transformé une fonctionnalité initialement conçue pour rendre les portefeuilles de crypto-monnaie plus pratiques en un outil d’attaque. Cette fonctionnalité permet au logiciel d'autorisation de compte de transférer des fonds en votre nom sans avoir à obtenir une autorisation distincte pour chaque transfert.
La société de sécurité Blockaid a déclaré que les pirates avaient payé environ 15 $ en frais de réseau pour établir l'autorisation, puis l'avaient utilisé pour transférer environ 2,5 milliards de dollars en une seule transaction, soit l'équivalent de 40 % du montant total volé.
Binance a publié mardi une chronologie détaillée des événements, déclarant que les intrus ont utilisé de fausses offres d'emploi pour inciter un ingénieur à télécharger du code malveillant. Binance a déclaré qu'il s'agissait d'une « attaque sophistiquée en plusieurs étapes » combinant ingénierie sociale, appareils compromis et technologie d'IA.
Selon les enregistrements de la plateforme d'analyse Etherscan, après l'intrusion réussie, les pirates ont ciblé un « portefeuille chaud » nommé « Binance 14 », que Binance utilisait pour traiter les retraits des clients. Ce portefeuille est un peu comme une caisse enregistreuse en ligne ; Étant donné que Binance est le plus grand échange de crypto-monnaie au monde, il contient souvent de grandes quantités d'éther, de pièces stables et des dizaines d'autres crypto-monnaies.
Raccourci
Le transfert d'autant d'actifs différents nécessite généralement une série de transferts indépendants, dont chacun prend du temps et crée une opportunité supplémentaire pour les systèmes de sécurité de détecter des anomalies.
Mais une mise à niveau du logiciel Ethereum appelée EIP-7702 fournit un raccourci pour les pirates.
Avant la mise en œuvre de cette mise à niveau en mai 2025, un portefeuille de crypto-monnaie de base ressemblera davantage à un compte courant et, en principe, chaque transaction devra être signée et autorisée par le titulaire. Après la mise à niveau, une fonction similaire à la « déduction automatique » a été ajoutée, permettant au portefeuille d'autoriser le logiciel à agir en son nom et de regrouper plusieurs opérations ensemble pour exécution.
Blockaid a déclaré que vers 20h20 UTC le 29 octobre, le pirate informatique a utilisé une signature valide du portefeuille Binance 14 pour envoyer une instruction demandant au réseau Ethereum d'autoriser le code contrôlé par l'attaquant à effectuer des opérations au nom du compte. C’est à ce moment-là que le pirate informatique paie les frais de traitement du réseau habituels pour établir cette autorisation.
La transaction elle-même ne déplace aucun fonds, elle indique simplement à Ethereum d'autoriser le logiciel du pirate informatique à agir au nom de ce portefeuille.
La société de recherche sur la blockchain Tibane Labs a déclaré dans un rapport que ce programme ne fait qu'une seule chose : lorsque son propriétaire le demande, il vide le portefeuille et transfère les actifs à l'adresse indiquée par le propriétaire.
Trois minutes et demie plus tard, le pirate informatique a activé le piège. Blockaid a déclaré qu'en vertu de la nouvelle autorisation, le logiciel de l'attaquant avait transféré environ 2,5 milliards de dollars en une seule transaction. Les actifs volés comprennent 167 464 pièces Ethereum et plus de 60 autres jetons, dont le stablecoin USDT de Tether vaut jusqu'à 1,6 milliard de dollars américains.
Commentaires