Résumé :
Les derniers détails de l'enquête divulgués par Binance, la plus grande bourse de cryptomonnaies au monde, montrent que la cyberattaque qui a entraîné le vol de 6,3 milliards de dollars d'actifs cryptographiques n'était pas une opération soudaine, mais une opération d'intrusion d'ingénierie sociale soigneusement planifiée qui a duré plusieurs mois. En fait, les chercheurs en sécurité mettent en garde l’industrie contre des attaques similaires depuis des années, mais cet incident, qui a établi le record du plus grand vol de l’histoire de l’industrie des cryptomonnaies, s’est quand même produit.
Selon la dernière description publiée par Binance le 3 novembre, des pirates nord-coréens se sont fait passer pour des recruteurs et ont contacté un ingénieur logiciel responsable du secteur des portefeuilles via une fausse identité sur les réseaux sociaux. Après deux séries d'entretiens apparemment normaux, l'autre partie a demandé à l'ingénieur de télécharger une soi-disant tâche de test de programmation. Cependant, ce document contenait un code malveillant qui, une fois exécuté avec succès, a envahi les ordinateurs de l'entreprise utilisés par les employés, et les outils de sécurité existants de Binance n'ont pas réussi à détecter le logiciel malveillant associé.
Une fois que les pirates ont obtenu un premier accès, ils ont ensuite utilisé les systèmes internes de l'entreprise pour étendre leurs résultats. Ils ont eu accès à un ensemble d'outils internes qui leur permettaient de contrôler à distance les ordinateurs d'autres employés et, ce faisant, ont repris les appareils de deux autres ingénieurs de l'équipe du portefeuille.
L'enquête a révélé que l'un des ingénieurs avait téléchargé par erreur une application falsifiée alors qu'il recherchait un logiciel il y a plusieurs mois, ce qui a entraîné l'implantation d'un logiciel malveillant de vol de mot de passe dans l'appareil. Bien que Binance ait ensuite remplacé l'ordinateur infecté, les pirates ont continué leurs activités en utilisant les informations d'identification précédemment volées et ont finalement compromis l'appareil d'un troisième ingénieur. Le travail de l’employé avait accès à des systèmes critiques qui géraient des milliards de dollars d’actifs cryptographiques, ouvrant la voie à un éventuel vol.
Binance a admis dans un communiqué que l'incident "n'aurait pas dû se produire" et a déclaré que la société avait renforcé les mesures de sécurité du réseau après l'incident. Touché par l'attaque, Binance a temporairement suspendu les services de retrait pour les clients de la plateforme la semaine dernière.
Le FBI et l'agence d'enquête blockchain ont attribué l'attaque à la Corée du Nord. Ces dernières années, la Corée du Nord a été accusée d’avoir volé à plusieurs reprises et à grande échelle des actifs cryptographiques pour financer son programme d’armes nucléaires, soumis à des sanctions internationales.
Cet incident met une fois de plus en lumière les tactiques utilisées depuis longtemps par les hackers nord-coréens. Les chercheurs en cybersécurité avertissent depuis des années que les groupes d'attaque nord-coréens se font souvent passer pour des sociétés de capital-risque, des investisseurs, des consultants en recrutement et des travailleurs informatiques à distance, utilisant les informations d'identité volées de citoyens américains pour établir une image crédible et tromper leurs cibles en leur faisant ouvrir les autorisations du système.
En fait, ce type de méthode d’attaque est connu depuis longtemps dans le secteur des cryptomonnaies. Le gouvernement américain et de nombreuses grandes entreprises de cybersécurité ont émis de nombreux avertissements ces dernières années. Des données pertinentes montrent que près de la moitié des intrusions de réseau survenues dans le secteur technologique américain l'année dernière seulement ont été attribuées à des pirates informatiques nord-coréens se faisant passer pour des employés informatiques distants ou de faux recruteurs.
Selon les données divulguées par Binance, la société a déjà enregistré au moins 57 tentatives d'attaque soupçonnées de provenir de Corée du Nord. Binance a déclaré que cela illustre pleinement la menace continue posée par les groupes d'attaque des États-nations contre l'industrie de la crypto-monnaie.
Cependant, les enquêteurs pourraient encore se concentrer sur deux questions clés à l'avenir : comment les pirates ont réussi à persuader les employés de télécharger des programmes malveillants alors que de telles méthodes d'attaque ont été largement révélées ; et pourquoi le réseau interne de Binance n'a pas réussi à empêcher efficacement les attaquants de pénétrer davantage latéralement et d'obtenir des privilèges plus élevés.
Les analystes ont souligné que même si l'affaire démontre une fois de plus que les pirates informatiques nord-coréens sont doués pour utiliser les opportunités de recrutement et les tentations d'évolution de carrière pour mener des attaques d'ingénierie sociale, les entreprises portent également d'importantes responsabilités. Les entreprises doivent non seulement sensibiliser davantage leurs employés à la sécurité, mais également veiller à ce que les systèmes internes ne puissent pas exécuter à volonté des logiciels non autorisés ou non fiables, et réduire techniquement le risque qu'un point de défaillance unique se transforme en un incident de sécurité majeur.
Concernant les détails spécifiques de l'incident, le porte-parole de Binance, Ross O'Leary, a refusé de répondre davantage aux questions des médias sur les mécanismes de protection des terminaux des employés, les restrictions sur l'exécution de codes malveillants et si un audit de sécurité du réseau tiers avait été effectué avant l'incident. Il a seulement déclaré que l'entreprise inviterait des experts en sécurité externes à participer à l'enquête et avait déployé de nouvelles mesures de protection pour éviter que des incidents similaires ne se reproduisent.
Actuellement, ce vol de 6,3 milliards de dollars reste le vol le plus important de l'histoire de la cryptomonnaie.
Commentaires