Le piratage de Binance a été lié au groupe Lazarus de la Corée du Nord par des enquêteurs de la blockchain, qui soupçonnent les pirates soutenus par l'État d'avoir volé environ 6,3 milliards de dollars à la plateforme d'échange de cryptomonnaies le 29 octobre.
Résumé
- TRM Labs a lié le piratage de Binance de 6,3 milliards de dollars à l'unité de piratage TraderTraitor de la Corée du Nord avec une grande confiance.
- Le PDG de Blockaid, Ido Ben-Natan, a déclaré que les attaquants ont déplacé au moins 3,5 milliards de dollars sur quatre blockchains en moins d'une heure.
- Les enquêteurs ont retracé le vol à des contrôles de signature de transactions compromis, y compris 50 autorisations Ethereum ciblant un portefeuille chaud.
- Binance a signalé environ 3 milliards de dollars d'actifs gelés et s'est engagé à couvrir les pertes des clients.
- Les retraits restent suspendus pendant les mises à niveau de sécurité, Binance s'attendant à ce que les services reprennent dans les 48 heures.
Selon TRM Labs, ses enquêteurs ont attribué l'attaque à TraderTraitor, une unité de piratage nord-coréenne associée à Lazarus, avec une grande confiance. L'enquêteur blockchain ZachXBT a séparément identifié Lazarus comme l'attaquant probable, bien que Binance n'ait pas confirmé qui a réalisé le vol.
Dans des commentaires à crypto.news, Ido Ben-Natan, cofondateur et PDG de la société de sécurité blockchain Blockaid, a déclaré que l'attaque surpassait les précédents vols de cryptomonnaies en termes d'ampleur.
« C'est le plus grand piratage crypto de l'histoire. Notre analyse montre qu'au moins 3,5 milliards de dollars ont été déplacés des portefeuilles chauds de Binance sur Ethereum, Arbitrum, Optimism et Avalanche en moins d'une heure, plus du double du vol de Bybit en février 2025 », a déclaré Ben-Natan.
Il a noté que les enquêteurs avaient identifié des transferts supplémentaires impliquant Bitcoin et Tron, tandis que son équipe continuait de tracer les actifs volés.
Pendant ce temps, la plateforme de suivi de blockchain Onchain Lens a rapporté que l'attaquant de Binance avait transféré 17 260 ETH, d'une valeur d'environ 38,82 millions de dollars, vers un nouveau portefeuille, alors que l'on craint que les fonds puissent être blanchis via Tornado Cash ou d'autres mélangeurs de cryptomonnaies.
Selon le traqueur, l'attaquant contrôlait encore près de 480 720 ETH, d'une valeur de 1,08 milliard de dollars, qui ne peuvent pas être gelés par un émetteur de jetons. Le portefeuille récepteur a été identifié comme 0x03b0eE5d82990cFF1bDa48651AC3e436d1a020ea.
Le groupe Lazarus suspecté alors que le piratage de Binance atteint dix blockchains
L'enquête de TRM a retracé environ 6,36 milliards de dollars quittant les portefeuilles contrôlés par Binance sur dix réseaux blockchain, y compris Ethereum, Bitcoin, Tron, Solana et le XRP Ledger.
La majeure partie des fonds volés a été déplacée en l'espace d'environ 20 minutes, à partir de 20h05 UTC. Environ 3,79 milliards de dollars ont été transférés sur Ethereum, tandis que Bitcoin et Tron représentaient respectivement 1,47 milliard et 628 millions de dollars supplémentaires.
Les enquêteurs ont identifié 233,46 millions de XRP, d'une valeur de près de 296 millions de dollars, quittant cinq portefeuilles Binance avant le début de l'attaque sur Ethereum.
La société de sécurité a déclaré que les préparatifs avaient commencé au moins 36 heures avant le vol. Un portefeuille contrôlé par l'attaquant a reçu trois petits retraits de Tornado Cash et a testé du code malveillant avant de cibler Binance.
TRM a lié l'activité à TraderTraitor en utilisant des transactions blockchain et d'autres renseignements, bien qu'elle n'ait pas divulgué publiquement toutes les preuves derrière son attribution.
Le FBI a précédemment identifié que TraderTraitor était responsable du vol de Bybit de février 2025 où environ 1,5 milliard de dollars ont été drainés de la plateforme d'échange. Les autorités américaines ont accusé les opérations de piratage nord-coréennes de voler des cryptomonnaies pour aider à financer les programmes d'armement du pays.
Blockaid explique comment les attaquants ont accédé aux portefeuilles Binance
L'enquête technique de Blockaid a identifié une transaction Ethereum inhabituelle contenant 50 autorisations EIP-7702 ciblant Binance 14, l'un des portefeuilles chauds les plus actifs de la plateforme d'échange.
L'EIP-7702 permet à un portefeuille Ethereum d'autoriser du code de contrat intelligent à opérer en son nom. L'attaquant a préparé des autorisations en utilisant 50 compteurs de transactions consécutifs, augmentant la probabilité que l'un d'eux corresponde au compteur actuel du portefeuille.
Une seule autorisation a réussi, permettant à un contrat malveillant de transférer des actifs depuis le portefeuille.
« L'attaquant a effectivement reprogrammé un important portefeuille chaud Ethereum de Binance afin qu'un seul opérateur puisse le vider, y compris tout nouvel argent qui y serait déposé », a expliqué Ben-Natan à crypto.news.
L'attaquant a transféré environ 2,5 milliards de dollars depuis Binance 14, dont 167 464 ETH et plus de 1,6 milliard d'USDT. Les transferts ultérieurs ont ciblé les fonds nouvellement reçus.
Les enquêteurs ont découvert que d'autres portefeuilles Binance déplaçaient des actifs via des transactions signées ordinaires sur plusieurs réseaux. TRM estime que l'attaquant a peut-être obtenu l'accès à l'infrastructure de signature de transactions de la plateforme d'échange.
Binance identifie une possible compromission d'ordinateur portable alors que 3 milliards de dollars sont gelés
Dans sa mise à jour de sécurité, Binance a déclaré que son enquête initiale pointait vers l'ordinateur portable compromis d'un ingénieur DevOps qui aurait pu permettre un accès non autorisé à un conteneur de service interne.
La plateforme d'échange n'a trouvé aucune preuve de fuite de clés privées et a déclaré qu'elle publierait une enquête détaillée une fois la cause établie.
Le PDG de Tether, Paolo Ardoino, a confirmé le gel de plus de 1,567 milliard d'USDT, tandis que le PDG de Circle, Jeremy Allaire, a rapporté le gel de plus de 800 millions d'USDC. Le Conseil de sécurité d'Arbitrum a sécurisé environ 74,6 millions d'ARB et 8 425 ETH liés à l'attaquant.
Les retraits de Binance restent suspendus
Binance s'est engagée à couvrir les pertes en utilisant son fonds SAFU et les ressources de l'entreprise tout en collaborant avec les forces de l'ordre et les enquêteurs de la blockchain.
Dans le même temps, la plateforme d'échange a déclaré que les dépôts restaient opérationnels, mais que les retraits resteraient suspendus pendant qu'elle mettait à niveau les systèmes de retrait et les contrôles d'adresses.
Binance s'attend à ce que les retraits reprennent dans les 48 heures et a déclaré qu'un rapport complet sur la cause de l'attaque suivrait.
Les marchés des cryptomonnaies ont également subi une pression vendeuse à la suite du piratage, le Bitcoin chutant brièvement sous 77 000 $. Les liquidations totales sur le marché des produits dérivés ont dépassé 1,5 milliard de dollars sur 24 heures.
