Comment des pirates peuvent-ils dérober des milliards de dollars à une plateforme disposant d’importants moyens de sécurité ? Dans l’affaire Binance, les premières analyses orientent vers un détournement des systèmes qui autorisent les transactions. L’accès à ces systèmes pourrait permettre de déplacer des fonds sans nécessairement voler les clés privées.
Binance estime l’impact de l’incident à 6,3 milliards de dollars, dont environ 3 milliards d’actifs gelés. Pour comprendre cette attaque, il faut distinguer trois éléments : les accès informatiques internes, les mécanismes de signature et les portefeuilles utilisés pour effectuer les retraits.
Un ordinateur compromis, première piste de l’enquête
Selon le communiqué initial de Binance, l’ordinateur portable d’un ingénieur DevOps aurait été compromis. L’attaquant aurait ensuite accédé à un conteneur de service, un environnement dans lequel fonctionne une application, et soumis des demandes de retrait non autorisées. La plateforme précise n’avoir trouvé aucune preuve de fuite des clés privées de ses portefeuilles.
Cette première explication ne décrit toutefois pas toute l’opération. Dans une mise à jour reproduite par Reuters, Binance a annoncé avoir découvert d’autres points d’intrusion. Il serait donc prématuré de présenter le vol comme la simple conséquence d’une action sur un seul ordinateur.
Le mode exact de compromission du poste et le parcours complet des attaquants restent à établir. Les informations publiées ne permettent pas d’affirmer qu’un salarié aurait simplement cliqué sur un lien frauduleux.
Comment voler des cryptomonnaies sans voler les clés privées ?
Une clé privée sert à produire une signature cryptographique, grâce à laquelle le réseau vérifie qu’une transaction est autorisée par le compte concerné. Cette vérification technique ne permet pas, à elle seule, de déterminer si l’opération correspond à une décision légitime de l’entreprise.
C’est la distinction centrale de cette affaire. Selon TRM Labs, les observations suggèrent que les attaquants auraient obtenu la capacité de faire signer des transactions par l’infrastructure de Binance. Cette hypothèse reste une analyse technique, en attendant les conclusions complètes de la plateforme.
Pour l’illustrer, imaginons un coffre dont la clé reste dans un mécanisme sécurisé. Si un intrus prend le contrôle du système qui commande son ouverture, il peut obtenir l’accès au contenu sans emporter la clé.
Protéger une clé et contrôler toutes les demandes qui l’utilisent sont donc deux exigences complémentaires. Une signature peut être valide sur le plan cryptographique alors que l’ordre qu’elle accompagne est frauduleux.
Pourquoi les portefeuilles connectés constituent-ils une cible sensible ?
Les plateformes utilisent notamment des hot wallets, ou portefeuilles connectés, pour traiter les opérations courantes. Leur disponibilité facilite les transferts rapides, mais les expose davantage aux menaces informatiques.
À l’inverse, le stockage à froid conserve les clés hors ligne et limite leur exposition directe aux systèmes connectés. Cette distinction ne signifie pas qu’un portefeuille hors ligne élimine tous les risques liés aux procédures de transfert.
Le compromis est opérationnel : une plateforme doit rendre une partie de ses fonds mobilisable pour répondre aux demandes des clients. La sécurité dépend alors des protections entourant ces portefeuilles et des règles qui encadrent leurs mouvements.
Sur Ethereum, une autorisation détournée pour vider un portefeuille
L’analyse du volet Ethereum met en évidence un mécanisme appelé EIP-7702. Cette fonctionnalité permet à un compte classique d’adopter le comportement d’un contrat intelligent, c’est-à-dire d’un programme exécuté sur la blockchain, après une autorisation signée. Elle sert notamment à enrichir les fonctions des portefeuilles.
Selon Blockaid, les attaquants ont utilisé une telle autorisation pour associer un portefeuille Binance à un programme malveillant capable d’en transférer les actifs. Son analyse décrit un ensemble de 50 autorisations préparées, dont l’une a permis l’activation de cette délégation.
Le danger dépasse le premier transfert : la délégation peut rester active jusqu’à sa modification ou sa révocation. Blockaid rapporte ainsi de nouveaux prélèvements sur des fonds arrivés ultérieurement dans le portefeuille concerné.
Ce mécanisme illustre le risque d’accorder des pouvoirs étendus à un programme malveillant. La documentation d’Ethereum avertit elle-même qu’une délégation mal sécurisée peut donner à un attaquant un contrôle presque complet sur le compte. Cela ne démontre pas que la cryptographie d’Ethereum aurait été cassée.
Pourquoi la puissance de Binance n’a-t-elle pas suffi ?
Le point déterminant est l’accès aux fonctions sensibles. Une entreprise peut protéger ses clés tout en restant exposée si les systèmes capables de demander des signatures sont compromis.
Bitquery relève que les transferts examinés portaient des signatures valides de portefeuilles Binance. Sur la majorité des portefeuilles étudiés, les fonds sont sortis par des transferts ordinaires. L’incident dépasse donc le seul mécanisme de délégation observé sur Ethereum.
TRM Labs relève des opérations sur dix blockchains et considère cette convergence comme un indice d’une compromission de l’infrastructure de signature. Cela ne permet pas encore de reconstituer précisément l’architecture interne touchée.
L’enjeu est de vérifier ce qui est signé, vers quelle destination et avec quelles conséquences. Parmi les protections mises en avant par Blockaid figurent le contrôle indépendant des opérations avant signature et la surveillance continue des mouvements. Ces mesures visent à empêcher qu’un accès compromis suffise à faire exécuter une opération dangereuse.
Une attaque préparée, attribuée à un groupe nord-coréen
TRM Labs attribue l’opération avec un niveau de confiance élevé à TraderTraitor, un groupe soutenu par la Corée du Nord. L’entreprise situe les préparatifs au moins 36 heures avant le vol et estime que l’essentiel des transferts s’est produit en une vingtaine de minutes. Cette attribution demeure celle des enquêteurs spécialisés.
Cette chronologie suggère une opération préparée pour agir rapidement une fois les autorisations obtenues. La vitesse d’exécution réduit le temps disponible pour détecter les mouvements, interrompre les accès et faire bloquer les actifs.
Ce que Binance doit encore expliquer
Le rapport technique annoncé devra préciser comment les attaquants sont entrés, quels systèmes ils ont atteints et pourquoi les contrôles n’ont pas arrêté les opérations. Il devra également éclaircir le rôle exact des différents points de compromission.
Dans sa mise à jour de service consultée, Binance indique que les dépôts fonctionnent normalement tandis que les retraits restent suspendus pendant la sécurisation du service concerné. La plateforme prévoit une reprise sous 48 heures, un objectif annoncé et non une confirmation de réouverture. Elle s’engage à couvrir les pertes avec le fonds SAFU et ses propres ressources.
La leçon technique de ce piratage porte sur toute la chaîne d’autorisation des transactions. La sécurité des fonds dépend des clés, mais aussi des appareils, logiciels et procédures capables de les faire utiliser. Le rapport final devra établir où cette chaîne a été compromise.
