Binance : un faux entretien d'embauche et un outil d'IA interne au cœur du vol de 6,3 milliards de dollars

Binance a publié le 3 novembre ses premières conclusions sur l'attaque du 29 octobre contre ses portefeuilles chauds, qui a touché selon elle environ 6,34 milliards de dollars d'actifs numériques. Le rapport décrit une campagne étalée sur plusieurs mois, fondée moins sur une faille logicielle unique que sur les personnes, les appareils et les outils internes qui entourent l'équipe chargée des portefeuilles.

Quatre mois pour atteindre les portefeuilles

D'après Binance, tout commence en juin : un ingénieur de l'équipe Wallet DevOps installe un paquet Homebrew falsifié. The National précise qu'il cherchait à installer un outil de programmation assistée par IA répandu, trouvé via un moteur de recherche. Binance a remplacé l'appareil et renouvelé les identifiants, mais reconnaît que l'incident a révélé le poste de l'ingénieur et l'identité de ses collègues.

En septembre, un deuxième ingénieur est contacté sur une plateforme d'emploi légitime par une personne se présentant comme directeur de projet. The Hacker News décrit deux entretiens avec une entreprise fictive, conclus par un « exercice » de code dont le dépôt remplaçait un composant d'outil de développement par une version malveillante. Son exécution sur l'ordinateur professionnel de l'ingénieur a offert un point d'appui aux attaquants.

Le 20 octobre, selon Binance, les pirates se servent de cette machine et d'un outil d'IA interne pour prendre le contrôle des comptes de deux autres ingénieurs, dont l'un détenait un jeton autorisant le déploiement de conteneurs. Le 29 octobre, ils l'utilisent pour déployer un conteneur, lancer un script malveillant et atteindre un service de signature interne, puis vident en quelques heures des portefeuilles chauds en XRP, SOL, OP, BTC et ETH.

Pourquoi l'outil d'IA compte

Binance n'explique pas comment l'outil d'IA a été détourné et indique que certains détails techniques resteront confidentiels. Son récit le place pourtant à l'étape où l'intrusion s'est étendue d'un seul ordinateur portable aux comptes détenant des droits de déploiement. Les assistants et agents déployés en entreprise fonctionnent souvent avec les identifiants des employés et un large accès au code et à l'infrastructure, ce qui peut en faire un relais commode pour quiconque contrôle la machine d'un utilisateur. Parmi ses mesures, Binance dit avoir reconstruit l'outil et ses contrôles d'accès, et ajouté une détection d'anomalies comportementales fondée sur l'IA.

Attribution et pertes

Le FBI a relié le vol à TraderTraitor, une opération nord-coréenne, et indiqué que les pirates convertissaient surtout les actifs en ether, rapporte The Korea Times. Chainalysis attribue plus de 14,3 millions de dollars de pertes en 18 mois à des escroqueries similaires par faux entretiens. Binance affirme avoir gelé ou intercepté environ 2,85 milliards de dollars, assumer la perte à la place de ses utilisateurs et avoir reconstitué 98 % des actifs concernés au 31 octobre. L'enquête se poursuit.