6,3 milliards de dollars dérobés chez Binance : l’ordinateur portable d’un ingénieur aurait suffi

L’attaque qui a vidé plusieurs portefeuilles de Binance aurait commencé sur un simple poste de travail. Dans les premiers résultats de son enquête, publiés sur X ce vendredi 30 octobre, la plateforme désigne l’ordinateur portable compromis d’un ingénieur DevOps. Ces techniciens écrivent les logiciels et gèrent aussi les serveurs qui les font tourner. L’attaquant s’en serait servi pour entrer dans un « service container » et soumettre lui-même des ordres de retrait.

Il n’aurait donc pas eu besoin de forcer les portefeuilles et Binance dit n’avoir trouvé aucune preuve de fuite de clé privée. Ce jeudi 29 octobre au soir, comme nous l’expliquions au moment de l’attaque, on ne voyait que le symptôme, le portefeuille « Binance 14 » vidé d’un coup sur Ethereum.

Binance chiffre désormais l’impact total à environ 6,3 milliards de dollars, contre 5,8 milliards estimés dans la soirée. Environ 3 milliards de dollars, soit 2,7 milliards d’euros, ont été gelés on-chain, c’est-à-dire bloqués directement sur la blockchain, en grande partie par les émetteurs de stablecoins. La plateforme promet de couvrir toutes les pertes avec son fonds d’urgence SAFU et ses fonds propres. Or il reste environ 3,3 milliards de dollars non gelés, alors que le SAFU valait près de 1,2 milliard jeudi soir. La trésorerie de Binance devra donc payer l’essentiel.

Pourquoi l’attaquant n’avait pas besoin des clés

Un container est une petite boîte logicielle isolée qui fait tourner un seul programme sur un serveur. Dans une plateforme d’échange, le service qui prépare les retraits des clients peut fonctionner de cette façon. Il reçoit la demande, puis la transmet au système qui signe la transaction avec la clé du portefeuille. Binance n’a pas encore dit quel rôle jouait son container, ni quels droits l’attaquant y avait. Mais s’il pouvait soumettre des retraits, il pouvait faire signer le système à sa place : la clé reste à l’abri et signe quand même ce qu’on lui présente.

La société américaine d’analyse blockchain TRM Labs arrive à la même conclusion par un autre chemin. Dans son analyse publiée le 29 octobre, elle relève que des portefeuilles Binance sur neuf autres blockchains, dont Bitcoin, Tron et le XRP Ledger, ont envoyé leurs fonds à l’attaquant par de simples transferts signés, presque tous en une demi-heure. Pourtant, ces portefeuilles utilisent des types de clés et des méthodes de signature différents. Pour TRM, le plus probable est donc que l’attaquant pouvait faire signer au système de Binance les transactions de son choix, sur toutes ces blockchains.

Aucun suspect pour le moment

Binance n’a désigné aucun coupable. Elle dit travailler avec les forces de l’ordre et des sociétés d’analyse blockchain pour suivre les fonds.

Les retraits restent bloqués. Binance avait d’abord suspendu aussi les dépôts, mais Yi He, cofondatrice et co-CEO, a précisé ce vendredi qu’ils fonctionnent normalement et que les retraits devraient reprendre d’ici 48 heures. La plateforme publiera ensuite une nouvelle preuve de réserves, le relevé censé montrer qu’elle détient bien les fonds de ses clients. Le post-mortem technique promis, qui doit expliquer comment l’ordinateur a été piraté et quels contrôles n’ont pas fonctionné, n’a pas encore de date.