Binance affirme qu’une campagne informatique malveillante menée pendant plusieurs mois, impliquant un programme d’installation Homebrew altéré et un faux processus de recrutement, a permis aux attaquants d’accéder à son service interne de signature des portefeuilles. La plateforme d’échange estime qu’environ 6,34 milliards de dollars en cryptomonnaies ont été volés le 29 octobre.

Dans un rapport de sécurité publié le 3 novembre, Binance a décrit l’incident comme une opération en plusieurs étapes plutôt que comme une intrusion unique. La plateforme a indiqué que la première compromission connue avait eu lieu en juin, lorsqu’un ingénieur de son équipe Wallet DevOps avait téléchargé une version modifiée de Homebrew, un gestionnaire de paquets pour macOS, alors qu’il recherchait un outil de programmation fondé sur l’IA.

Binance a détecté une activité inhabituelle, remplacé l’appareil de l’ingénieur et modifié les identifiants associés. Toutefois, selon le rapport, les attaquants avaient déjà découvert le rôle de l’ingénieur et identifié des collègues travaillant sur l’infrastructure des portefeuilles de la plateforme.

En septembre, une deuxième ingénieure a été approchée sur une plateforme légitime de recherche d’emploi par une personne se faisant passer pour un directeur de projet. Le prétendu recruteur a organisé deux entretiens, dont un appel vidéo avec une supposée représentante des ressources humaines, qui partageait un compte sur les réseaux sociaux contenant des photos et des vidéos personnelles. L’ingénieure a ensuite été invitée à télécharger un exercice de programmation depuis un dépôt de logiciels malveillants. Binance a indiqué que le code s’exécutait pendant l’installation et remplaçait un composant légitime de l’outil de gestion des versions Python pvenv par un logiciel malveillant capable d’exécuter des commandes et de communiquer avec un serveur contrôlé par un attaquant. Les outils de sécurité des terminaux de la plateforme ne l’ont pas détecté à ce moment-là.

Binance a déclaré que les attaquants avaient progressé davantage le 20 octobre, en utilisant des ordinateurs compromis et un outil interne d’IA pour prendre le contrôle des appareils de deux ingénieurs chargés des portefeuilles. Ils ont également trouvé un jeton d’autorisation de déploiement de conteneur sur l’ordinateur de l’ingénieur visé pour la première fois en juin.

Le 29 octobre, les attaquants ont utilisé des identifiants volés pour accéder à l’ordinateur d’un autre ingénieur, déployer un conteneur et exécuter un script malveillant. Cela leur a donné accès au service interne de signature des portefeuilles de Binance, qu’ils ont utilisé pour effectuer des transactions depuis cinq portefeuilles chauds, en dehors du processus normal de retrait de la plateforme.

Le FBI a attribué le vol à la Corée du Nord le 1er novembre et a désigné ces activités sous le nom de « TraderTraitor ». La Corée du Nord a rejeté les accusations américaines, les qualifiant de « sottises absurdes ». Binance a déclaré avoir gelé ou intercepté environ 2,85 milliards de dollars d’actifs compromis et reconstitué 98 % des fonds concernés.

Sources: Tom's Hardware.