Le piratage de Binance a révélé comment un attaquant a utilisé une seule autorisation réussie de portefeuille Ethereum pour prendre le contrôle d'un portefeuille majeur de l'exchange, alors que Binance estime que la faille de sécurité du 29 octobre a affecté environ 6,3 milliards de dollars en cryptomonnaies.
Résumé
- Binance estime que l'incident de sécurité du 29 octobre a affecté environ 6,3 milliards de dollars en cryptomonnaies.
- Blockaid a retracé l'attaque jusqu'à 50 autorisations EIP-7702, dont une seule a ciblé avec succès le portefeuille chaud Binance 14.
- L'enquête initiale de Binance pointe vers l'ordinateur portable compromis d'un ingénieur DevOps, mais l'exchange n'a trouvé aucune preuve de fuite de clé privée.
- Tether et Circle ont gelé plus de 2,3 milliards de dollars en stablecoins liés à l'attaque, tandis que Binance a signalé environ 3 milliards de dollars gelés à travers divers actifs.
- Binance a suspendu les dépôts et les retraits pendant les contrôles de sécurité et s'est engagé à couvrir les pertes via son fonds SAFU et les réserves de l'entreprise.
Selon la société de sécurité blockchain Blockaid, l'attaquant a exploité le mécanisme d'autorisation EIP-7702 d'Ethereum pour rediriger le portefeuille chaud Binance 14, très utilisé, vers un contrat intelligent malveillant. L'attaquant a soumis 50 autorisations dans une seule transaction, mais une seule correspondait au compteur de transactions du portefeuille et a activé avec succès le contrat.
La mise à jour de sécurité du 30 octobre de Binance a identifié l'ordinateur portable potentiellement compromis d'un ingénieur DevOps comme point d'entrée initial. L'exchange a déclaré qu'environ 3 milliards de dollars d'actifs affectés avaient été gelés et s'est engagé à couvrir les pertes des clients.
Le piratage de Binance a utilisé 50 autorisations pour prendre le contrôle du portefeuille chaud
L'enquête de Blockaid a identifié une transaction Ethereum soumise à 20:20:59 UTC le 29 octobre, contenant 50 autorisations EIP-7702 ciblant Binance 14.
L'EIP-7702 permet à un portefeuille Ethereum ordinaire de déléguer l'exécution des transactions à du code de contrat intelligent. Chaque autorisation doit correspondre au nonce actuel du portefeuille, un compteur de transactions qui change au fur et à mesure que le compte traite des transactions.
Comme Binance 14 traitait activement des retraits, l'attaquant ne pouvait pas prédire son nonce de manière fiable. Les autorisations soumises couvraient des valeurs consécutives entre 18 914 775 et 18 914 824, augmentant la probabilité que l'une d'elles corresponde lorsque Ethereum traitait la transaction.
Une seule autorisation a réussi. Elle dirigeait le portefeuille vers un contrat non vérifié qui permettait à une adresse contrôlée par l'attaquant d'exécuter une fonction appelée sweep(), transférant des ETH et des jetons ERC-20 tout en conservant 1 ETH pour les frais de transaction.
La délégation malveillante aurait pu exposer les dépôts ultérieurs jusqu'à ce que Binance la supprime. L'exchange a ensuite confirmé avoir révoqué l'autorisation affectée.
De précédentes attaques de portefeuille EIP-7702 avaient démontré des risques similaires, notamment un incident du 14 octobre au cours duquel un compte Ethereum compromis a perdu environ 22 770 dollars en ETH.
Binance déclare qu'un ordinateur portable compromis pourrait avoir permis des retraits non autorisés
L'enquête préliminaire de Binance a identifié une possible compromission de l'ordinateur portable d'un ingénieur DevOps, ce qui pourrait avoir donné à l'attaquant accès à un conteneur de service interne utilisé pour soumettre des transactions de retrait.
La plateforme d'échange a déclaré que les enquêteurs n'avaient trouvé aucune preuve qu'une clé privée de portefeuille ait fuité, bien qu'ils n'aient pas établi précisément comment l'attaquant avait obtenu les autorisations nécessaires pour rediriger Binance 14.
Les registres blockchain examinés par Blockaid ont montré que les préparatifs avaient commencé avant le vol principal. L'attaquant a alimenté une adresse opérationnelle via trois retraits Tornado Cash et a déployé le contrat malveillant plusieurs heures avant de l'utiliser contre Binance.
Vers 20h24 UTC, l'attaquant a vidé Binance 14 de cryptomonnaies d'une valeur d'environ 2,5 milliards de dollars. Les transferts comprenaient 167 464 ETH, plus de 1,6 milliard d'USDT et des dizaines d'autres jetons.
D'autres transferts ont impliqué Binance 16 et un autre portefeuille chaud Ethereum contenant des USDC. L'opération s'est étendue sur plusieurs réseaux blockchain, notamment Bitcoin, Tron, Arbitrum et Avalanche.
Des recherches antérieures sur les délégations de portefeuilles malveillantes avaient identifié des contrats automatisés conçus pour transférer des actifs depuis des comptes compromis à la suite de la mise à niveau Pectra d'Ethereum.
Tether et Circle gèlent des milliards liés au piratage de Binance
À la suite de l'attaque, les émetteurs de cryptomonnaies ont commencé à restreindre l'accès aux actifs associés à des adresses suspectes.
Le PDG de Tether, Paolo Ardoino, a confirmé que l'émetteur de stablecoins avait gelé plus de 1,567 milliard d'USDT liés à la violation présumée. Le PDG de Circle, Jeremy Allaire, a séparément rapporté le gel de plus de 800 millions d'USDC tout en coordonnant avec les forces de l'ordre.
Le dirigeant de la stablecoin de Ripple, Jack McDonald, a déclaré que l'entreprise travaillait avec les parties concernées pour geler les avoirs en RLUSD affectés.
Pendant ce temps, le Conseil de sécurité d'Arbitrum a rapporté le transfert de 74 559 805 ARB et 8 425 ETH depuis une adresse liée à l'attaque vers un portefeuille intermédiaire restreint. L'organisation a déclaré que les actifs ne pourraient être déplacés qu'à la suite d'une nouvelle action du conseil ou d'une décision de gouvernance de l'Arbitrum DAO.
La réponse coordonnée a laissé environ 3 milliards de dollars gelés parmi les actifs affectés, selon la dernière estimation de Binance.
Binance promet de couvrir les pertes alors que l'enquête se poursuit
Binance a temporairement suspendu les dépôts et les retraits pendant qu'elle effectuait des contrôles de sécurité et collaborait avec des entreprises d'intelligence blockchain et les forces de l'ordre.
La plateforme d'échange a déclaré qu'elle utiliserait son Fonds d'actifs sécurisés pour les utilisateurs (SAFU) et les fonds de l'entreprise pour couvrir les pertes. Une preuve de réserves mise à jour suivra une fois la remédiation terminée.
Le fondateur de Binance, Changpeng Zhao, a publiquement reconnu la violation présumée, déclarant : « Les fonds des utilisateurs sont en sécurité ! » Il a ajouté qu'il ne gérait plus la plateforme d'échange mais s'attendait à ce que les clients soient entièrement couverts.
La filiale américaine de la plateforme d'échange a séparément déclaré que ses opérations n'avaient pas été affectées par l'incident.
Binance a déclaré que les enquêteurs continuaient de déterminer comment l'attaquant avait accédé à ses systèmes internes et obtenu les autorisations de portefeuille. L'entreprise prévoit de publier une analyse post-mortem technique détaillée après avoir terminé son enquête.
