Binance affirme qu'une fausse entrevue d'embauche a conduit au vol de 6,3 milliards de dollars de cryptomonnaies

Binance a déclaré que des pirates avaient utilisé une fausse entrevue d'embauche pour compromettre l'ordinateur d'un employé avant d'exploiter un outil d'intelligence artificielle interne afin d'effectuer des transactions non autorisées dans le cadre d'un vol de cryptomonnaies de 6,3 milliards de dollars.

Comment l'attaque s'est déroulée

L'attaque a commencé en juin lorsqu'un ingénieur a téléchargé une installation malveillante de Homebrew. Binance a détecté le logiciel malveillant, a remplacé l'appareil et a fait tourner les identifiants concernés, mais le rôle de l'ingénieur et celui de ses collègues de l'équipe d'infrastructure des portefeuilles ont été exposés au pirate.

En septembre, un autre ingénieur logiciel a été contacté via une plateforme légitime de recherche d'emploi par une personne se faisant passer pour un directeur de projet. Cette personne a organisé une série d'entrevues d'embauche avec une société fictive. Lors d'une entrevue vidéo en direct, un faux représentant des ressources humaines a partagé un compte de réseaux sociaux contenant des photos et des vidéos personnelles afin de gagner la confiance de l'ingénieur. Lors d'une deuxième entrevue sur une application de messagerie sociale populaire, une personne se disant être le PDG a demandé à l'ingénieur de télécharger une tâche contenant un dépôt de code malveillant. Le code a été exécuté sur l'ordinateur professionnel de l'ingénieur lors de l'installation.

Selon Binance, le logiciel malveillant a remplacé un composant légitime d'un outil de développement par une version malveillante, qui a exécuté des commandes et établi une communication avec un serveur externe contrôlé par l'attaquant. Les outils de sécurité de point de terminaison de Binance n'ont pas immédiatement détecté le logiciel malveillant.

Le 20 octobre, les attaquants ont utilisé l'ordinateur compromis et un outil d'IA interne pour accéder aux ordinateurs de l'ingénieur A en DevOps de portefeuille et d'un autre développeur de logiciels de portefeuille, l'ingénieur C. L'ingénieur A disposait d'un jeton d'autorisation de déploiement de conteneurs sur son ordinateur.

Le 29 octobre, l'attaquant a accédé à l'ordinateur de l'ingénieur C, a utilisé les identifiants volés de l'ingénieur A pour déployer un conteneur et a déclenché un script pour lancer l'attaque de vol de cryptomonnaies.

Attribution et réponse

Le FBI a attribué le vol à TraderTraitor, une opération de piratage nord-coréenne liée au groupe Lazarus. La Corée du Nord a rejeté cette affirmation.

Binance a déclaré qu'elle avait reconstruit le système de portefeuille compromis et l'outil d'IA interne, remplacé tous les appareils concernés et mis hors service tous les identifiants et jetons attribués aux ingénieurs compromis. La bourse travaille avec les forces de l'ordre, les entreprises d'intelligence sur la blockchain et les chercheurs en sécurité pour tracer et geler les actifs.

Binance a engagé des experts indépendants en cybersécurité pour effectuer un examen de la cybersécurité de l'incident et recommander des mesures de protection supplémentaires. Elle travaille également à la création d'un fonds de recherche en sécurité et d'initiatives avec des entreprises d'IA et des sociétés de sécurité pour se concentrer sur la sécurité de l'IA dans les environnements blockchain.

Récupération et fonds des clients

Binance a déclaré qu'elle absorbait l'impact financier et couvrirait toutes les pertes. La bourse a indiqué avoir reconstitué environ 90 % des actifs volés, couvrant ainsi environ 6 milliards de dollars des pertes estimées. Les principales cryptomonnaies, y compris le bitcoin, l'ethereum, le tether et le BNB, sont restées entièrement adossées.

Les géants des stablecoins Tether et Circle Internet Group Inc., ainsi que d'autres entités, ont rapidement gelé ou empêché les pirates de déplacer près de 3 milliards de dollars de fonds. Binance a temporairement suspendé les dépôts et les retraits après avoir divulgué la violation et les a réactivés samedi.

« Cela n'aurait pas dû arriver, et nous nous excusons pour l'inquiétude, la perturbation et l'incertitude que cela a causées à nos utilisateurs, partenaires et à l'industrie dans son ensemble », a déclaré Binance dans le rapport.

Sources (en anglais)

• theregister.com: North Korean fake job interview led to $6.3B Binance heist
• nbcnews.com: Binance: Hackers used fake job interview before $6.3 billion hack
• fortune.com: North Korea used LinkedIn to trick Binance engineer in $6.3 billion hack | Fortune
• claimsjournal.com: Binance Hackers Used Fake Job Interviews in $6.3 Billion Heist
• finance.yahoo.com: $6 billion Binance hack started with a fake job interview
• foxbusiness.com: Binance traces $6.3B crypto theft to multistage attack that began with fake interview | Fox Business

Traduction réalisée par IA de l’article original en anglais, vérifiée automatiquement pour dire la même chose que l’original. Les sources ont été vérifiées en anglais.