Community Trust ScoreVérifié
Binance a perdu une somme estimée à 6,3 milliards de dollars en actifs numériques lors d’une attaque coordonnée en octobre, une violation qui a exposé des vulnérabilités critiques dans la gestion des autorisations on-chain par l’échange. L’incident, qui a commencé avec un ingénieur compromis en juin, a culminé par un vidage massif des portefeuilles chauds le 29 octobre, malgré la tentative de Binance de suspendre les retraits pour protéger les fonds des clients.
L’approbation EIP-7702 contourne les contrôles
Le cœur de l’échec résidait dans l’utilisation d’EIP-7702, une proposition d’amélioration d’Ethereum qui permet aux comptes de déléguer les droits d’exécution à des contrats intelligents. Les attaquants ont exploité ce mécanisme pour déléguer l’exécution à un code malveillant sur un portefeuille chaud Ethereum. Selon Binance, 50 transactions signées ont été impliquées dans la manipulation du nonce du compte et l’établissement de cette délégation. Cette action a effectivement donné aux attaquants le contrôle sur les capacités de transaction du portefeuille, contournant les suspensions de retraits internes de l’échange.
« Mettre en pause les retraits désactive le logiciel de l’échange lui-même, mais ne fait rien aux autorisations que l’attaquant a déjà écrites sur la blockchain », a déclaré Brian Cubellis, directeur de la stratégie chez Onramp. Les portefeuilles chauds de l’échange utilisaient le calcul multi-parties (MPC), un modèle de sécurité qui évite les clés privées uniques, mais qui signifiait également qu’il n’y avait pas de clé unique disponible pour révoquer immédiatement la délégation malveillante. Les ingénieurs ont dû développer une procédure de révocation spécialisée pendant l’incident, un processus qui a pris du temps supplémentaire à exécuter.
Chronologie de l’attaque et vidage
L’intrusion a commencé des mois avant l’attaque principale. En juin, un ingénieur a téléchargé un paquet d’installation falsifié pour un outil de codage IA. En septembre, un autre ingénieur a été approché par le biais d’un processus de recrutement fictif impliquant des entretiens et une tâche de codage malveillante. Le 20 octobre, les attaquants ont utilisé des systèmes d’employés compromis et des outils IA internes pour accéder à des machines supplémentaires, obtenant finalement les identifiants d’accès à l’infrastructure de signature des portefeuilles de Binance.
Le vidage principal s’est produit entre 20h05 et 20h09 UTC le 29 octobre. Pendant cette fenêtre de quatre minutes, les portefeuilles chauds ont transféré 223,46 millions de XRP, 970 500 SOL et 44,2 millions d’OP vers des adresses contrôlées par les attaquants. Le dernier transfert non autorisé d’Ethereum signalé de 2 961,9 ETH a été confirmé on-chain à 23h56 UTC. Ce n’est qu’à 00h10 UTC le 30 octobre que Binance a effacé la délégation EIP-7702 malveillante en émettant une nouvelle autorisation vers l’adresse zéro, révoquant ainsi efficacement le contrôle de l’attaquant.
Consolidation des dépôts et récupération
Même après le vol initial, le système de dépôt de l’échange continuait d’envoyer des fonds vers le portefeuille compromis. Four Pillars a rapporté le 4 novembre que le système de consolidation des dépôts de Binance continuait de collecter des fonds dans un portefeuille Ethereum compromis identifié comme Binance 14. Nexus Mutual a noté qu’à environ 21h44 UTC, l’attaquant a balayé 200 millions de USDT qui avaient été déposés environ 72 secondes plus tôt.
Chainalysis a décrit une tentative des attaquants de déplacer environ 500 millions de dollars en stablecoins via une adresse d’échange. En environ 20 minutes, ils ont converti environ 325 millions de dollars en actifs moins susceptibles d’être gelés par les émetteurs, y compris l’Ether. Les 175 millions de dollars restants du mouvement de stablecoins tenté ont été gelés. Les émetteurs de stablecoins tels que Tether et Circle peuvent geler les jetons aux adresses désignées, une capacité qui n’existe pas pour des actifs comme Bitcoin ou Ether.
Binance a rapporté le 3 novembre qu’environ 2,85 milliards de dollars avaient été gelés ou interceptés. Le 4 novembre, l’échange a déclaré avoir reconstitué environ 98 % des avoirs affectés par des achats de remplacement. L’incident sert de rappel saisissant des risques associés aux délégations de contrats intelligents. « Un échange devrait prouver, avant d’être attaqué, qu’il peut annuler toute autorisation sur ses portefeuilles et déplacer les fonds exposés en sécurité, même si son propre système de signature a été pris en charge », a ajouté Cubellis.
La violation fait écho à des incidents antérieurs dans l’industrie. En février 2025, Bybit a subi un piratage où les attaquants ont volé environ 1,5 milliard de dollars après avoir compromis son processus d’approbation Safe{Wallet}. La divulgation forensique de Bybit a déclaré que des modifications malveillantes ont trompé les signataires pour qu’ils approuvent une transaction non autorisée, bien que ses enquêteurs n’aient trouvé aucune indication que son propre infrastructure ait été compromise. Alors que les échanges continuent d’intégrer la fonctionnalité de contrats intelligents, la sécurité des autorisations de délégation reste un domaine de concentration critique.
