Linda examine le piratage de Binance et les questions entourant l’attaque

La créatrice de la communauté Cardano, Linda, a examiné la faille de sécurité de Binance dans une nouvelle vidéo, en s’interrogeant sur la façon dont les attaquants ont déplacé des milliards de dollars tout en passant en revue la réponse de la plateforme et l’enquête sur les responsables.

Son analyse fait suite à l’estimation de Binance selon laquelle environ 6,3 milliards de dollars ont été affectés par l’attaque du 29 octobre. Linda aborde aussi les spéculations selon lesquelles la faille serait une opération interne, tout en présentant les conclusions des enquêteurs qui pointent vers un groupe de pirates lié à la Corée du Nord.

Questions sur les contrôles de sécurité de Binance

Linda se concentre sur la première hypothèse selon laquelle la faille aurait impliqué un ordinateur portable compromis appartenant à un ingénieur DevOps de Binance. Elle s’interroge sur la manière dont un attaquant a pu accéder à des systèmes capables de déplacer une somme aussi importante et sur le point de savoir si des protections n’auraient pas dû arrêter les retraits plus tôt.

La vidéo inclut aussi une mise à jour ultérieure du PDG de Binance, Richard Teng. Dans la déclaration que présente Linda, Teng explique que les enquêteurs avaient identifié des points de compromission supplémentaires et décrit l’incident comme une attaque complexe.

Selon cette mise à jour, les attaquants ont utilisé des mécanismes qui détruisaient des outils et des traces au fur et à mesure de leurs opérations, ce qui a rendu l’enquête plus difficile. Les conclusions ultérieures indiquent que la faille ne peut pas être réduite à un seul ordinateur portable compromis.

Linda évoque aussi l’explication de Teng sur la manière dont les attaquants ont obtenu une approbation d’exécution impliquant un portefeuille Binance connecté à Internet. La mise à jour fait référence à EIP-7702, un mécanisme d’Ethereum qui permet à un compte de déléguer l’exécution à du code de contrat intelligent. Selon la déclaration montrée dans la vidéo, cette délégation n’est pas passée par les contrôles d’approbation habituels de Binance.

Comment les attaquants ont déplacé les fonds

Linda décrit une séquence rapide de transactions après le début des retraits non autorisés le 29 octobre. Selon son récit, la plupart des actifs concernés ont été déplacés en environ 20 minutes.

Les émetteurs de stablecoins Tether et Circle ont commencé à bloquer des adresses associées aux attaquants. De telles restrictions peuvent empêcher les jetons concernés d’être déplacés davantage, même si le gel des actifs est distinct de leur récupération et de leur restitution.

Linda explique que les attaquants ont déposé des USDT volés dans le protocole de prêt Aave et les ont utilisés comme garantie pour emprunter de l’ETH. Elle décrit aussi des stablecoins volés échangés contre de l’ETH avant que certaines adresses de réception ne soient bloquées.

ETH n’a pas d’émetteur central capable de geler des jetons à une adresse comme peuvent le faire les émetteurs d’USDT et d’USDC. Linda utilise les transactions pour montrer comment les attaquants sont passés d’un actif à l’autre pendant que les efforts de gel étaient en cours.

Sa vidéo met aussi en avant une observation de Chainalysis selon laquelle des milliers de transactions semblaient faire circuler des fonds entre des adresses, les renvoyant parfois vers des adresses intervenues plus tôt dans la séquence. Linda relie ce schéma à l’automatisation et aux efforts visant à obscurcir la trace des fonds.

Aave a temporairement restreint les nouveaux dépôts et les nouveaux emprunts par précaution. Linda note que les utilisateurs pouvaient toujours retirer des fonds et rembourser des prêts, tandis que des changements ultérieurs ont laissé USDT, USDC et plusieurs autres actifs avec un ratio prêt sur valeur de zéro, empêchant leur utilisation comme garantie pour de nouveaux emprunts.

[NEWSBREAK]

Spéculations sur une opération interne et l’enquête

Linda aborde les spéculations en ligne selon lesquelles la faille aurait impliqué des personnes en interne. Elle expose ses questions sur l’ampleur du vol et l’accent initial mis sur l’ordinateur portable d’un employé, mais ne présente pas de preuve établissant une opération interne.

Elle examine aussi des conclusions pointant dans une autre direction. Selon l’analyse présentée dans sa vidéo, la société d’intelligence blockchain TRM Labs a attribué l’attaque à Trader Traitor, un groupe lié à la Corée du Nord. Linda décrit le récit de la société concernant des préparatifs qui avaient commencé au moins 36 heures avant le vol, y compris la création de portefeuilles et des tests.

Linda fait référence à des conclusions de Chainalysis et de l’enquêteur ZachXBT concernant des liens entre des fonds issus de l’incident de Binance et un piratage antérieur de Bitget associé à des attaquants de Corée du Nord. Elle note qu’au moment de son enregistrement, Binance n’avait pas encore confirmé officiellement qui avait mené l’attaque.

La vidéo couvre aussi l’engagement de Binance à couvrir les pertes. Dans une déclaration montrée par Linda, la plateforme a indiqué avoir réservé plus de 6,34 milliards de dollars de fonds de l’entreprise, dont environ 5 milliards déjà détenus dans les mêmes types d’actifs touchés.

Depuis, Binance a commencé à rétablir les retraits par phases. Le 1er novembre, la plateforme a recommencé à rouvrir le service pour une sélection d’actifs et de réseaux, avec une disponibilité variable selon le jeton et la blockchain.