Piratage de Binance : 20 minutes pour siphonner 6,3 milliards

Le piratage de Binance a débuté jeudi 29 octobre vers 21 heures, heure de Paris. En une vingtaine de minutes, plusieurs portefeuilles de la plateforme ont déversé leurs fonds vers des adresses contrôlées par un seul pirate, sur dix blockchains différentes, dont Bitcoin, Ethereum et Tron.

Binance, première plateforme d'échange de cryptomonnaies au monde, a d'abord évoqué une enquête en cours avant de confirmer l'ampleur des dégâts. Dans un message publié sur son compte X pour l'Amérique latine, l'entreprise a indiqué que "le montant total impacté était d'environ 6,3 milliards de dollars". Elle a aussitôt suspendu tous les dépôts et retraits sur la plateforme.

Un ordinateur piraté et une faille Ethereum

Selon les premières conclusions de Binance, l'origine de l'attaque remonterait à l'ordinateur portable d'un ingénieur DevOps, qui aurait permis à l'intrus d'accéder à un conteneur de services internes. La plateforme assure n'avoir trouvé aucune trace de fuite de ses clés privées.

Sur Ethereum, l'attaquant a détourné une fonction du réseau appelée EIP-7702, qui permet à un portefeuille ordinaire de confier sa gestion à un contrat intelligent par simple signature. Il a soumis 50 autorisations de ce type, et l'une d'elles, signée à l'avance par un portefeuille chaud de Binance, est passée. Trois minutes plus tard, 167 464 ethers et 1,6 milliard de dollars d'USDT ont quitté ce portefeuille. Dans la demi-heure qui a suivi, les portefeuilles de Binance sur les neuf autres blockchains ont été vidés de la même manière.

La société d'analyse blockchain TRM Labs, qui chiffre le vol à 6,36 milliards de dollars, attribue l'attaque au groupe nord-coréen TraderTraitor. Binance n'a pas confirmé cette piste.

La course au gel des fonds

Face à l'ampleur du siphonnage, les émetteurs de stablecoins ont réagi dans l'heure. Tether a bloqué 971 millions de dollars d'USDT dans le portefeuille principal du pirate dès 22h01, trente-sept minutes après le gros du vol, avant de porter son gel total à 1,77 milliard de dollars. Circle a immobilisé 823 millions de dollars d'USDC trois minutes plus tard, un montant monté ensuite à 825 millions. Ripple, World Liberty Financial et le conseil de sécurité du réseau Arbitrum ont bloqué d'autres fonds, pour un total d'environ 2,7 milliards de dollars selon TRM Labs.

Malgré cette riposte, le pirate conservait encore, vers 1h30 vendredi, plus de 420 000 ethers et 18 270 bitcoins, soit environ 2,4 milliards de dollars hors de portée de tout émetteur. Il a commencé à écouler une partie de ses stablecoins contre des ethers, avec une décote de plus de 10 %, et a emprunté près de 19 760 ETH sur le protocole de prêt Aave en déposant des USDT volés en garantie.

Les clients français privés de retraits

Faute d'agrément européen MiCA, Binance ne fournit plus de services sur cryptoactifs en France depuis le 1er juillet, et Binance France ne figure plus au registre de l'Autorité des marchés financiers depuis le lendemain. Les clients français conservaient toutefois la possibilité de retirer leurs cryptomonnaies et leurs euros. Ce dernier service est désormais suspendu lui aussi, le temps que la plateforme termine son analyse de sécurité.

« Nous réactiverons les retraits dès que l'analyse de sécurité sera terminée », Yi He, cofondatrice et codirigeante de Binance.

Aucun fonds de garantie des dépôts ne couvre des cryptomonnaies laissées sur une plateforme d'échange. Binance affirme vouloir couvrir toutes les pertes grâce à son fonds d'urgence SAFU et à sa trésorerie. L'entreprise a promis de publier une preuve de réserves actualisée une fois ses correctifs en place.

« Il s'agit du plus grand piratage de l'histoire », Aravind Srinivasan, responsable des activités OTC chez GSR.

La société de sécurité TRM Labs s'attend à voir les fonds encore détenus par le pirate transiter dans les prochains jours par des ponts entre blockchains et des courtiers de gré à gré, afin de brouiller leur trace avant toute tentative de nouveau gel.