Contexte de l'attaque
En mai 2024, Binance a confirmé qu’une série d’opérations frauduleuses avait permis le transfert de 6,34 milliards de dollars depuis des comptes clients. L’échange a indiqué que les fonds provenaient d’un petit nombre de portefeuilles à forte valeur, ciblés de manière précise. L’incident a déclenché la suspension temporaire des retraits et une enquête interne approfondie.
Techniques de compromission
Selon le rapport de Binance, les assaillants ont d’abord employé des phishing classiques pour obtenir les identifiants de connexion et les codes d’authentification à deux facteurs (2FA). Des courriels imitant les communications officielles de Binance ont conduit les victimes à saisir leurs mots de passe sur des sites factices. Dans plusieurs cas, les attaquants ont exploité la réutilisation de mots de passe sur d’autres services, facilitant le credential stuffing.
Une fois les comptes compromis, les hackers ont utilisé les clés API associées aux portefeuilles pour automatiser les retraits. Ces clés, souvent créées pour des bots de trading, accordaient des permissions de retrait sans nécessiter de confirmation supplémentaire, contournant ainsi la protection 2FA. Les auteurs ont également profité d’une liste blanche de retraits pré‑configurée, qui autorisait le transfert vers des adresses déjà approuvées.
Analyse des vecteurs et des failles
Les « trucs bien connus » cités par Binance reposent sur la faiblesse du facteur humain plutôt que sur une vulnérabilité logicielle. Le phishing exploite la confiance des utilisateurs, tandis que le credential stuffing tire parti de bases de données de mots de passe fuités. La présence de clés API avec des droits étendus constitue un point d’exposition critique : sans segmentation des permissions, une clé compromise donne un accès complet aux fonds.
Le mécanisme de liste blanche, conçu pour accélérer les retraits légitimes, devient un vecteur d’escalade lorsqu’il n’est pas soumis à une validation supplémentaire. En l’absence de vérification de l’adresse de destination à chaque transaction, les attaquants peuvent rediriger les fonds vers leurs propres portefeuilles en quelques secondes.
Réactions et mesures de mitigation
Binance a annoncé la mise en place de plusieurs contre‑mesures : renforcement de la surveillance des activités API, introduction d’une authentification multi‑facteurs obligatoire pour la création de clés API, et révision des listes blanches afin d’exiger une confirmation manuelle pour chaque nouveau destinataire. L’échange a également lancé un programme de remboursement partiel pour les victimes, tout en soulignant que la majorité des pertes provenait de comptes déjà compromis avant l’incident.
Pour les utilisateurs, l’article recommande de désactiver les clés API inutilisées, d’activer le 2FA matériel (U2F) et de ne jamais réutiliser de mots de passe. Du point de vue des plateformes, la leçon principale est la nécessité de séparer les privilèges d’accès et de coupler chaque action critique à une validation indépendante, même lorsqu’une adresse figure sur une liste blanche.
