Contexte du piratage
Le week‑end dernier, trois entités – le FBI, TRM Labs et deux cabinets d’investigation – ont attribué le vol de 6 milliards de dollars à des acteurs nord‑coréens. Kim Yo‑jong, sœur du dirigeant nord‑coréen, a contesté cette qualification, qualifiant l’accusation de « cyber criminal state ». L’enquête indique que les attaquants ont ciblé un portefeuille chaud de Binance, un point d’accès privilégié pour les transactions rapides.
Mécanisme technique exploité
TRM Labs a identifié l’usage de l’EIP‑7702, une proposition d’amélioration d’Ethereum introduite en 2023. Cette norme permet de créer un compte avec une autorisation d’exécution pré‑signée, sans nécessiter de transaction de création de contrat. Les hackers ont testé le code sur trois portefeuilles avant de déployer la technique sur le portefeuille chaud de Binance. Ils ont généré 50 autorisations pré‑signées, dont une restait valide en permanence, transformant ainsi le portefeuille en « sweeper » capable de vider les fonds dès qu’une transaction était initiée.
Réponse de Binance
Le 2 novembre, Binance a publié son premier audit de réserves, démontrant la détention d’actifs équivalents aux soldes clients. L’échange a déclaré avoir reconstitué environ 95 % des actifs affectés en utilisant ses propres fonds, limitant l’impact sur les utilisateurs. Aucun détail n’a été fourni sur la méthode de reconstitution, mais la rapidité de l’opération suggère une liquidité interne suffisante pour couvrir les pertes.
Analyse des implications
L’utilisation d’EIP‑7702 montre que les améliorations d’Ethereum, conçues pour optimiser la flexibilité des comptes, peuvent être détournées lorsqu’elles sont combinées à des autorisations massives. La présence de 50 signatures pré‑signées indique une planification avancée, où chaque signature agit comme une clé de secours pour contourner les éventuels blocages. Cette approche réduit la dépendance à un seul point de défaillance, augmentant la résilience de l’attaque.
Du point de vue de la sécurité, le cas souligne la nécessité de surveiller les portefeuilles chauds non seulement pour les mouvements de fonds, mais aussi pour les changements de code et les nouvelles autorisations. Les échanges pourraient envisager de désactiver ou de restreindre l’usage d’EIP‑7702 sur leurs comptes critiques, ou d’appliquer des seuils de validation multi‑signatures pour chaque autorisation générée.
Enfin, la contestation officielle de la Corée du Nord ne modifie pas les preuves techniques présentées par les enquêteurs. Le débat politique risque de détourner l’attention des vulnérabilités réelles du protocole, retardant d’éventuelles mesures correctives au niveau de la communauté Ethereum.
