Contexte de l'incident

Le 29 octobre 2024, des attaquants ont vidé les hot wallets de Binance de 6,3 milliards de dollars. L’accès a été obtenu en compromettant l’ordinateur portable d’un ingénieur DevOps, ce qui a permis de détourner les services internes de signature de transactions. Cette chaîne d’événements montre la vulnérabilité des environnements de production où les clés de signature sont accessibles depuis des postes de travail non isolés.

Mécanismes de compromission et de récupération

Le vecteur d’attaque repose sur l’exposition d’une clé privée stockée sur le laptop de l’ingénieur. Une fois la clé obtenue, les assaillants ont pu générer des signatures valides pour déplacer les actifs vers des adresses externes. Binance a immédiatement suspendé les retraits et lancé une enquête interne, tout en mobilisant son équipe de réponse aux incidents pour identifier les points de fuite. La récupération a été rendue possible grâce à la traçabilité des transactions sur la blockchain, qui a permis de geler les adresses de destination et de récupérer partiellement les fonds via des accords avec les exchanges tiers.

Financement du remboursement et preuve de réserves

Pour reconstituer les actifs, Binance a mobilisé trois sources : une partie du fonds SAFU (Secure Asset Fund for Users), une portion du fonds d’assurance des contrats à terme et les réserves de la trésorerie d’entreprise. Cette combinaison a couvert 90 % du total, soit environ 5,7 milliards de dollars, laissant 10 % des tokens moins liquides hors du top‑10 à reconstituer. Le 31 octobre à 00 h UTC, Binance a effectué un nouveau snapshot de ses réserves, accompagné d’une preuve à connaissance nulle (ZK‑proof) prévue pour le 3 novembre. Cette preuve vise à démontrer que les actifs déclarés correspondent aux soldes réels sans divulguer d’informations sensibles, renforçant ainsi la transparence vis‑à‑vis des utilisateurs.

Implications pour la sécurité et la confiance

Le fait que les actifs du top‑10 (BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD, ZEC) soient désormais 100 % couverts élimine le risque de perte directe pour les utilisateurs de ces monnaies. Cependant, la dépendance à des clés privées stockées sur des postes de travail expose un point faible architectural : les environnements DevOps doivent être isolés, idéalement via des HSM (Hardware Security Modules) ou des solutions de secret management. Le recours à plusieurs fonds de secours montre une stratégie de résilience financière, mais la nécessité de recourir à la trésorerie d’entreprise indique que les mécanismes d’assurance internes ne sont pas encore suffisants pour couvrir des pertes de cette ampleur. Enfin, la mise en place d’une ZK‑proof constitue une avancée technique notable, mais son efficacité dépendra de la vérifiabilité indépendante de la preuve et de la rapidité de sa publication.