Chronologie de l'attaque

Selon le post‑mortem publié par Binance, l’intrusion débute en juin 2023 lorsqu’un développeur télécharge un installateur altéré diffusé par une publicité Google malveillante. En septembre, un second ingénieur reçoit un faux appel d’entretien d’embauche ; le prétendu recruteur fournit un devoir d’entretien contenant un malware. Le 20 octobre, le groupe nord‑coréen identifié comme “TraderTraitor” exploite l’accès initial pour activer un outil d’IA interne de Binance, puis, le 29 octobre, il se connecte à l’ordinateur d’un troisième employé et lance le transfert final de fonds, portant le total à 6,3 milliards de dollars.

Mécanismes techniques employés

Le premier vecteur repose sur une chaîne d’approvisionnement logicielle : le code d’installation, signé ou non, est modifié pour inclure un chargeur capable de remplacer le composant pyenv légitime par une version malveillante. Cette substitution donne aux attaquants un accès back‑door, car pyenv est utilisé pour gérer les environnements Python des services internes. Le deuxième vecteur utilise le social engineering : le faux devoir d’entretien incite la victime à exécuter un binaire qui, une fois lancé, supprime l’exécutable original et le remplace par le même chargeur, contournant les protections d’endpoint qui n’ont pas détecté le 0‑day.

Le malware intègre des techniques d’obfuscation avancées, notamment le chiffrement des communications et la génération dynamique d’instructions, afin d’éviter les signatures basées sur les heuristiques classiques. Les serveurs de commande‑et‑contrôle sont hébergés à l’extérieur du réseau de Binance, ce qui complique la traçabilité.

Limites de la défense MPC et rôle de l’IA interne

Binance utilise un portefeuille « hot » basé sur le Multi‑Party Computation (MPC). Cette architecture répartit la clé privée entre plusieurs parties, de sorte qu’aucune entité ne possède la clé complète. En pratique, cela empêche la révocation immédiate d’une autorisation EIP‑7702 compromise, car la transaction nécessite la coopération de plusieurs nœuds. Ainsi, les attaquants ont pu transférer des fonds pendant près de deux heures avant que le système ne réagisse.

L’outil d’IA interne, décrit comme « internal AI tool », a été détourné pour automatiser la découverte de comptes à privilèges et générer des scripts d’accès aux wallets des ingénieurs déjà compromis. Le post‑mortem ne détaille pas son architecture, mais il montre que l’accès à un outil de gestion automatisée peut amplifier un accès initial limité en permettant la prise de contrôle de plusieurs comptes en quelques minutes.

Réponse de Binance et état actuel

Binance affirme avoir détecté la première infection en juin et remplacé l’appareil concerné, mais les deuxièmes implants sont passés inaperçus. Après l’incident, la plateforme a bloqué 57 cas suspects liés à la Corée du Nord et a gelé ou intercepté environ 2,85 milliards de dollars d’actifs volés. Le CEO Richard Teng indique que 98 % des tokens impactés ont été restitués, le reste étant en cours de récupération, et que les retraits ont repris.