Binance a publié de nouveaux détails sur la cyberattaque ayant entraîné une perte de 6,34 milliards de dollars en actifs numériques, attribuée par le FBI à la Corée du Nord. Le vol a eu lieu le 29 octobre et est décrit comme le plus grand braquage financier de l'histoire.
Selon Binance, l'opération ne s'est pas déroulée en une seule journée. Elle a commencé en juin et a reposé sur deux procédés bien connus — un outil de développement piégé et un faux processus de recrutement — plutôt que sur l'exploitation coûteuse d'une faille zero-day.
Comment l'attaque contre Binance s'est déroulée
En juin, un ingénieur Wallet DevOps travaillant sur l'infrastructure du portefeuille de Binance a téléchargé un installateur Homebrew piégé pour un outil de codage assisté par IA, trouvé via un moteur de recherche, selon Binance. 9to5Mac note que le malware ciblait /opt/homebrew, l'emplacement utilisé par Homebrew sur les Mac à puce Apple silicon, ce qui signifie que la machine était presque certainement un MacBook de la gamme M. Binance affirme avoir détecté l'anomalie à l'époque, mais l'incident a tout de même exposé des informations sur les collègues de l'ingénieur aux attaquants.
Puis en septembre, un autre ingénieur logiciel de Binance a été contacté par un « Directeur de projet » sur une plateforme de recherche d'emploi légitime. Il a passé deux entretiens : un appel vidéo en direct avec une prétendue responsable RH qui a partagé un compte personnel sur les réseaux sociaux pour instaurer la confiance, puis un entretien via une application de messagerie avec le prétendu PDG d'une société fictive. Le faux PDG lui a envoyé un exercice, et le fichier contenait un malware exécuté lors de l'installation, utilisant ce que Binance a qualifié de techniques d'obfuscation et d'évasion sophistiquées.
Le 20 octobre, les attaquants ont utilisé l'ordinateur compromis de l'ingénieur logiciel et un outil d'IA interne pour prendre le contrôle des machines de l'ingénieur Wallet DevOps et d'un autre collègue. Le 29 octobre, ils se sont connectés à l'ordinateur du troisième ingénieur, ont utilisé des identifiants volés et ont déclenché un script malveillant.
