Binance : 6,3 milliards de dollars volés via le portable d'un ingénieur

Binance a confirmé le jeudi 29 octobre le vol de 6,3 milliards de dollars en cryptomonnaies, le plus gros casse crypto jamais enregistré. La plateforme a suspendu les retraits — les dépôts n'ont pas été affectés — avant d'annoncer leur rétablissement le dimanche matin. Les détails et déclarations qui suivent proviennent de Binance et du compte rendu de Next.

Le point d'entrée : un poste de travail

Selon la version de Binance, l'ordinateur portable d'un ingénieur DevOps aurait permis à un attaquant d'accéder à un service interne et de soumettre des retraits non autorisés. L'enquête aurait depuis révélé d'autres points d'intrusion. La formulation reste au conditionnel : Binance n'a pas publié de post-mortem technique complet, et l'enchaînement exact entre le poste compromis et l'autorisation des retraits n'est pas détaillé publiquement.

C'est le schéma qui compte pour les équipes : un endpoint d'ingénieur sert de tremplin vers un service interne capable d'ordonner des mouvements de fonds. Le problème n'est pas « la crypto », c'est l'exposition d'une fonction critique à un poste de travail.

La réponse de Binance

• Gel d'environ 3 milliards de dollars d'actifs avec des partenaires, notamment via la mise en liste noire par certains émetteurs de stablecoins.
• Engagement à couvrir intégralement les pertes avec ses fonds propres et le fonds SAFU. Binance indique détenir environ 5 milliards de ses fonds propres dans les mêmes cryptos que celles dérobées, et racheter le reste sur le marché.
• Rétablissement des retraits annoncé pour le dimanche matin, la localisation et la récupération des fonds se poursuivant.

Attribution : prudence

L'attaque est attribuée à la Corée du Nord, plus précisément au groupe TraderTraitor, par la société d'analyse Elliptic — citée par le Wall Street Journal — et à partir d'éléments relevés par le chercheur ZachXBT. C'est une attribution d'analystes, pas une inculpation : à prendre comme telle. Le même groupe est associé au vol de 388 millions de dollars chez Bitget le mois précédent et au casse de Bybit (1,5 milliard de dollars) l'an dernier.

Que faire

1. Segmentez les services de mouvement de fonds (ou tout service interne sensible) des postes de travail des équipes techniques. Un portable DevOps ne devrait pas pouvoir atteindre directement une fonction d'autorisation de retrait.
2. Exigez une authentification forte matérielle (clés FIDO2) sur les consoles et services internes critiques, et une double validation humaine hors bande pour les mouvements importants.
3. Faites tourner les secrets accessibles depuis les postes d'ingénierie, et partez du principe qu'un endpoint compromis a exposé tout ce qu'il pouvait atteindre.
4. Surveillez les volumes de retrait anormaux côté back-office, pas seulement l'accès : ici, c'est l'ordre de retrait qui matérialise la perte.

Contexte

La méthode — compromission d'un poste, pivot vers un service interne, ordres frauduleux — est la signature des opérations nord-coréennes contre les plateformes crypto, que la rédaction suit depuis les campagnes de Lazarus. L'échelle change (6,3 milliards contre 1,5 pour Bybit), pas le mode opératoire. Pour un défenseur, la leçon n'est pas crypto-spécifique : c'est la distance, trop courte, entre un endpoint et une fonction qui déplace de l'argent.