Chez Binance, un faux entretien d'embauche a ouvert la voie au vol de 6,3 milliards de dollars

En septembre, un ingénieur logiciel de Binance reçoit un message sur une plateforme de recherche d'emploi. Son profil mentionne son expérience chez Binance. L'interlocuteur se présente comme directeur de projet dans une entreprise qui n'existe pas. Le 29 octobre, environ 6,34 milliards de dollars en cryptomonnaies quittent les portefeuilles de la plateforme.

Binance a publié le 3 novembre son rapport sur ce vol, le plus important de l'histoire des cryptomonnaies selon Fortune. Le FBI l'avait attribué à TraderTraitor, un groupe soutenu par l'État nord-coréen et également suivi sous le nom de Lazarus, rappelle BleepingComputer. Binance, elle, ne rattache pas la compromission de ses employés à une campagne précise. Son récit montre surtout comment les pirates ont avancé d'un poste à l'autre, jusqu'au service qui signe les transactions.

Un exercice de code qui cachait un logiciel espion

Le faux recruteur organise d'abord un entretien vidéo en direct avec une personne présentée comme chargée des ressources humaines. Pour gagner sa confiance, elle partage un compte de réseau social garni de photos et de vidéos personnelles. Un second interlocuteur, présenté comme le PDG de l'entreprise fictive, demande ensuite à l'ingénieur de télécharger un exercice de programmation depuis un dépôt de code en ligne.

Le code installe un logiciel malveillant conçu sur mesure. Les outils de protection des postes de travail ne l'ont pas détecté, reconnaît Binance. Sur le Mac de l'ingénieur, il remplace un programme légitime, pyenv, installé via le gestionnaire de logiciels Homebrew, puis exécute les commandes envoyées par un serveur des pirates.

Une première voie avait servi dès juin, selon le rapport : en cherchant en ligne un outil de programmation par IA, un ingénieur de l'équipe d'exploitation des portefeuilles avait téléchargé une version trafiquée de Homebrew (Fortune évoque une publicité). Binance avait repéré l'anomalie et remplacé son appareil, mais trop tard. Les pirates avaient appris le rôle de cet employé et repéré d'autres collègues qui géraient les portefeuilles de l'entreprise.

Le rôle d'un outil d'IA interne, encore flou

Le 20 octobre, les attaquants franchissent une étape décisive. Depuis l'ordinateur compromis, ils ont « utilisé un outil d'IA interne » pour prendre le contrôle de deux autres membres de l'équipe des portefeuilles, selon le rapport cité par Fortune. Sur le poste de l'un d'eux, ils trouvent un jeton d'autorisation qui permet de déployer des logiciels sur l'infrastructure. Les comptes rendus publiés ne disent pas comment l'outil d'IA a été détourné.

Le 29 octobre, ces accès leur permettent de déployer un script malveillant, d'atteindre le service de signature des portefeuilles et de déplacer des milliards sur plusieurs blockchains. Même après la suspension des retraits, ils continuent de puiser en abusant d'un mécanisme d'autorisation d'Ethereum appelé EIP-7702.

Binance assure que tous les fonds de ses clients sont en sécurité. Elle dit avoir reconstitué 98 % des actifs volés au 31 octobre, grâce à ses réserves et à d'autres sources. Environ 2,85 milliards de dollars avaient été gelés ou interceptés au 3 novembre, selon BleepingComputer. Fortune évoque de son côté environ 2,5 milliards récupérés après le gel de cryptomonnaies stables par Tether et Circle. « Cela n'aurait pas dû arriver », écrit l'entreprise, qui présente ses excuses.

Les leçons pour les autres entreprises

Au départ, aucune faille spectaculaire : un outil de développement trafiqué, un ingénieur sollicité pour un poste, un exercice à télécharger, un poste de travail aux accès étendus. Un porte-parole a indiqué à Fortune que les salariés qui n'occupent pas de poste public ne doivent pas tenir de profil LinkedIn, sans dire si l'ingénieur avait enfreint cette règle. Quelques réflexes limitent ce type de risque :

• interdire l'exécution d'exercices de recrutement ou de code reçu d'inconnus sur un poste professionnel ;
• installer les outils de développement depuis des sources validées, jamais depuis une publicité ;
• ne laisser aucun jeton de déploiement durable sur un poste et préférer des accès temporaires liés à une authentification forte ;
• encadrer ce que les outils d'IA internes peuvent faire avec les comptes des salariés ;
• exiger plusieurs validations humaines indépendantes pour toute opération sensible.

Binance dit avoir déjoué 57 tentatives présumées liées à la Corée du Nord depuis le début de l'année, un pays dont les pirates perfectionnent sans cesse leurs outils. Elle a confié à des cabinets indépendants la vérification de ses conclusions. Leur avis, et des précisions sur l'outil d'IA détourné, restent attendus.