Binance : faux entretiens et outil d'IA interne derrière le vol de 6,3 Md$

En septembre, un autre ingénieur est approché par une personne feignant de vouloir l'embaucher. Elle organise des appels et plusieurs tours d'entretiens, partage des profils de réseaux sociaux pour instaurer la confiance, puis l'incite à télécharger un faux exercice de recrutement, en réalité un logiciel malveillant. Binance indique que ses outils de protection des terminaux ne l'ont pas détecté. Le programme a remplacé l'exécutable pyenv par une version malveillante, ouvrant une porte dérobée vers un serveur externe, tout en effaçant ses traces.

Au 20 octobre, les pirates ont utilisé l'outil d'IA interne de Binance pour prendre le contrôle de portefeuilles liés au premier ingénieur compromis et à un troisième employé, selon l'entreprise. Ils se sont connectés à l'ordinateur de ce dernier le 29 octobre pour lancer l'attaque.

Pourquoi le blocage a pris du temps

Les transactions ont continué près de deux heures après les premiers transferts non autorisés. Le portefeuille chaud reposant sur le calcul multipartite (MPC), il n'existait aucune clé privée unique permettant de révoquer immédiatement les autorisations EIP-7702 malveillantes, explique Binance.

Le PDG Richard Teng assure qu'aucun utilisateur ne supporte la perte et qu'environ 2,85 milliards de dollars d'actifs volés ont été gelés ou interceptés. Selon lui, 98 % des jetons concernés ont été réapprovisionnés, les 2 % restants étant en cours, et les retraits ont globalement repris. Binance dit aussi avoir déjoué 57 cas de menaces présumées liées à la Corée du Nord.

Reste une question : pourquoi l'attaque a-t-elle fonctionné ? Les risques des entretiens demandant d'exécuter du code sont connus depuis des années, et l'outil d'IA interne reste très peu décrit.