Binance affirme que des pirates nord-coréens ont utilisé de faux profils sur les réseaux sociaux et une prétendue offre d’emploi pour cibler un employé au cours d’une opération qui a duré plusieurs mois et a abouti au vol de 6,3 milliards de dollars en cryptomonnaies. La plateforme d’échange a communiqué davantage de détails dans une déclaration mise à jour publiée mardi sur X et a indiqué avoir suspendu les retraits des clients sur l’ensemble de son réseau après l’incident, qu’elle a qualifié de plus grand vol de cryptomonnaies de l’histoire.
Selon Binance, les attaquants se sont fait passer pour des recruteurs et ont pris contact avec un ingénieur logiciel qui travaille sur les portefeuilles de l’entreprise. Après deux entretiens, l’ingénieur a été invité à télécharger ce qui semblait être un exercice de programmation. Le fichier contenait un code malveillant qui a compromis l’ordinateur portable professionnel de l’employé, et Binance a indiqué que ses outils de sécurité ne l’avaient pas détecté.
Les attaquants ont ensuite utilisé un outil interne pour prendre le contrôle des ordinateurs professionnels de deux autres ingénieurs de l’équipe chargée des portefeuilles. L’un d’eux avait téléchargé plusieurs mois auparavant une application altérée contenant un logiciel malveillant qui dérobait les mots de passe, après avoir trouvé le logiciel dans les résultats d’une recherche. Bien que Binance ait remplacé l’ordinateur portable de cet employé, les pirates ont utilisé des identifiants volés pour accéder à l’ordinateur d’un troisième ingénieur. Cet employé pouvait accéder à des systèmes capables de contrôler des milliards de dollars en cryptomonnaies.
Des chercheurs ont à maintes reprises mis en garde contre les campagnes d’ingénierie sociale patientes et menées sur la durée par des pirates nord-coréens, qui se font passer pour des recruteurs, des investisseurs ou des investisseurs en capital-risque afin d’accéder à des organisations. Les tactiques ont également fait l’objet de mises en garde du gouvernement américain et d’entreprises de cybersécurité. Binance a déclaré avoir été confrontée à au moins 57 attaques présumées de la Corée du Nord, qu’elle a présentées comme la preuve d’une menace persistante, soutenue par un État, pour le secteur des cryptomonnaies.
Le FBI et des enquêteurs spécialisés dans la blockchain ont accusé la Corée du Nord d’être à l’origine du casse. Le pays a été accusé ces dernières années de vols de cryptomonnaies à grande échelle destinés à financer son programme d’armes nucléaires, soumis à des sanctions internationales.
Binance a déclaré que l’attaque « n’aurait pas dû se produire » et que l’entreprise avait renforcé la sécurité de son réseau. La société a également indiqué qu’elle ferait appel à des experts en cybersécurité pour examiner l’incident et mettre en place des mesures afin d’éviter qu’il ne se reproduise. Un porte-parole de Binance a renvoyé les questions de TechCrunch vers la déclaration publique et a refusé de commenter officiellement la manière dont l’entreprise empêche l’exécution de codes malveillants sur les ordinateurs portables des employés, ou la question de savoir si des sociétés externes avaient audité son réseau avant l’intrusion.
Sources: TechCrunch.