Faux entretien d'embauche, détournement d'IA… Binance révèle le mode opératoire du piratage record dont elle a été victime

Binance a publié mardi 3 novembre un récit détaillé des préparatifs de l'attaque qui a permis à des pirates de dérober 6,3 milliards de dollars sur la plateforme d'échange de cryptomonnaies, avec faux entretien d'embauche et détournement de modèles d'intelligence artificielle (IA) internes.

Le groupe a indiqué avoir reconstitué 98% des actifs dérobés en puisant dans ses fonds propres, le solde concernant des devises numériques peu échangées et plus difficiles à acquérir. L'offensive, perpétrée sur environ quatre heures le 29 octobre, a été attribuée par la police fédérale (FBI) à des informaticiens affiliés à la Corée du Nord, qui a démenti. Quelque 2,85 des 6,34 milliards ont été gelés, ce qui signifie que les cambrioleurs numériques ne peuvent pas les utiliser ni les convertir dans une autre devise.

Quatre mois de préparation

Selon Binance, les auteurs de l'intrusion ont effectué leurs premières démarches dès juin, plus de quatre mois avant de déclencher l'attaque. Ils ont d'abord réussi à ce qu'un ingénieur de la plateforme télécharge une version tronquée d'un logiciel de programmation connu dans le milieu (Homebrew), qui contenait un virus. Les équipes de cybersécurité de Binance ont repéré le logiciel malveillant et l'ont supprimé, mais les pirates avaient eu le temps de récupérer des informations sur l'ingénieur et ses collègues, leur permettant de mieux comprendre qui et où viser lors de l'assaut.

En septembre, l'équipe clandestine a contacté un autre ingénieur de Binance pour lui proposer un poste dans une société factice via une plateforme de recherche d'emploi. Intéressé, l'employé de Binance a passé deux entretiens à distance avec de faux représentants de l'entreprise. Lors du second, il lui a été demandé de télécharger un exercice à réaliser dans le cadre de l'entretien, lequel contenait un logiciel malveillant. C'est cet incident qui s'est avéré déterminant dans la réussite de l'attaque.

Ce programme a notamment permis de remplacer un outil de programmation interne par une version vérolée, qui a ensuite servi pour établir une connexion externe avec les pirates. Le 20 octobre, ces derniers se sont servis de l'ordinateur compromis pour utiliser un outil IA interne de Binance et prendre le contrôle de logiciels de deux autres ingénieurs, avant de lancer l'attaque, neuf jours plus tard.