Binance affirme qu’une série de failles de sécurité, à commencer par le téléchargement d’une version modifiée de Homebrew, puis suivie d’un faux entretien d’embauche, a permis à un attaquant de dérober 6,3 milliards de dollars dans des portefeuilles servant à détenir les fonds transitoires de la plateforme. L’entreprise a décrit l’incident comme une attaque en plusieurs étapes, plutôt que comme une seule intrusion ou une simple tentative d’hameçonnage.

Selon Binance, un ingénieur DevOps chargé des portefeuilles, désigné comme l’ingénieur A, a téléchargé une version modifiée de Homebrew recommandée par un moteur de recherche. Homebrew est un gestionnaire de paquets tiers pour macOS. Binance affirme que son équipe de sécurité a détecté une activité inhabituelle, remplacé l’appareil et modifié les identifiants associés, mais que l’attaquant avait déjà obtenu des informations sur le poste de l’ingénieur et ses collègues de l’équipe chargée de l’infrastructure des portefeuilles.

Une autre tentative a visé l’ingénieur B par l’intermédiaire d’une plateforme légitime de recherche d’emploi. L’ingénieur a été invité à passer des entretiens avec des personnes se faisant passer pour le représentant des ressources humaines et le PDG d’une entreprise. Binance affirme que le prétendu employeur était fictif et qu’un exercice confié à l’ingénieur B contenait un code malveillant, qui s’exécutait pendant l’installation et recourait à des techniques visant à éviter sa détection.

L’attaquant a ensuite utilisé l’ordinateur compromis de l’ingénieur B et un outil d’IA interne pour accéder à deux autres machines : celle de l’ingénieur A et celle d’un autre ingénieur logiciel spécialisé dans les portefeuilles, désigné comme l’ingénieur C. Binance affirme qu’un jeton d’autorisation de déploiement de conteneurs trouvé sur l’appareil de l’ingénieur A a aidé l’attaquant à utiliser des identifiants volés pour accéder à l’ordinateur de l’ingénieur C, créer un conteneur et exécuter un script malveillant qui a déclenché le vol.

Selon le rapport, le FBI a attribué l’attaque à un groupe de Pirates informatiques nord-coréens, une accusation que les responsables nord-coréens ont démentie. Binance affirme avoir gelé environ la moitié des fonds volés et couvert le reste.

Sources: PC Gamer.