L'opération, selon Binance, a commencé discrètement en juin, lorsque les attaquants ont commencé à sonder son équipe chargée des portefeuilles et qu'un ingénieur a téléchargé une version altérée d'un outil logiciel largement utilisé. La plateforme affirme que la campagne était plus élaborée que les tentatives précédentes auxquelles elle avait été confrontée, reposant sur l'ingénierie sociale plutôt que sur une attaque frontale contre ses systèmes.¹

En septembre, les attaquants se seraient fait passer pour un directeur de projet sur une plateforme de recrutement et auraient attiré un ingénieur logiciel de Binance au moyen de deux entretiens, dont un appel vidéo avec un supposé représentant des ressources humaines. La dernière « mission » téléchargée sur l'ordinateur professionnel de l'employé contenait un code malveillant que les outils de sécurité de Binance n'ont pas détecté.¹

Le 20 octobre — neuf jours avant le vol —, Binance affirme que la machine compromise et un outil d'IA interne ont été utilisés pour prendre le contrôle des ordinateurs de deux ingénieurs de l'équipe des portefeuilles. L'un d'eux disposait de privilèges de déploiement de logiciels. Les attaquants ont ensuite atteint un service de signature de transactions et, pendant près de quatre heures, ont commencé à vider les portefeuilles chauds de la plateforme. « Cela n'aurait pas dû se produire », a déclaré Binance.¹

L'intrusion ne s'est pas achevée lorsque les retraits ont été interrompus. Binance affirme que les attaquants ont obtenu le contrôle partiel d'un compte Ethereum via des systèmes compromis ; comme cette autorité était enregistrée sur la blockchain plutôt qu'uniquement au sein de Binance, la révoquer rapidement s'est avéré difficile. Les ingénieurs ont dû concevoir une solution de contournement tandis que les fonds continuaient de circuler entre environ 12 000 portefeuilles, selon Elliptic.¹

Le FBI a déclaré samedi que le groupe de pirates nord-coréen TraderTraitor avait mené l'attaque, une accusation que Pyongyang nie. Binance affirme avoir déjà intercepté 57 autres tentatives présumées nord-coréennes cette année.¹

Binance affirme que 2,85 milliards de dollars ont été gelés ou interceptés, que 98 % des jetons affectés ont été reconstitués et que les clients seront intégralement indemnisés. La plateforme a reconstruit les systèmes compromis, remplacé les ordinateurs concernés et prévoit un examen de sécurité externe — des mesures correctives qui interviennent après une défaillance dont elle reconnaît désormais qu'elle n'aurait jamais dû se produire.¹