Êtes-vous concerné ?
- Concerné, par analogie : tout admin ou membre d'une équipe DevOps dont le propre ordinateur portable atteint la production, une console cloud ou une fonction de paiement sans que personne d'autre ne valide.
- Pas concerné si : dans votre entreprise, aucun appareil d'une seule personne ne peut à lui seul modifier la production ou débloquer de l'argent.
Que faire
- Notez ce qu'un portable d'admin atteint aujourd'hui : serveurs et conteneurs, console cloud, pipelines de déploiement, portail bancaire. Repérez où une personne peut agir seule, et si quelqu'un s'en apercevrait à 3 h du matin.
- Là où l'argent sort de l'entreprise, activez une deuxième validation dans le portail bancaire. Sans deuxième admin pour la production, envoyez les journaux de modifications à quelqu'un d'autre. Confiez les droits de déploiement et les droits de paiement à des personnes ou des comptes différents.
- Sachez qui peut suspendre rapidement les tâches qui tournent toutes seules. Pendant l'attaque, Conor Grogan, de Coinbase, a écrit sur X que les balayages automatiques des dépôts (deposit sweeps) de Binance semblaient continuer à réalimenter le portefeuille chaud que l'attaquant contrôlait déjà.
- À éviter : lire « aucune clé n'a fuité » comme « rien à corriger ». Binance n'a trouvé aucune preuve de fuite de clé privée, et pourtant les retraits sont passés.
Ce que l'on sait – et ce que l'on ignore
- Version préliminaire de Binance (Gizmodo, MLQ.ai, Gadget Review) : un portable compromis pourrait avoir donné à l'attaquant accès à un conteneur de service, d'où des transactions de retrait non autorisées ont été envoyées.
- La cause n'est pas établie. Le co-PDG Richard Teng affirme que l'attaquant ne s'est pas contenté d'utiliser les droits d'un seul ingénieur et qu'il ne s'agissait pas d'une action « en un clic ». Kok Tin Gan, de NyxLab, cité par l'AP (via Courthouse News), estime que cela ressemble à « une seule signature » ayant donné à l'attaquant un jeton à accès complet, sans expiration, sur un portefeuille chaud de Binance. Aucun post-mortem technique n'a été publié.
- Le montant a évolué au fil des articles. Binance parle désormais d'environ 6,3 milliards de dollars ; selon TRM Labs, environ 6,36 milliards de dollars ont quitté les portefeuilles de Binance sur dix blockchains, l'essentiel en 20 minutes environ.
- Binance indique qu'environ 3 milliards de dollars sont gelés ; Tether et Circle font état de leurs propres gels, qui, selon MLQ.ai, ne correspondent pas forcément au total de Binance.
- TRM Labs attribue l'attaque, avec un haut degré de confiance, à TraderTraitor, qu'il présente comme une unité nord-coréenne ; Chainalysis et Elliptic pointent eux aussi vers la Corée du Nord. Il s'agit d'évaluations d'entreprises privées, pas d'une conclusion des forces de l'ordre.
Pourquoi c'est important
Beaucoup de petites entreprises ont leur propre version de ce portable : la seule machine qui déploie, ouvre la console cloud et se connecte à la banque. À notre avis, la question utile n'est pas la qualité de votre antivirus, mais ce qu'un attaquant pourrait mener à bien depuis ce poste avant qu'un deuxième humain ne regarde.