Binance : un piratage à 6,3 milliards de dollars déclenche une mobilisation inédite
Entre le jeudi 29 octobre et la reprise partielle des retraits le dimanche 1er novembre, Binance a dû arrêter les pertes, mobiliser ses partenaires et financer le remplacement des actifs dérobés. Le déroulement de ces quatre jours éclaire sa stratégie, qui vise à permettre aux clients de retrouver leurs avoirs sans attendre la récupération du butin.
Le jeudi 29 octobre, peu après 16 heures à New York, les attaquants commencent à vider des portefeuilles de la plateforme. Ils avaient auparavant testé leur opération sur des comptes Ethereum qu’ils contrôlaient, avec des transactions de quelques dollars. Selon la reconstitution de Bloomberg, certains portefeuilles compromis continuent à recevoir des fonds de Binance pendant qu’ils sont vidés, si bien que les transferts internes alimentent les pertes.
Jeudi : arrêter les pertes et alerter
Les équipes de sécurité et de gestion des portefeuilles engagent les premières mesures sans attendre l’accord des dirigeants, une autonomie prévue dans leur organisation. Une cellule de crise se constitue rapidement, jusqu’à réunir environ une centaine de personnes dans plusieurs pays.
L’alerte circule aussi entre chercheurs. Selon Bloomberg, un intervenant de zeroShadow signale des transactions suspectes dans un groupe d’enquêteurs auquel participe Taylor Monahan, chercheuse chez SEAL. Celle-ci contacte Tether, l’émetteur du stablecoin USDT. Tether et Circle, l’émetteur de l’USDC, peuvent agir sur certains jetons pour empêcher leur déplacement.
Les attaquants cherchent toutefois à sortir de ce périmètre. Elliptic décrit des conversions vers l’ether et d’autres actifs que ces émetteurs ne peuvent pas geler, ainsi que des transferts entre blockchains. Répondre à l’attaque dépend donc de la vitesse à laquelle une transaction suspecte peut être identifiée, transmise puis bloquée. Chez Binance, la question de la poursuite des pertes reste posée : pourquoi les transferts vers les portefeuilles compromis n’ont-ils pas été interrompus plus tôt ? La source ne le précise pas.
Vendredi : suspendre les retraits et couvrir les pertes
Le 30 octobre, Binance annonce avoir isolé les infrastructures touchées, révoqué les autorisations compromises et suspendu les retraits. L’enquête révèle plusieurs points d’intrusion, et l’hypothèse initiale d’un ordinateur compromis ne suffit plus à expliquer l’attaque. Pour les clients, la suspension ouvre une période d’incertitude sur la disponibilité de leurs actifs et sur la date à laquelle ils pourront les retirer.
La plateforme annonce avoir réservé plus de 6,34 milliards de dollars pour couvrir les pertes. Elle détient déjà environ 5 milliards de dollars dans les cryptomonnaies concernées et entreprend d’acheter le complément, selon The Block. Binance affirme que ses clients n’attendront pas la récupération du butin pour retrouver leurs avoirs, et l’entreprise finance leur remplacement pendant que les enquêteurs poursuivent les fonds volés.
Le même jour, la plateforme doit aussi résoudre une difficulté concrète : disposer de dollars ne suffit pas pour honorer un retrait en bitcoins, il faut réunir chaque actif dans les quantités dues aux clients.
Samedi à lundi : reconstituer, rouvrir et vérifier
Le 31 octobre, Binance précise les ressources mobilisées : sa trésorerie, une partie du SAFU, son fonds de protection des utilisateurs, et une partie du fonds d’assurance de ses activités à terme. La plateforme annonce avoir reconstitué 90 % du montant affecté. Les actifs restant à acheter sont moins liquides, donc plus difficiles à réunir dans les volumes requis. Le même jour, le FBI attribue le vol à la Corée du Nord, sous la désignation TraderTraitor. Avec le Secret Service et l’IRS-CI, il appelle les intermédiaires et les opérateurs d’infrastructure à bloquer les transactions liées aux adresses identifiées.
Le 1er novembre, Binance commence à rétablir les retraits. Dans les neuf heures et demie suivant cette reprise partielle, la plateforme déclare avoir traité 4,65 milliards de dollars de retraits et reçu 1,01 milliard de dépôts, soit des sorties nettes de 3,64 milliards de dollars, selon The Block. Elliptic indique de son côté avoir vérifié 2,85 milliards de dollars de fonds gelés ou saisis, principalement en USDT et en USDC.
Le 2 novembre, Binance déclare avoir reconstitué environ 95 % du montant affecté, les achats se poursuivant pour les jetons les moins liquides. La plateforme annonce également une vérification de réserves accessible aux détenteurs de dix actifs, à partir d’une photographie prise le 31 octobre.
