La plateforme d'échange de cryptomonnaies Binance a confirmé avoir été victime d'un vol record de 6,3 milliards de dollars, orchestré par des hackers liés à la Corée du Nord. Cette intrusion, qui a conduit à la suspension temporaire des retraits, met en lumière la vulnérabilité des infrastructures numériques face à des campagnes d'ingénierie sociale sophistiquées et persistantes.
Une infiltration par le recrutement fictif
Le mode opératoire des assaillants a reposé sur une approche ciblée visant un ingénieur logiciel de l'entreprise. En se faisant passer pour des recruteurs, les hackers ont instauré un climat de confiance au cours de plusieurs entretiens. Ils ont ensuite convaincu l'employé de télécharger un prétendu test de codage qui contenait, en réalité, un logiciel malveillant. Ce code, non détecté par les outils de sécurité internes de Binance, a permis aux attaquants de s'introduire dans le réseau de l'entreprise.
L'effet domino au sein des systèmes internes
Une fois le premier accès obtenu, les pirates ont pu compromettre les postes de travail d'autres ingénieurs de l'équipe en charge des portefeuilles numériques. L'attaque a été facilitée par une faille antérieure : un autre ingénieur avait, quelques mois plus tôt, téléchargé par inadvertance une application piégée via un moteur de recherche. En utilisant les identifiants dérobés lors de cette première intrusion, les hackers ont pu escalader leurs privilèges jusqu'à atteindre les systèmes critiques permettant de contrôler des milliards de dollars en actifs numériques.
La menace persistante des acteurs étatiques
Ce piratage s'inscrit dans une stratégie plus large attribuée par le FBI à la Corée du Nord, dont les cyberattaques visent régulièrement le secteur des cryptomonnaies pour financer ses programmes d'armement. Malgré des alertes répétées de la part de chercheurs en cybersécurité sur les méthodes de recrutement fictif et l'usurpation d'identités américaines, Binance a fait face à au moins 57 tentatives d'attaques suspectées d'être liées à Pyongyang. L'entreprise a reconnu que cet incident « n'aurait pas dû se produire » et a annoncé le renforcement de ses protocoles de sécurité ainsi que l'intervention d'experts externes pour auditer ses systèmes.