Binance piégée par de faux candidats malgré ses propres mises en garde

L’été dernier, le responsable de la sécurité de Binance avait décrit en détail comment un faux entretien d’embauche pouvait permettre à des pirates d’accéder aux systèmes de la plateforme. Quelques mois plus tard, ce scénario s’est concrétisé lorsque la plateforme d’échange de cryptomonnaies a subi le plus grand vol de l’histoire du secteur.

Binance avait identifié la menace

En juillet, Jimmy Su, directeur de la sécurité de Binance, avait évoqué auprès de Cointelegraph les menaces croissantes pesant sur la plateforme. Il avait alors présenté les faux entretiens d’embauche comme un sujet de vive inquiétude en interne.

Su avait également décrit le fonctionnement de ces attaques. Les pirates se font passer pour des recruteurs et proposent à un salarié un poste correspondant parfaitement à son profil. Pendant l’entretien, ils le convainquent d’exécuter du code sous prétexte d’un test technique.

Dès que ce code est exécuté, l’appareil est compromis et les pirates peuvent commencer à récupérer les identifiants de connexion, avait-il expliqué.

Selon Su, ces identifiants volés permettent ensuite aux pirates de progresser dans le réseau de l’entreprise. Cointelegraph n’avait pas retenu ce passage dans son article de juillet, mais le publie aujourd’hui.

Un faux entretien d’embauche à l’origine du piratage de Binance

En septembre, un ingénieur logiciel de Binance a téléchargé sur son ordinateur professionnel un exercice de programmation piégé lors d’un faux entretien d’embauche. C’est ce que révèle un rapport d’enquête publié par la plateforme la semaine dernière.

Cette infection a constitué la première étape d’une attaque menée en plusieurs phases. Le 29 octobre, quelque 6,3 milliards de dollars ont été dérobés dans les portefeuilles de Binance, soit plus de quatre fois le montant du précédent piratage record, subi par Bybit.

Dès juillet, Su avait aussi expliqué pourquoi les logiciels de sécurité pouvaient ne pas détecter ce piège. L’exercice se décompose en effet en étapes apparemment ordinaires, comme le téléchargement de code depuis GitHub.

Aucune alerte n’est donc déclenchée, avait-il expliqué : chaque étape paraît légitime prise isolément, si bien que de nombreux antivirus risquent de ne rien détecter ni signaler.

Binance est ensuite arrivé à la même conclusion : le logiciel malveillant était intégré au processus d’installation de l’exercice. Il a contourné les protections grâce à l’obscurcissement du code, une technique qui consiste à le rendre volontairement illisible.

La responsabilité incombe à Binance

En juillet, Su estimait qu’il revenait à la plateforme de se prémunir contre ce risque. Les salariés sont bien sûr libres de chercher un emploi ailleurs, soulignait-il, mais le fait qu’ils utilisent leur ordinateur professionnel pour ces démarches constitue un sujet d’inquiétude.

Si un salarié se laisse piéger par un faux entretien, il appartient à Binance de le détecter, estimait-il. C’est pourquoi une équipe interne de spécialistes chargés de simuler des attaques teste les salariés chaque mois.

Depuis trois à quatre ans, ces tests prennent la forme d’exercices d’hameçonnage, avec de faux messages destinés à soutirer des identifiants de connexion. Cela représente quelque 36 à 48 campagnes de simulation. Pourtant, un seul entretien d’embauche convaincant a suffi.

La menace persiste : Binance a déjà bloqué cette année 57 cyberattaques soupçonnées d’être d’origine nord-coréenne, soit environ une tous les cinq jours. Le FBI attribue également à la Corée du Nord le piratage de Binance survenu en octobre.