Le piratage de Binance pourrait impliquer un 'mauvais usage' des clés privées plutôt qu'un vol, selon le PDG de Blockaid

Analyse du piratage de Binance par Ido Ben-Natan

Ido Ben-Natan, co-fondateur et PDG de Blockaid, soupçonne que les attaquants ont manipulé l'infrastructure de signature des transactions de Binance, établissant des parallèles avec le piratage de Bybit. Selon lui, le piratage présumé de plusieurs milliards de dollars de Binance pourrait avoir été le résultat d'une manipulation de la signature des transactions de l'échange, plutôt que d'un vol direct des clés privées.

S'exprimant auprès de Cointelegraph, Ben-Natan a déclaré que l'évaluation préliminaire de Blockaid indiquait un "mauvais usage des clés", où les attaquants trompent ou compromettent un système de signature pour autoriser des transactions malveillantes sans avoir besoin d'extraire la clé privée sous-jacente.

"Il semble s'agir d'une compromission de l'infrastructure de signature. Nous ne pensons pas qu'une clé ait été divulguée," a-t-il précisé. Ben-Natan a souligné qu'il s'agissait d'une évaluation préliminaire, fondée sur leur expérience avec des attaques similaires et leurs observations de l'activité on-chain.

Binance n'a pas confirmé la méthode précise qui a permis aux hackers de dérober plus de 2,5 milliards de dollars en cryptomonnaies, marquant ainsi le plus grand piratage de cryptomonnaies de l'histoire.

Analyse technique de l'attaque

Dans son analyse on-chain publiée sur X, Blockaid a indiqué que l'attaquant avait regroupé 50 autorisations EIP-7702 dans une seule transaction ciblant Binance. Une autorisation correspondait apparemment au nonce requis du compte, permettant son acceptation. L'EIP-7702 permet à un compte de déléguer l'exécution à du code de contrat intelligent.

Blockaid a précisé que le compte affecté avait été délégué à un contrat de balayage non vérifié, permettant à un opérateur désigné de vider des tokens et de l'Ether. Ben-Natan a également mentionné que l'opération aurait pu impliquer plusieurs appareils compromis et un mouvement à travers le réseau de l'échange, bien que cela reste à confirmer.

Comparaison avec l'attaque de Bybit

Interrogé sur la similitude de la manipulation de signature suspectée avec l'attaque de Bybit en février 2025, Ben-Natan a décrit les incidents comme "très, très similaires". Dans ce cas, la mise à jour judiciaire publiée par Bybit a révélé que les attaquants avaient compromis les identifiants d'un développeur de Safe, accédé à l'infrastructure du fournisseur de portefeuille et trompé les signataires pour approuver une transaction malveillante.

Comme pour Bybit, Ben-Natan a noté que l'activité ressemblait à des opérations liées à des attaquants cybernétiques nord-coréens, en raison de la sophistication des préparations on-chain.