Le piratage de Binance : un drain de 296 millions de dollars en XRP après 36 heures de préparation

Résumé de l'attaque de Binance

L'attaquant de Binance a consacré au moins 36 heures à préparer le piratage de l'échange de cryptomonnaies, évalué à 6,36 milliards de dollars, qui a débuté par un drain de 296 millions de dollars en XRP. Selon une enquête menée le 29 octobre par TRM Labs, l'attaquant a commencé à planifier l'opération le 28 octobre avant d'exécuter des transferts coordonnés sur dix blockchains la nuit suivante.

Détails de l'attaque

La société d'intelligence blockchain a révélé que la majorité des fonds avaient quitté les portefeuilles liés à Binance en environ 20 minutes, faisant de cet incident le plus grand vol de cryptomonnaies jamais enregistré. TRM a retracé les premières préparations au matin du 28 octobre, lorsque un portefeuille contrôlé par l'attaquant a reçu trois petits transferts de Tornado Cash, un service de mixage de cryptomonnaies.

Tôt le lendemain, l'attaquant a déployé un code de contrat intelligent malveillant et l'a testé sur deux portefeuilles Ethereum nouvellement créés. Il a ensuite déployé une version révisée et a répété l'opération sur un troisième portefeuille, transférant avec succès des fonds de test avant de les retourner. Environ quatre heures après cette dernière répétition, l'attaque principale a commencé.

Chronologie des événements

Entre 20h05 et 20h09 UTC, cinq portefeuilles Binance sur le XRP Ledger ont transféré environ 233,46 millions de XRP, d'une valeur de 296 millions de dollars, vers une seule adresse contrôlée par l'attaquant. L'enquêteur on-chain Wazz Crypto a tiré une conclusion similaire, déclarant :

"D'ici 20h10 UTC, des transferts suspects avaient également commencé à partir de portefeuilles Binance sur Solana et Optimism. À 20h20 UTC, un portefeuille Bitcoin de Binance a transféré 18 270 BTC, d'une valeur d'environ 1,47 milliard de dollars."

L'attaquant a immédiatement commencé à diviser les fonds en plus petits lots de 1 000 BTC et 100 BTC. En deux minutes, un portefeuille Binance sur Tron a transféré 612,7 millions de USDT et 46,4 millions de TRX, pour une valeur totale d'environ 628 millions de dollars. L'opération sur Ethereum s'est déroulée presque simultanément.

À 20h20 UTC, l'attaquant a soumis 50 autorisations EIP-7702 précédemment signées à un portefeuille chaud de Binance, lui permettant de déléguer l'exécution à un contrat intelligent malveillant. Ces autorisations couvraient des comptes de transactions consécutifs, garantissant qu'au moins une d'entre elles correspondrait au compte actuel du portefeuille lors du traitement.

Trois minutes et 24 secondes plus tard, l'attaquant a activé la fonction de balayage du contrat, transférant 167 464 ETH et 63 tokens, y compris 1,615 milliard de USDT, en une seule transaction. L'attaquant a ensuite exécuté des balayages supplémentaires à 20h41, 20h59, 21h04, 21h44, 22h39 et 23h56 UTC, alors que d'autres actifs entraient dans le portefeuille compromis.

Conclusion de l'enquête

Le portefeuille délégué a également exercé ses autorisations existantes sur un compte intelligent Binance séparé, facilitant le transfert de 823 millions de USDC supplémentaires. Une deuxième vague, autour de 23h05 UTC, a étendu l'opération à d'autres portefeuilles Binance sur Avalanche et Polygon. D'ici 00h30 UTC le 30 octobre, TRM avait retracé environ 6,36 milliards de dollars de transferts à travers Ethereum, Bitcoin, Tron, le XRP Ledger, Solana, Arbitrum, Optimism, Base, Avalanche et Polygon.

Bien que les enquêteurs aient reconstruit la séquence des événements, la source des autorisations nécessaires qui ont permis l'attaque reste non résolue. Le chercheur d'Ethlabs, Derek Chiang, a déclaré que l'attaquant aurait pu obtenir la clé privée du portefeuille ou tromper son propriétaire pour qu'il signe une autorisation malveillante. Il a également souligné que l'attaquant avait besoin d'une autorisation valide pour exécuter l'opération EIP-7702.