Auteur | Binance

Ce contenu provient de l'espace public des co-PDG de Binance He Yi, Richard Teng et Jimmy Xu, responsable de la sécurité, sur Binance en réponse à l'incident de sécurité majeur survenu le 30 octobre. Binance a déclaré que les attaquants ont transféré environ 6,34 milliards de dollars d'actifs cryptographiques en compromettant le service de signature de portefeuille interne, en contournant le processus de retrait normal. Au moment du partage, environ 2,85 milliards de dollars d'actifs avaient été gelés ou interceptés. Binance a promis de supporter les pertes et a déclaré avoir reconstitué environ 98 % des actifs symboliques concernés. Il n'y avait aucun déficit dans les fonds des utilisateurs et les services de retrait avaient été rétablis.

Jimmy a déclaré que l'attaquant était soupçonné d'avoir incité un ingénieur à exécuter un code malveillant sur son ordinateur de travail par le biais de faux recrutements et d'entretiens techniques, accédant ainsi aux systèmes internes. L'attaquant a également utilisé le mécanisme d'autorisation en chaîne pour continuer à transférer des fonds après que Binance ait suspendu les retraits. Binance pense que l'incident impliquait un groupe de piratage informatique ayant des antécédents étatiques et a déclaré que son équipe de sécurité avait bloqué 57 cyberattaques soupçonnées d'être liées à la Corée du Nord en 2026.

He Yi a déclaré que malgré certaines inquiétudes internes selon lesquelles la divulgation de détails techniques pourrait entraîner des risques supplémentaires, elle a toujours insisté pour accroître la transparence de l'incident. Binance prévoit de reconstruire l'infrastructure de portefeuille pertinente, de renforcer l'isolation interne du système et d'introduire des examens de sécurité indépendants. Parlant du développement futur, He Yi estime que l'industrie du cryptage doit accorder plus d'attention à la valeur commerciale réelle, et que l'intégration du RWA, des contrats perpétuels d'actions et des marchés traditionnels de la finance et du cryptage seront des orientations importantes.

Les montants suivants, les attributions des attaques, l'état de récupération des actifs et les mesures de sécurité sont principalement dérivés de déclarations publiques de la direction de Binance et ne représentent pas encore les conclusions d'enquêtes indépendantes.

Les discours des invités ne représentent pas les points de vue de Wu Shuo et ne constituent aucun conseil en investissement. Veuillez respecter strictement les lois et réglementations locales.

6,34 milliards de dollars d'actifs ont été affectés, et Binance a déclaré avoir gelé ou intercepté environ 2,85 milliards de dollars.

Hôte Jessica : Pouvez-vous nous dire ce qui s'est passé exactement le 30 octobre et les progrès actuels de Binance ?

Richard Teng : Cet incident n'aurait pas dû se produire et nous en assumons l'entière responsabilité.

Le 30 octobre, un attaquant a obtenu un accès non autorisé au service de signature de portefeuille interne et a initié des transactions en dehors du processus de retrait normal. Après que le système a détecté des transferts de fonds anormaux et importants, nous avons immédiatement lancé une enquête, suspendu les retraits et coordonné avec nos partenaires le gel des actifs associés.

L'incident concernait environ 6,34 milliards de dollars d'actifs numériques. À ce jour, environ 2,85 milliards de dollars ont été gelés ou interceptés, et les travaux se poursuivent.

Nous avons décidé que Binance supporterait toutes les pertes financières et ne laisserait pas les utilisateurs supporter les pertes.

Les progrès rapides de ce gel des fonds ne peuvent être réalisés sans la coopération des émetteurs de stablecoins, des sociétés d’analyse de blockchain et des forces de l’ordre. La transparence des transactions en chaîne permet à toutes les parties de suivre les flux de fonds en temps réel et de coordonner les actions.

Jessica : He Yi, quelle a été votre réaction lorsque vous avez appris l'attaque ?

He Yi : Il était minuit à Abu Dhabi et je m'apprêtais à me coucher. Lorsque j'ai fait défiler X, j'ai vu de nombreuses personnes se demander si Binance avait été piraté. J'ai immédiatement vérifié le groupe de travail interne et constaté que l'équipe avait déjà commencé à enquêter et à traiter le problème.

En tant que manager sans formation technique, ce qui me préoccupait le plus à l'époque était de savoir si les actifs des utilisateurs étaient en sécurité et comment expliquer la situation à la communauté.

Bien que le montant final des pertes n'était pas connu au départ, nous avons rapidement communiqué avec les principaux actionnaires et dirigeants du conseil d'administration et avons décidé de nous engager publiquement auprès de Binance à supporter les pertes afin de garantir que les utilisateurs ne subiraient pas de pertes d'actifs en conséquence.

L’attaque était toujours en cours et nous mettions constamment à jour la situation. Des partenaires industriels tels que Tether, Circle, USD1 et Aave, Arbitrum, Polygon, etc. ont rapidement apporté leur aide et certains actifs ont été gelés ou bloqués en quelques heures.

Cela m'a donné l'impression que même si le secteur du cryptage est généralement extrêmement compétitif, toutes les parties du secteur sont toujours en mesure de coopérer rapidement face à des incidents de sécurité majeurs.

Binance affirme que les fonds des utilisateurs n'ont pas été endommagés et que 98 % des actifs symboliques concernés ont été reconstitués.

Jessica : Ce qui préoccupe le plus les utilisateurs, c'est la sécurité de leurs fonds. Comment Binance prouve-t-il que les actifs des utilisateurs sont toujours protégés ? La suspension des retraits est-elle similaire à la situation de FTX à l’époque ?

Richard Teng : Notre position est très claire : il n'y a pas de déficit de financement des utilisateurs.

Cette fois, ce sont les positions du portefeuille et des actifs de Binance qui sont affectées, et non les fonds des utilisateurs. La grande majorité des actifs des utilisateurs sont toujours stockés dans des portefeuilles froids, et nous n'avons trouvé aucune preuve de fuite de clé privée de portefeuille ou de fuite de données utilisateur.

Nous disposons actuellement de plus que le montant requis pour couvrir les pertes, avec environ 98 % des actifs symboliques concernés déjà couverts. Les 2 % restants sont principalement constitués d'actifs moins liquides, dont l'achat et le réapprovisionnement prendront plus de temps, mais qui ont également été financés.

Les utilisateurs peuvent vérifier les soldes pertinents via la preuve de réserves publique de Binance.

Quant à la suspension des retraits, je ne pense pas qu’elle puisse être simplement comparée au FTX. Le problème de FTX à l’époque était qu’il y avait un déficit dans les fonds des clients, et Binance a suspendu les retraits pour contrôler les incidents de sécurité et protéger les fonds existants.

Nous avons repris le service de retrait après avoir confirmé que les systèmes concernés sont sécurisés. La suspension des retraits est une mesure de contrôle des risques et ne signifie pas que la plateforme manque de solvabilité.

De faux recrutements s'introduisent dans les ordinateurs des ingénieurs et l'autorisation en chaîne permet à l'attaque de se poursuivre après la suspension des retraits.

Jessica : Binance dispose d'une grande équipe de sécurité et de nombreuses années d'investissement en sécurité. Comment les attaquants franchissent-ils la ligne de défense ?

Jimmy Xu : Il s'agissait d'une attaque bien ciblée qui a duré plusieurs mois, et pas n'importe quelle arnaque en ligne aléatoire.

En septembre de cette année, un ingénieur logiciel a reçu un contact du soi-disant chef de projet via une plateforme de recrutement formelle. L’attaquant savait qu’il avait une expérience chez Binance, le contact était donc clairement ciblé.

Par la suite, les ingénieurs ont participé à deux séries d’entretiens. Le premier tour est une communication vidéo avec un faux responsable RH, qui fournit également un compte social contenant des photos et des vidéos personnelles pour instaurer la confiance. Le deuxième tour a été mené via un logiciel social, un autre attaquant se faisant passer pour le PDG d'une entreprise fictive.

Vers la fin de l'entretien, il a été demandé à l'ingénieur de télécharger un devoir de codage sur son ordinateur de travail. En fait, ce référentiel de code contenait des programmes malveillants exécutés lors du processus d’installation et de configuration.

Le programme malveillant exécute des instructions en remplaçant les composants des outils de développement normaux et communique avec un serveur externe contrôlé par l'attaquant. Nous pensons qu’un malware Zero Day a été utilisé, qui n’a pas été détecté par les produits tiers de sécurité des points finaux à l’époque. Les attaquants ont également pris des mesures pour dissimuler les traces de leurs activités, rendant ainsi les enquêtes plus difficiles.

Jusqu'à présent cette année, nos équipes de sécurité ont identifié et bloqué 57 cyberattaques présumées liées à la Corée du Nord, notamment de faux recrutements, des logiciels malveillants déguisés en outils de développement, des progiciels et des extensions de navigateur contenant du code malveillant, ainsi que de fausses applications de vidéoconférence.

Ces attaques démontrent que les attaques d’ingénierie sociale contre les employés constituent désormais un risque important pour le secteur.

Jessica : Pourquoi les attaquants ont-ils toujours pu continuer à transférer des actifs après que Binance ait suspendu les retraits ?

Jimmy Xu : C'est l'une des leçons techniques les plus importantes de cet incident.

L'attaquant a exploité un mécanisme d'autorisation de transaction en chaîne. La suspension des retraits ne peut qu'empêcher la propre infrastructure de retrait de Binance de continuer à traiter de nouvelles demandes, mais l'autorisation malveillante précédemment établie par l'attaquant existe déjà sur la chaîne et ne dépend plus du système de retrait de Binance.

Par conséquent, même si la suspension des retraits est nécessaire, cela ne suffit pas à empêcher complètement l’attaque.

Nous devons révoquer ces autorisations via des transactions supplémentaires en chaîne. Cependant, le hot wallet concerné utilise une architecture de calcul multipartite (MPC) et ne dispose pas d'une clé privée complète pouvant être directement utilisée pour révoquer immédiatement l'autorisation.

Les équipes de sécurité ont dû concevoir et exécuter des procédures de révocation spécialisées dans un laps de temps très court, c'est pourquoi il a fallu des heures, et non quelques minutes, pour empêcher les fonds de continuer à sortir.

Nous espérons rendre public ce problème technique afin que les plateformes utilisant des architectures de portefeuille similaires puissent comprendre à l’avance les risques associés.

L'IA améliore à la fois l'attaque et la défense, He Yi insiste sur la divulgation des détails des incidents de sécurité

Jessica : Quel rôle l'IA a-t-elle joué dans cette attaque et cette défense de sécurité ?

Richard Teng : L’IA est à la fois un outil offensif et un outil défensif.

L’IA modifie la structure des coûts des cyberattaques, permettant aux attaquants de lancer des attaques sophistiquées plus rapidement et à plus grande échelle. Ce qui nécessitait autrefois une équipe dédiée est désormais possible grâce à des outils automatisés, et les attaques d'ingénierie sociale deviennent plus réalistes.

Mais la même technologie peut également aider les équipes de sécurité à identifier les comportements anormaux, à suivre les fonds et à améliorer l’efficacité des réponses.

C’est pourquoi nous augmentons nos investissements dans la détection des anomalies d’IA, la surveillance comportementale et la sécurité des points finaux, et travaillons avec des entreprises d’IA et de cybersécurité.

Aucune organisation ne peut garantir une sécurité à 100 %, mais nous devons continuer à améliorer nos systèmes de défense.

Jessica : He Yi, pourquoi insistez-vous pour divulguer des informations techniques ?

He Yi : En fait, certains cadres supérieurs internes et équipes juridiques ont suggéré de ne pas divulguer trop de détails techniques dans les rapports publics, mais je n'ai pas accepté cette suggestion.

Je pense qu'une raison importante pour laquelle Binance a réussi à gagner la confiance de la communauté au cours des dix dernières années est sa volonté d'affronter ouvertement les problèmes.

Lorsque des erreurs se produisent, nous devrions les admettre et les améliorer plutôt que d’essayer de les cacher. Il est utile de divulguer davantage d’informations si cela aide d’autres plateformes à comprendre les méthodes d’attaque et à améliorer la sécurité.

Je dirige l'équipe RH et j'ai rencontré des cas similaires d'embauche douteuse. Par exemple, la personne qui s'est présentée lors de l'entretien n'était pas la même personne qui est venue au bureau plus tard ; il y avait également des anomalies dans les informations d'identité du candidat et dans l'environnement réseau. Après de nouvelles vérifications, la personne a soudainement perdu le contact.

Ces situations indiquent que les attaquants peuvent étudier pendant une longue période les processus de recrutement et de gestion interne de l'entreprise et utiliser le déguisement de leur identité pour rechercher des opportunités.

L’IA peut être à la fois une arme pour les attaquants et un bouclier pour les défenseurs. Nous devons continuer à améliorer nos capacités de sécurité et partager notre expérience avec l’industrie.

Reconstruire le portefeuille et les systèmes internes, en introduisant un examen de sécurité indépendant

Jessica : Quelles mesures correctives Binance a-t-elle prises ? Comment éviter que des incidents similaires ne se reproduisent ?

Jimmy Xu : Depuis le 3 novembre, nous avons réalisé un certain nombre de rectifications d'urgence.

Tout d’abord, reconstruisez le système de portefeuille concerné et les outils d’IA internes dans le nouvel environnement et renforcez le contrôle d’accès. Dans le même temps, les appareils des employés concernés ont été remplacés, les informations d'identification et les jetons d'accès pertinents ont été révoqués et des analyses de sécurité renforcées ont été effectuées sur les appareils des employés.

Nous avons également amélioré les mesures de détection des comportements anormaux et de contrôle des risques basées sur l'IA pour les services de portefeuille, et continuons de suivre les actifs concernés auprès des forces de l'ordre, des sociétés d'analyse en chaîne et des partenaires industriels.

L'objectif à long terme est de renforcer l'isolation du système, notamment en faisant la distinction entre le trafic réseau interne et externe, en isolant le contenu professionnel des données sensibles et en renforçant le stockage des fichiers et les contrôles d'accès au réseau sur les appareils de l'entreprise.

Le principe de base est que même si l’appareil d’un seul employé est compromis, cela ne doit pas dégénérer en un incident de sécurité systémique.

Il y a ensuite trois directions principales.

Premièrement, des experts en sécurité externes sont sollicités pour mener un examen indépendant afin de vérifier les résultats de l'enquête sur l'incident et de formuler d'autres recommandations d'amélioration. Nous ne pouvons pas compter uniquement sur nos équipes internes pour juger par elles-mêmes si un système est sécurisé.

Deuxièmement, augmenter les investissements dans la sécurité de l’IA, en se concentrant sur le renforcement de la détection des menaces, de la protection des terminaux, de la sécurité de l’environnement de développement et de la surveillance des comportements anormaux. Cet incident illustre que les outils internes d’IA et les environnements de développement doivent également être considérés comme des infrastructures critiques.

Troisièmement, renforcer la coopération industrielle. Nous promouvons la création d’un fonds de recherche sur la sécurité et prévoyons de travailler avec des sociétés d’IA, des agences de sécurité et d’autres acteurs de l’industrie pour étudier les menaces de sécurité de l’IA dans l’environnement blockchain.

En outre, nous réexaminerons la politique de signature du portefeuille, le mécanisme de contrôle du portefeuille chaud et le processus de réponse aux incidents afin de réduire le temps nécessaire pour détecter, contenir et traiter les attaques à l'avenir.

Avertissement de risque

Selon le dernier document Yinfa [2026] n° 42 publié par huit départements, dont la Banque populaire de Chine, le contenu de cette plateforme est uniquement utilisé pour le partage de technologies et d'informations dans l'industrie de la blockchain. Il ne constitue aucun conseil en investissement et ne promeut ni n’approuve aucun comportement commercial ou d’investissement. Les lecteurs sont priés de respecter strictement les lois et réglementations de leur région et de se méfier des risques d'investissement et de fraude. Il existe actuellement un grand nombre de comptes frauduleux et contrefaits, alors soyez vigilant et examinez-les attentivement. Il est interdit de réimprimer, copier ou utiliser commercialement tout le contenu de cette plateforme sans autorisation.

Beijing Blue Seahorse Cultural Communication Co., Ltd. Tous droits réservés. Pékin ICP n° 2023026470