Hack de Binance : 6,3 milliards de dollars siphonnés vers une adresse vierge

Encyclopédie du Coin Améliorez vos connaissances sur les cryptos

Mises à jour 23h50: Binance confirme que les fonds des utilisateurs sont en sécurité et coupe les retraits jusqu’à ce que le problème soit résolu.

L’alerte vient de Spreek , chercheur on-chain. Un appel de fonction a balayé, vers 21 heures, le wallet étiqueté « Binance 14 » , un hot wallet connecté à internet depuis lequel Binance déplace les fonds de ses clients.

Unconfirmed, but possibly massive binance hack. Entire Binance wallet drained into new EOA. Contract call was funded by Tornado Cash pic.twitter.com/DAHksHY8p7

Une soixantaine de jetons et 167 464 ether ont alors rejoint une adresse jamais utilisée , un total d’environ 3,5 milliards de dollars aux prix lors des faits.

Le point d’entrée se précise. Selon Odysseus , de l’équipe Phylax, le wallet a d’abord reçu une délégation EIP-7702 . Cette norme d’Ethereum laisse un wallet classique exécuter du code délégué et autoriser des transferts sans nouvelle signature. Le drain a démarré trois minutes plus tard.

1/4 EIP-7702 can turn the wallet itself into the sweeper. A Binance-labeled wallet moved 167,464 ETH + 63 tokens, including 1.615B USDT, just 3m24s after a signed delegation was installed. This is bad. https://t.co/GrvUiya16D pic.twitter.com/zONu8cwW63

Autrement dit, le wallet s’est retrouvé à obéir à un code étranger, comme une serrure reprogrammée à distance.

L’opérateur du balayage était codé en dur dans ce délégué, alimenté au préalable via Tornado Cash . Ce mixer d’Ethereum mélange les fonds de nombreux utilisateurs pour brouiller leur traçabilité, si bien que l’argent qui en ressort ne porte plus d’étiquette d’origine.

Comment l’attaquant a obtenu ces signatures reste inconnu. Odysseus évoque, sans trancher, une possible compromission de la clé de signature du wallet « Binance 16 ».

Près de 40 minutes après le premier balayage, un second passage a ramassé les miettes restées sur le wallet, environ 4 millions de dollars de plus. Son auteur tenait donc toujours les commandes du contrat.

L’autorité du wallet délégué allait plus loin. Peu après, il a utilisé son rôle de propriétaire sur un autre smart wallet pour en extraire 780 millions de dollars d’USDC.

Le périmètre déborde d’Ethereum : Arkham chiffre le regroupement d’adresses du pirate jusqu’à 5,7 milliards de dollars , du bitcoin au TRX. Un périmètre brut, pas un décompte de pertes définitif. À ce niveau, ce serait le plus gros hack de l’histoire de la crypto, devant les 1,5 milliard de dollars subis par Bybit.