Hack de Binance : 3,5 milliards de dollars siphonnés vers une adresse vierge
Un record que personne ne voulait. Dans la soirée du jeudi 29 octobre, deux transactions ont vidé le hot wallet Ethereum de Binance. Le butin vérifié on-chain semble dépasser les 3,5 milliards de dollars, un mois après le hack de Bitget et ses 351,6 millions de dollars, alors que la plateforme n’a toujours rien confirmé.
Les points clés de cet article :
- Deux transactions ont drainé environ 3,5 milliards de dollars depuis le hot wallet Ethereum de Binance.
- L’entité du pirate totaliserait jusqu’à 5,7 milliards de dollars toutes chaînes, selon Arkham.
- Tether et Circle auraient gelé environ 1,8 milliard de dollars de stablecoins après l’alerte.
- Binance n’a rien confirmé, mais CZ évoque un hack probable et une couverture intégrale des fonds.
- Ripple a gelé l’équivalent de 200 millions de dollars, selon le co-CEO de Binance Yi He.
Mises à jour 23h50: Binance confirme que les fonds des utilisateurs sont en sécurité et coupe les retraits jusqu’à ce que le problème soit résolu.
Comment 3,5 milliards ont quitté Binance en une soirée
L’alerte vient de Spreek, chercheur on-chain. Un appel de fonction a balayé, vers 21 heures, le wallet étiqueté « Binance 14 », un hot wallet connecté à internet depuis lequel Binance déplace les fonds de ses clients.
Une soixantaine de jetons et 167 464 ether ont alors rejoint une adresse jamais utilisée, un total d’environ 3,5 milliards de dollars aux prix lors des faits.
Le point d’entrée se précise. Selon Odysseus, de l’équipe Phylax, le wallet a d’abord reçu une délégation EIP-7702. Cette norme d’Ethereum laisse un wallet classique exécuter du code délégué et autoriser des transferts sans nouvelle signature. Le drain a démarré trois minutes plus tard.
Autrement dit, le wallet s’est retrouvé à obéir à un code étranger, comme une serrure reprogrammée à distance.
L’opérateur du balayage était codé en dur dans ce délégué, alimenté au préalable via Tornado Cash. Ce mixer d’Ethereum mélange les fonds de nombreux utilisateurs pour brouiller leur traçabilité, si bien que l’argent qui en ressort ne porte plus d’étiquette d’origine.
Comment l’attaquant a obtenu ces signatures reste inconnu. Odysseus évoque, sans trancher, une possible compromission de la clé de signature du wallet « Binance 16 ».
Près de 40 minutes après le premier balayage, un second passage a ramassé les miettes restées sur le wallet, environ 4 millions de dollars de plus. Son auteur tenait donc toujours les commandes du contrat.
L’autorité du wallet délégué allait plus loin. Peu après, il a utilisé son rôle de propriétaire sur un autre smart wallet pour en extraire 780 millions de dollars d’USDC.
Le périmètre déborde d’Ethereum : Arkham chiffre le regroupement d’adresses du pirate jusqu’à 5,7 milliards de dollars, du bitcoin au TRX. Un périmètre brut, pas un décompte de pertes définitif. À ce niveau, ce serait le plus gros hack de l’histoire de la crypto, devant les 1,5 milliard de dollars subis par Bybit.
Faut-il s’inquiéter pour ses fonds ?
Jeudi soir, un porte-parole de Binance a indiqué à Cointelegraph que ses équipes de sécurité examinaient l’activité suspecte, sans que la plateforme confirme le moindre impact sur les fonds des utilisateurs.
Binance US, l’entité américaine indépendante, a assuré ne pas être concernée.
De son côté, Changpeng Zhao, cofondateur de la plateforme, penche pour le hack. Dans la foulée, Tether aurait gelé environ 971 millions de dollars d’USDT et Circle 823 millions de dollars d’USDC.
« Les fonds des utilisateurs sont en sécurité. Cela ressemble effectivement à un hack sur Binance. »
Changpeng Zhao, cofondateur de Binance, sur X
Simple actionnaire désormais, il évalue la perte entre 2,5 et 3,5 milliards de dollars et table sur une couverture intégrale.
Le butin se met en mouvement. Près de 700 millions de dollars d’USDT ont quitté l’adresse centrale vers une série de relais. Une partie est passée par Aave, et le protocole a gelé ses marchés de prêts pour empêcher l’attaquant d’emprunter.
Un coffre de 195 460 ether reste intact. La majorité de l’USDT n’a pas non plus quitté les adresses de réception.
Les marchés ont déjà tranché. Le BNB a perdu 6%, le bitcoin est repassé sous 79 000 dollars et 628 millions de dollars de positions ont sauté en une heure. Le secteur reste sur le qui-vive, à l’image de cette plateforme d’échange qui suspendait ses dépôts le même jour.
Binance doit encore confirmer la faille et chiffrer l’ardoise finale. Les prochains blocs diront si ce record tient. Le secteur sait déjà bloquer des centaines de millions en sorties frauduleuses.
Le Journal Du Coin
Un article de la rédaction. Le Journal du Coin, premier média d’actualités francophone sur la cryptomonnaie, Bitcoin, et les protocoles blockchain.