Binance : 5,98 milliards sortis des hot wallets en une soirée

La chronologie des retraits a été reconstituée par Octav et Arkham Intelligence. Selon cette reconstitution, un portefeuille anonyme a retiré trois fois 0,1 ETH de Tornado Cash le mercredi. Le jeudi vers 17 heures, ce même portefeuille a déployé un contrat intelligent. Grâce à EIP-7702, une fonction d'Ethereum permettant à une adresse de confier ses commandes à un programme, le hot wallet Binance 14 obéissait ensuite au contrat du pirate, selon la source.

À 21h16, les premiers retraits suspects sont partis de Base et d'Optimism. Quatre minutes plus tard, 18 270 BTC ont quitté le hot wallet bitcoin de Binance. À 21h24, une seule transaction a vidé Binance 14 de 64 jetons, pour un montant de 2,54 milliards de dollars. La manière dont l'attaquant a obtenu la signature nécessaire reste, selon la source, l'angle mort de l'enquête.

Le traceur d'Octav et d'Arkham Intelligence recense 5,98 milliards de dollars sortis des hot wallets de Binance en une soirée, sur neuf blockchains. Ethereum représente 3,78 milliards de dollars, dont les 2,54 milliards de Binance 14. Bitcoin suit avec 1,44 milliard, réparti en paquets de 1 000 BTC sur une vingtaine d'adresses neuves.

Tron, Solana et Arbitrum arrivent loin derrière, avec 32 à 628 millions de dollars chacun. Vendredi après-midi, le pirate détenait surtout 1,76 milliard d'USDT et 825 millions d'USDC, puis 1,4 milliard en bitcoin, 1,18 milliard en ether et 68 autres jetons. Le piège posé sur Binance 14 a continué de fonctionner après le casse : une seconde rafle a emporté une centaine de petits jetons, d'ARKM à CHZ, pour environ 38 millions de dollars.

À 22h14, Tether et Circle ont déclenché leurs premiers gels, selon la source. Dans la soirée, Binance 14 a encore reçu 200,4 millions d'USDT : le contrat du pirate les a aspirés dans la foulée et Tether les a gelés à l'arrivée. Le pirate a enchaîné les échanges d'USDT contre de l'ether sur Uniswap et 1inch. Selon la source, les stablecoins bloqués appartiennent toujours aux victimes, mais leur restitution exige des mois de procédure.

Les adresses pillées faisaient partie des réserves censées couvrir les clients, et l'ether n'y était plus couvert qu'à 94 % après l'attaque, selon la source. Depuis janvier, le contrat de Binance range les avoirs des clients dans une fiducie, à l'inverse de Celsius. Pour l'essentiel, le staking n'a pas été emporté : un hot wallet paie les retraits en quelques secondes, alors que les ethers stakés via Binance dorment dans des validateurs Ethereum et doivent passer par une file d'attente de retrait ; aucune signature volée ne les vide en vingt minutes, selon la source.

Le staking s'est toutefois glissé dans le butin par la petite porte, lorsqu'un client stake ses ETH sur Binance et reçoit du wBETH.

Environ 2,4 milliards en BTC et en ETH restent hors d'atteinte, aux mains de hackers nord-coréens, selon la source. La reconstitution s'appuie sur les données d'Octav et d'Arkham Intelligence. Reste à clarifier la manière dont l'attaquant a obtenu la signature qui a permis au contrat de prendre le contrôle de Binance 14, ainsi que la procédure de restitution des stablecoins gelés, qui exige des mois.