Dans le monde de la finance numérique, où des milliards circulent à travers des algorithmes silencieux qui ne dorment jamais, la plateforme Binance a longtemps ressemblé à une citadelle imprenable gardée par les chiffrements les plus complexes de l'histoire moderne. Pourtant, ce gigantesque bastion a subi deux secousses historiques qui ont révélé la face cachée de la guerre des cerveaux dans le cyberespace, levant le voile sur les détails stupéfiants de deux braquages numériques où aucun masque ni arme à feu n'ont été utilisés, mais plutôt des lignes de code malveillantes et une patience stratégique à long terme, faisant de ces deux incidents le sujet des enquêtes criminelles numériques les plus complexes au monde.
Les premiers chapitres de l'histoire ont débuté le 7 mai 2019, précisément à 17h17 UTC, lorsque des sirènes silencieuses ont retenti dans les salles de surveillance de la plateforme après l'enregistrement d'une transaction inhabituelle au bloc 575 012 sur le réseau Bitcoin. Cette transaction n'était pas un simple transfert ordinaire, mais une hémorragie directe du portefeuille chaud (« hot wallet ») de la plateforme connecté à Internet, par lequel 7 074 bitcoins se sont volatilisés en un instant, représentant à l'époque plus de 40 millions de dollars américains. Les enquêteurs se sont alors interrogés sur la manière dont les attaquants avaient réussi à contourner les multiples pare-feux sans attirer l'attention des systèmes de gestion des risques, jusqu'à ce qu'il soit trop tard et que les fonds ne se retrouvent effectivement sur le réseau public.
Des enquêtes criminelles approfondies menées par des équipes de cybersécurité en collaboration avec des sociétés d'analyse de la blockchain telles que Chainalysis et CipherTrace ont révélé que l'opération n'était pas le fruit du hasard, mais le fruit de longs mois de travail de renseignement précis mené par un groupe de pirates professionnels dont les empreintes techniques recoupent celles de groupes de crime organisé transfrontalier, au premier rang desquels le célèbre groupe nord-coréen Lazarus, spécialisé dans le ciblage des infrastructures financières. Les assaillants ont adopté une stratégie complexe combinant hameçonnage ciblé, logiciels malveillants et ingénierie de l'illusion sociale. Ils ont planté des virus sophistiqués sur les appareils de plusieurs utilisateurs disposant d'une solvabilité financière élevée et ont réussi, avec une patience infinie, à dérober les clés des interfaces de programmation (API) pour le trading automatisé, ainsi que les codes d'authentification à deux facteurs et les informations de sessions actives. Plutôt que de retirer les fonds un par un et d'éveiller les soupçons du système, les pirates ont patienté dans l'ombre jusqu'à amasser leur magot de clés numériques, puis ont émis des ordres de retrait simultanés et programmés avec une précision chirurgicale en une fraction de seconde. Cela a trompé les algorithmes de sécurité, les poussant à classer l'opération comme une activité normale avant de découvrir que le portefeuille chaud avait été vidé de son contenu, qui représentait environ 2 % des réserves totales de Bitcoin de la plateforme.
Cette nuit-là, alors que le monde retenait son souffle face au destin de la plus grande plateforme mondiale, des discussions secrètes et hautement sensibles se sont déroulent en coulisses, dont la majeure partie n'a été rendue publique que bien plus tard. Changpeng Zhao, fondateur et PDG de la plateforme, s'est entretenu avec des développeurs éminents du réseau Bitcoin tels que Jeremy Rubin pour émettre une idée sans précédent : restructurer la blockchain Bitcoin, ce que l'on appelle techniquement le « reorganisation » (réorganisation). Le plan consistait à convaincre les principaux mineurs mondiaux d'ignorer le bloc contenant la transaction volée et de construire une chaîne alternative en échange d'une partie des fonds récupérés sous forme de généreuses commissions, une mesure qui aurait permis d'annuler le vol comme s'il n'avait jamais eu lieu. Cependant, les débats houleux qui se sont poursuivis jusqu'aux premières heures de l'aube se sont soldés par le recul de la direction de la plateforme face à cette option radicale, après avoir réalisé que manipuler l'historique des transactions détruirait le pilier fondamental sur lequel reposent les cryptomonnaies : l'immuabilité des registres. La plateforme s'est immédiatement tournée vers l'activation du Fonds d'actifs sécurisés pour les utilisateurs (SAFU), un fonds d'urgence créé un an auparavant en prélevant 10 % des frais de transaction, afin d'indemniser entièrement toutes les victimes avec ses propres fonds. Parallèlement, les enquêteurs ont poursuivi la traque des pirates, qui s'étaient employés à fragmenter la somme volée en des centaines de sous-portefeuilles et à la faire transiter par le célèbre mixeur de cryptomonnaies ChipMixer pour brouiller les pistes criminelles, avant que ce mixeur ne soit finalement fermé lors d'une opération internationale conjointe menée par Europol et le FBI.
L'incident de 2019 n'était que le premier chapitre, car la nuit du 6 octobre 2022 a été le théâtre de l'attaque la plus grave et la plus massive de l'histoire de l'écosystème Binance. Cette fois, elle n'a pas visé les portefeuilles des utilisateurs ou leurs mots de passe, mais a frappé au cœur l'infrastructure du pont reliant les réseaux de la plateforme, connu sous le nom de BSC Token Hub (Centre de jetons de la BNB Smart Chain). Les ingénieurs du réseau se sont réveillés face à une catastrophe numérique dépassant les 570 millions de dollars. Le paradoxe choquant révélé par les enquêtes préliminaires est que le pirate n'a pas dérobé de devises préexistantes, mais a exploité une faille mathématique cachée pour imprimer de nulle part 2 000 000 de jetons de la cryptomonnaie native de la plateforme et les transférer directement vers son propre portefeuille en deux transactions consécutives, chacune d'une valeur de 1 000 000 de jetons.
Des rapports techniques détaillés publiés par des sociétés d'audit de sécurité telles que SlowMist et Halborn ont montré que l'exécutant était un expert chevronné en cryptographie et en ingénierie des contrats intelligents. Il a découvert une anomalie subtile dans la manière dont le pont numérique vérifie les preuves de l'arbre de Merkle (Merkle tree proofs), en particulier dans la bibliothèque de vérification de code basée sur l'architecture Cosmos et Tendermint. L'attaquant a utilisé une ancienne transaction légitime enregistrée en octobre 2020 au bloc 110 217 401, puis a injecté des données frauduleuses à la fin de cette transaction légitime, profitant du fait que l'algorithme de vérification se contentait d'inspecter le chemin initial de la preuve tout en ignorant l'audit des charges utiles supplémentaires qui y étaient attachées. Grâce à cette astuce de programmation ingénieuse, le contrat intelligent du pont s'est persuadé que l'attaquant disposait d'un solde massif bloqué sur la chaîne principale, et il a immédiatement généré 2 000 000 de nouveaux jetons pour les envoyer à son adresse numérique sans aucune couverture financière réelle.
Dès réception de ce butin massif, l'attaquant a entamé une course contre la montre pour blanchir l'argent et le sortir de la zone de contrôle de la plateforme avant que la vulnérabilité ne soit découverte. Dans les premières minutes, il s'est tourné vers le protocole de finance décentralisée (DeFi) Venus, y a déposé 900 000 jetons comme garantie financière pour emprunter environ 147 millions de dollars en stablecoins. Il a ensuite entrepris de disperser la liquidité restante à travers de multiples ponts numériques tels que Stargate et Multichain pour les exfiltrer vers d'autres réseaux comme Ethereum, Arbitrum, Polygon, Fantom et Avalanche. Cependant, la vigilance des salles des marchés et leur réactivité fulgurante ont renversé la situation dans une scène dramatique rarement observée dans l'univers des réseaux décentralisés.
En l'espace de quelques heures suivant la détection de la faille, la direction de la plateforme et les développeurs du réseau ont pris une décision exceptionnelle et sans précédent : ils ont contacté d'urgence 26 validateurs répartis dans le monde entier qui constituent le système nerveux du réseau, et ont émis un ordre collectif pour stopper complètement et temporairement la BNB Smart Chain. Cela a paralysé le trafic des transactions et gelé le réseau au moment décisif. Le résultat de cette frappe préventive a été le blocage de plus de 430 millions de dollars de fonds volés à l'intérieur même du portefeuille du pirate, transformant ces millions en un clin d'œil en chiffres prisonniers qu'il était impossible de déplacer ou d'utiliser. Parallèlement, les efforts conjugués des sociétés émettrices de stablecoins et des plateformes centralisées ont permis de traquer les montants que le pirate avait réussi à exfiltrer via les ponts avant la fermeture, estimés à environ 127 millions de dollars. Tether a immédiatement inscrit les adresses du pirate sur liste noire et gelé des millions de dollars de son stablecoin sur le réseau Ethereum, imité en cela par les principales bourses d'échange qui ont verrouillé toutes les issues pour les portefeuilles suspects.
Pour parachever le processus de récupération des fonds et nettoyer le réseau des séquelles de cette agression, les développeurs ont lancé une mise à jour logicielle d'urgence connue sous le nom de « hard fork » (scission dure). Le code source du réseau a ainsi été modifié pour intégrer les adresses de l'attaquant dans la liste des interdictions permanentes et combler la faille de sécurité dans le système de vérification des preuves. Néanmoins, un problème majeur subsistait : les 900 000 jetons bloqués en garantie dans le protocole Venus. Les vendre sur le marché ouvert pour rembourser les emprunts aurait provoqué un effondrement catastrophique des prix. C'est alors que la plateforme est intervenue par le biais de son mécanisme de gouvernance : une proposition d'urgence a été soumise au vote, accordant à Binance le droit exclusif de liquider cette garantie massive progressivement et en toute sécurité, loin de la volatilité du marché, tout en injectant des liquidités pour couvrir les créances irrécouvrables au sein du protocole. En parallèle, un mécanisme de « burn » (destruction automatique) a été utilisé pour incinérer les faux jetons imprimés la nuit du piratage. S'est ainsi achevé le chapitre du braquage et de la récupération le plus complexe de l'histoire des actifs numériques, sans qu'un seul utilisateur ne perde un centime de ses économies, laissant derrière lui de dures leçons qui ont redéfini les normes de cybersécurité dans l'ingénierie des ponts financiers modernes.
Derrière les communiqués officiels publiés par la plateforme Binance à la suite des piratages de 2019 et 2022 se cachent des dossiers de renseignement et techniques gardés secrets pendant des années dans les couloirs des salles d'opérations fermées et des bureaux du FBI. Ces détails révèlent que ce qui a été rendu public n'était que la partie émergée de l'iceberg d'une véritable guerre fantôme menée dans l'ombre.
Le premier de ces secrets cachés remonte à environ 14 mois avant le vol de mai 2019, plus précisément en mars et juillet 2018, lorsque la plateforme a subi ce que les cercles de sécurité appellent une « répétition silencieuse ». Durant cette période, un groupe non identifié a réussi à implanter des logiciels espions et à voler les clés API d'un certain nombre de traders. Mais au lieu de retirer les fonds directement, les pirates ont eu recours à un stratagème de faux trading : ils ont ouvert leurs propres portefeuilles et acheté des quantités massives de cryptomonnaies méconnues telles que ViaCoin et Syscoin, puis ont utilisé les comptes piratés des victimes pour acheter ces monnaies à des prix astronomiques en quelques secondes afin de gonfler artificiellement leur valeur par milliers et de réaliser des profits immédiats. Lorsqu'ils ont tenté de retirer leurs gains, les alarmes automatisées de la plateforme se sont déclenchées et leurs comptes ont été gelés avant qu'un seul dollar ne sorte. La véritable catastrophe, cependant, réside dans le fait que les cerveaux de l'attaque de 2019 ont analysé cet échec avec une précision minutieuse, réalisant que les algorithmes de Binance étaient extrêmement sensibles aux fluctuations des prix sur le marché, mais qu'ils souffraient d'un angle mort si des retraits directs et simultanés étaient effectués depuis le portefeuille chaud sans passer par les plateformes de trading interne. Une leçon qui leur a permis de réussir pleinement leur coup d'éclat ultérieur.
Les fils de la conspiration de 2019 ne se sont pas arrêtés au vol financier ; ils ont été suivis quelques semaines plus tard par un mystérieux incident de chantage qui a ébranlé les hautes sphères de la direction de la plateforme. Un individu se faisant appeler « Guardian M », suivi d'un autre compte du nom de « Bnatov Platon », a pris contact en secret avec la direction de Binance, exigeant une rançon de 300 bitcoins pour s'abstenir de publier une base de données secrète contenant 10 000 photos de pièces d'identité et de passeports appartenant à des utilisateurs de la plateforme, lesquels tenaient des feuilles de papier portant la mention « Binance » ainsi que la date du jour. Bien que la plateforme ait déclaré par la suite que ces documents avaient été volés à une société de courtage externe chargée de la vérification des identités au début de 2018, les enquêteurs criminels ont établi dans leurs rapports non officiels un lien entre ces fuites et l'attaque de mai, estimant probable que les pirates aient utilisé cette liste divulguée pour identifier les grands investisseurs et les titulaires de comptes importants avec une précision chirurgicale, facilitant ainsi leur ciblage avec des messages de phishing personnalisés et sophistiqués qui leur ont octroyé les clés d'accès au portefeuille chaud.
Quant au plus grand secret concernant l'identité des auteurs de l'attaque de 2019 et le sort des fonds, il est resté enfoui dans des serveurs cryptés jusqu'au 15 mars 2023, date à laquelle la police criminelle fédérale allemande, en coopération avec le FBI américain, a mené un raid international ayant abouti à la saisie des serveurs du célèbre mixeur de cryptomonnaies ChipMixer et à la mise de main sur 7 téraoctets de données secrètes gérées par le génie vietnamien de la cryptographie Minh Quốc Nguyễn, titulaire d'un doctorat en ingénierie électronique. Après avoir décrypté la boîte noire du mixeur, les enquêteurs ont été stupéfaits de découvrir que les 40 millions de dollars volés à Binance avaient été blanchis dans les mêmes canaux et portefeuilles numériques que ceux utilisés pour blanchir les fonds dérobés par le groupe nord-coréen Lazarus au pont Ronin et à Harmony. Plus grave encore, les registres ont révélé un croisement financier avec des portefeuilles appartenant à l'unité militaire russe n° 26165, connue dans les services de renseignement sous le nom de Fancy Bear, mettant au jour un marché noir partagé de blanchiment d'argent unissant les agences de cyber-renseignement les plus dangereuses au monde.
En ce qui concerne le piratage historique du pont de Binance en octobre 2022, son plus grand secret ne résidait pas dans le montant volé, mais dans la catastrophe mondiale qui a failli se produire sans l'intervention d'une cellule de crise secrète formée dans l'ombre. Alors que le monde suivait la nouvelle du gel du réseau Binance, le célèbre chercheur en sécurité connu sous le pseudonyme de Samczun, en collaboration avec l'ingénieur en chef du réseau Cosmos Ethan Buchman, a découvert que la faille exploitée par le pirate pour imprimer 2 000 000 de jetons n'était pas une erreur de programmation propre à Binance seule, mais un défaut mortel dans une bibliothèque logicielle fondamentale sur laquelle s'appuient des dizaines de réseaux et de grands projets construits sur l'architecture Cosmos à travers le monde. Dans un moment de panique silencieuse, les ingénieurs ont réalisé que n'importe quel pirate lisant le code de l'opération Binance serait en mesure de reproduire instantanément l'attaque et de dérober des milliards de dollars sur d'autres réseaux. Une cellule d'urgence chiffrée a ainsi été mise en place via des applications de messagerie ultra-rapides, réunissant les principaux développeurs de réseaux mondiaux. Ils ont œuvré dans le cadre d'une course contre la montre de 72 heures continues sous un black-out médiatique absolu pour corriger et mettre à jour des dizaines de chaînes numériques à travers le monde avant que le secret technique de la faille ne soit révélé, laquelle a été enregistrée plus tard sous le code international des vulnérabilités critiques.
Parmi les détails cachés, à la fois insolites et passionnants de la nuit de l'attaque de 2022, figure le fait que le pirate, malgré son génie mathématique et cryptographique supérieur, a commis une erreur opérationnelle naïve quelques heures avant le début de l'attaque. Il a financé son portefeuille vide à hauteur de 100 jetons Binance pour payer les frais de transaction initiaux via une plateforme d'échange instantané appelée Changelly (ou ChangeNOW), pensant qu'elle ne conservait pas les journaux d'utilisateurs. Cependant, la plateforme enregistrait les empreintes numériques des appareils et les adresses IP, un fil conducteur qui a été transmis ultérieurement aux agences internationales d'application de la loi. En outre, les analyses de la blockchain ont révélé que le pirate a lui-même été cambriolé pendant sa fuite : les algorithmes de trading automatisé ultra-rapides, connus sous le nom de robots MEV (Maximal Extractable Value), ont capté ses mouvements erratiques alors qu'il tentait de convertir les fonds volés à des prix déséquilibrés sur des plateformes décentralisées. Ces robots automatisés lui ont ainsi arraché des millions de dollars des mains en une fraction de seconde, sans savoir qu'ils volaient un voleur.
Le dernier chapitre de ces secrets cachés s'est déroulé exactement 8 mois après l'attaque, plus précisément en juin 2023, lorsque les 900 000 jetons laissés par l'attaquant en garantie dans le protocole Venus se sont transformés en une bombe à retardement menaçant de détruire l'ensemble du marché des cryptomonnaies. Les contrats intelligents étaient programmés pour liquider automatiquement cette garantie et la vendre sur le marché ouvert si le prix du jeton Binance tombait à 220 dollars. Lorsque les hedge funds et les grands spéculateurs de Wall Street et d'Asie ont eu vent de ce seuil secret, ils ont lancé une offensive spéculative féroce par le biais de ventes à découvert massives pour pousser le cours du jeton vers l'abîme, faire exploser la bombe et réaliser des profits fabuleux sur l'effondrement. Dans la nuit du 11 juin, le cours est effectivement descendu pour toucher la barre des 220 dollars, mais la catastrophe n'a pas eu lieu. Il s'est avéré que l'équipe de Binance avait préparé en cachette une contre-embuscade grâce à une modification logicielle permettant à un portefeuille spécial, financé en secret à hauteur de plus de 60 millions de dollars en stablecoins, d'intervenir en une fraction de seconde pour absorber l'intégralité du prêt et rembourser les dettes du pirate hors du marché ouvert. Cela a permis de contrer la plus grande opération de manipulation financière visant à exploiter les restes du plus grand crime numérique de l'histoire.
Commentaires (0)
Aucun commentaire pour le moment. Soyez le premier à réagir !