Skip to content
Blockchain Posts

exploit

Binance piraté : 6,3 Md$ détournés via EIP-7702 après compromission d'un laptop DevOps

Un laptop d'ingénieur DevOps compromis a servi de point d'entrée : l'attaquant a utilisé une délégation EIP-7702 pour vider les hot wallets Binance. Impact 6,3 Md$, dont 3 Md$ gelés on-chain.

par 5 min de lecture
exploitbinanceethereumlazaruson-chain

Binance attribue à l'ordinateur portable compromis d'un ingénieur DevOps la plus grosse ponction jamais encaissée par un exchange centralisé : un attaquant a exploité le mécanisme de délégation EIP-7702 pour transformer les hot wallets de la plateforme en balayeurs, forwardant automatiquement les fonds vers une adresse neuve. L'estimation actuelle de l'impact tourne autour de 6,3 milliards de dollars, dont environ 3 milliards gelés on-chain par Tether, Circle, Ripple et plusieurs ponts. Les dépôts et retraits restent suspendus ; la co-CEO Yi He a promis la couverture intégrale des pertes utilisateurs sous 48 heures.

Ce qui s'est passé

Le premier signal public arrive à 20h20 UTC le 29 octobre, détecté par le chercheur Spreek : le hot wallet Binance 14 (adresse 0x28C6c06298d514Db089934071355E5743bf21d60, étiquetée par Etherscan) est vidé de 167 464 ETH en environ quatre minutes. Quelques minutes plus tôt, un hot wallet BTC pousse 18 270 BTC en 11 transactions dans le bloc 973 732. En fin de nuit, Binance publie une cause préliminaire : un container de service DevOps a été atteint depuis un laptop d'ingénieur compromis, puis utilisé pour signer des flux de retrait non autorisés. Binance affirme qu'aucune clé privée n'a été exfiltrée.

Le mécanisme — EIP-7702 transforme un hot wallet en balayeur

EIP-7702, actif sur mainnet depuis l'upgrade Pectra, permet à un compte externe (EOA) de déléguer temporairement son exécution à du code de contrat via une autorisation signée. L'attaquant a procédé en trois temps :

  1. Déploiement d'un contrat sweeper plusieurs heures en amont, financé via Tornado Cash.
  2. Soumission de 50 autorisations EIP-7702 pré-signées réparties sur 50 nonces, dans un batch pointant Binance 14 vers le sweeper.
  3. Déclenchement : tant que la délégation est active, tout ETH et tout ERC-20 crédités sur le wallet sont immédiatement redirigés vers les adresses de l'attaquant.

Comme la délégation vit sur l'EOA signataire, Binance ne pouvait pas stopper la fuite en tournant une clé admin de contrat — il a fallu révoquer l'autorisation elle-même et migrer les réserves. Le balayage ETH prend environ quatre minutes de bout en bout d'après le replay de Cryptoast et le trace de CoinDesk sur Etherscan.

Piste on-chain

  • Wallet principal du drain : 0x5227f603c1ee34ce3c06efe6477003bdfccb2f8c.
  • Exploiter 8 (label Arkham) : 0x8532FA14ACAf483729C449b8458aedDb900543D4 — détenait 195 460 ETH à 22h03 UTC.
  • Exploiter 11 : 0x897C80d1a9729E94460e2Bd93178bD5215158DF3 — 57 891,77 ETH.
  • Pattern BTC : les 18 270 BTC volés sont répartis sur 19 adresses, dont 17 détiennent exactement 1 000 BTC chacune, une 832,5 BTC, et la dernière (436,7 BTC) atterrit dans le bloc 973 738 à 20h48 UTC. Aucun fonds n'a bougé depuis — pattern de peel chain classique.
  • L'attaquant a aussi déposé 60 M$ d'USDT sur Aave et emprunté 19 762 ETH en collatéral, puis converti une partie des USDT volés en ETH et TRX via UniswapX — selon Arkham cité par The Defiant, pour un total swapé de 911 M$, afin de passer sous le mécanisme de gel de Tether.

Numbers block

  • Impact total : ~6,3 Md$ (Binance) / 6,4 Md$ (Chainalysis).
  • Gelés on-chain : ~3 Md$ (Binance), 2,8 Md$ (Arkham), 2,7 Md$ (Nansen).
  • Impact réserves : ~204 500 ETH sortis, soit environ 5,6 % des réserves ETH déclarées de Binance ; backing ETH tombe à ~94 % en attente de recapitalisation.
  • Gels par émetteur (CoinDesk, dirigeants cités) : >1,567 Md$ d'USDT (Paolo Ardoino, Tether), ~823 M$ d'USDC (Circle via Binance), ~200 M$ de RLUSD (Ripple), 27 M$ d'USD1 (World Liberty Financial).
  • Fonds SAFU : ~1 Md$ en BTC disponibles avant d'entamer les fonds propres.
  • Prochain snapshot proof-of-reserves : 1er novembre.

Attribution — nuancée

  • Chainalysis rattache publiquement le pillage au Lazarus Group nord-coréen (via The Defiant).
  • TRM Labs attribue au sous-groupe qu'il suit sous le nom TraderTraitor (Journal du Coin).
  • Le FBI, l'OFAC et le Trésor n'ont pas encore prononcé d'attribution formelle. La piste nord-coréenne repose à ce stade sur deux cabinets d'analyse privés.

Ce qu'il faut surveiller

  1. La promesse de retraits sous 48 heures de Yi He. Les réserves doivent être migrées vers de nouvelles clés et auditées avant toute réouverture sans risque.
  2. Le snapshot proof-of-reserves du 1er novembre. Les wallets drainés figurent dans les réserves utilisateurs — le trou apparaîtra sauf si SAFU et la recapitalisation en fonds propres sont effectifs avant.
  3. Mouvement sur les 19 wallets BTC. Le bitcoin n'a pas de mécanisme de gel émetteur ; un déplacement signale le début du blanchiment.
  4. Attribution formelle OFAC/FBI ou action du Trésor — pour l'instant Lazarus/TraderTraitor repose uniquement sur l'analyse privée.
  5. Les gels DeFi qui perdurent. Aave V3 Ethereum a gelé les marchés concernés ; Kamino a mis en pause son marché SOL/BTC. D'autres suivront si les adresses attaquantes commencent à poster du collatéral.

Contexte — premier EIP-7702 à l'échelle d'un exchange centralisé

EIP-7702 a surtout alimenté des posts sur les smart wallets et le batching UX ; une veine de recherche plus discrète alertait depuis Pectra sur le fait que les délégations pré-signées sont une primitive de phishing universelle pour tout EOA qui signe sous session compromise. Le casse de Binance est la première application de cette primitive à l'échelle d'un exchange — rappel que le modèle de menace hot wallet doit désormais intégrer la capture de signatures de session, pas seulement le vol de clé. Le précédent record, Bybit en février 2025 à 1,46 Md$, relevait déjà d'une surface de signature compromise plutôt que d'un vol de clé direct. Si l'attribution tient, Lazarus / TraderTraitor tourne à un braquage d'exchange centralisé à neuf chiffres par an.

Sources

Articles liés