Les analystes de Bitunix : le vol de plus de 6,3 milliards de dollars chez Binance met une nouvelle fois à l’épreuve la sécurité de la conservation des actifs

Le marché des cryptomonnaies a récemment subi simultanément deux formes distinctes de tensions systémiques : le désendettement forcé et un incident majeur de sécurité touchant une plateforme d’échange.

D’après les données de marché publiées pour le 30 octobre, environ 239 224 traders en cryptomonnaies ont été liquidés sur une période de 24 heures, pour des pertes totales avoisinant 1,536 milliard de dollars. La plus importante liquidation individuelle de la période concernait une position BTCUSDT sur Binance, évaluée à environ 11,09 millions de dollars, selon les données de liquidation de CoinGlass.

À peu près au même moment, une attaque présumée contre l’infrastructure de portefeuilles chauds multichaînes de Binance a soulevé une question plus fondamentale : les plateformes de trading centralisées sont-elles capables de protéger les actifs lorsque des attaquants compromettent les systèmes qui entourent l’autorisation des transactions, même si les clés privées sous-jacentes ne sont pas directement exposées ?

Un choc de marché qui dépasse la simple volatilité des prix

Les liquidations constituent un risque bien connu sur les marchés des cryptomonnaies à effet de levier. Lorsque les prix évoluent fortement, les plateformes ferment automatiquement les positions insuffisamment garanties, transférant les pertes des traders individuels vers l’ensemble du marché par le biais d’une liquidité réduite et d’une volatilité accrue.

Un incident de conservation d’actifs à grande échelle est d’une tout autre nature. Il peut toucher des utilisateurs qui ne tradent pas avec effet de levier, ne détiennent aucune position sur produits dérivés et n’ont commis aucune erreur opérationnelle. Le risque réside alors dans la capacité de la plateforme à protéger les actifs, à valider les retraits et à isoler les autorisations critiques.

La combinaison de ces deux événements est particulièrement préjudiciable à la confiance du marché :

• Les liquidations forcées accentuent la pression vendeuse à court terme.
• Une faille de sécurité peut provoquer des retraits massifs et raviver les inquiétudes concernant la liquidité.
• L’incertitude entourant les actifs concernés peut élargir les spreads et entraîner des décotes.
• Les traders peuvent commencer à évaluer le risque de contrepartie en plus du risque de marché.

C’est pourquoi les incidents de sécurité touchant les plateformes d’échange ont souvent des conséquences qui dépassent largement le montant directement volé. Ils peuvent influer sur le comportement des utilisateurs, la transparence des réserves, la disponibilité des retraits et, plus généralement, la confiance dans la conservation centralisée.

Ce que l’attaque présumée révèle des risques liés aux portefeuilles chauds

L’incident signalé aurait impliqué le transfert d’environ 6,36 milliards de dollars d’actifs depuis dix blockchains. Si son ampleur était pleinement confirmée, il s’agirait de l’un des plus importants vols de cryptomonnaies jamais enregistrés, et d’un montant supérieur à celui de l’incident précédemment signalé chez Bybit.

Selon les enquêteurs, les attaquants auraient mis en place un processus sophistiqué consistant à préparer à l’avance la logique de transactions malveillantes. L’opération aurait notamment utilisé le mécanisme d’autorisation EIP-7702 d’Ethereum, ainsi que les processus de signature des portefeuilles sur d’autres réseaux.

L’EIP-7702 s’inscrit dans l’évolution d’Ethereum vers l’abstraction des comptes. Elle permet temporairement à un compte détenu en propre d’adopter des fonctionnalités de contrat intelligent grâce à un processus d’autorisation. Cette fonctionnalité peut améliorer l’ergonomie et permettre une exécution plus flexible des transactions, mais elle rend également la gestion des permissions encore plus importante. Un processus d’autorisation mal protégé peut créer des risques, même lorsqu’aucun vol direct de clé privée traditionnelle n’a été démontré.

La principale leçon à retenir est que la sécurité d’un portefeuille ne se résume pas à déterminer si une clé privée a été copiée. Un portefeuille chaud peut rester vulnérable si un attaquant parvient à compromettre :

1. L’appareil de l’employé utilisé pour gérer les systèmes de production.
2. Les conteneurs de services chargés du traitement des retraits.
3. L’infrastructure de génération ou de signature des transactions.
4. Les jetons d’accès, identifiants ou permissions de session.
5. Les règles d’approbation automatisées et les moteurs de politiques.
6. Les processus de gestion des actifs multichaînes.

Autrement dit, la frontière de sécurité englobe l’ensemble de la chaîne de traitement des transactions, et pas uniquement le dispositif final de signature.

Les premières conclusions font apparaître une surface d’attaque élargie

L’enquête préliminaire de Binance aurait indiqué que l’ordinateur portable d’un ingénieur DevOps avait peut-être été compromis. L’attaquant aurait ensuite progressé à travers les conteneurs de services avant de soumettre des retraits non autorisés.

La plateforme a déclaré n’avoir trouvé aucun élément prouvant que les clés privées des portefeuilles avaient été directement divulguées. Cette distinction est techniquement importante, mais elle ne réduit pas la gravité de l’incident. Si un attaquant obtient un contrôle suffisant sur l’infrastructure qui prépare, autorise ou soumet les transactions, il peut potentiellement déplacer des actifs sans extraire directement une clé privée stockée.

Il s’agit d’un exemple classique d’escalade des privilèges à travers des systèmes interconnectés :

• La compromission d’un terminal fournit un accès initial.
• Les services internes exposent d’autres identifiants ou permissions.
• Une couche de conteneurisation ou d’orchestration devient un pont vers la production.
• La logique automatisée de signature ou d’approbation exécute des instructions malveillantes.
• Les fonds sont répartis sur plusieurs blockchains afin de compliquer leur récupération.

Les plateformes d’échange modernes doivent donc mettre en place des contrôles en profondeur, en partant du principe que certains composants peuvent être défaillants. Parmi les protections envisageables figurent l’authentification adossée à du matériel, une séparation stricte entre les environnements de développement et de production, des identifiants à durée de vie limitée, la simulation des transactions, des listes blanches de destinations, une approbation indépendante des retraits et une détection des anomalies en temps réel.

L’attribution doit être abordée avec prudence

Des enquêteurs spécialisés dans la blockchain auraient établi avec un haut degré de confiance un lien entre l’opération et TraderTraitor, un groupe de cybermenace que les chercheurs en sécurité associent généralement aux opérations nord-coréennes. Toutefois, l’attribution effectuée par une entreprise de sécurité privée ne constitue pas une conclusion définitive de la justice ou des autorités publiques.

Cette distinction est importante : si les transactions effectuées sur une blockchain peuvent être retracées, l’identification des opérateurs réels demeure complexe. Les attaquants peuvent utiliser des portefeuilles intermédiaires, des bridges interchaînes, des mixeurs, des courtiers de gré à gré et des protocoles décentralisés pour dissimuler les mouvements de fonds.

Pour les investisseurs, la question pratique ne consiste pas seulement à savoir qui a mené l’attaque. Il faut également déterminer si la plateforme est capable de :

• Bloquer rapidement les transferts non autorisés.
• Geler les fonds sur les plateformes qui coopèrent.
• Identifier les adresses concernées sur plusieurs réseaux.
• Expliquer le cheminement de l’attaque avec suffisamment de détails techniques.
• Démontrer que les systèmes restants peuvent être exploités en toute sécurité.
• Publier des informations vérifiables sur ses réserves et ses passifs.

Des fonds gelés ne sont pas nécessairement des fonds récupérés

Binance aurait déclaré qu’environ 3 milliards de dollars d’actifs avaient été gelés et que les pertes seraient couvertes par son fonds SAFU ainsi que par ses ressources propres. Parallèlement, le suivi on-chain aurait estimé qu’environ 3,1 milliards de dollars restaient librement transférables, notamment d’importantes quantités de bitcoins et d’ethers.

Ces chiffres doivent être considérés comme évolutifs plutôt que définitifs. La classification des actifs peut changer à mesure que les fonds sont déplacés, gelés, transférés via des bridges, déposés sur des plateformes d’échange ou répartis entre de nouvelles adresses. La différence entre des fonds « identifiés », « gelés » et « récupérés » est également essentielle :

• Fonds identifiés : ils ont été associés à des adresses liées à l’incident.
• Fonds gelés : ils font l’objet de restrictions imposées par une plateforme d’échange, un émetteur ou un prestataire de services.
• Fonds récupérés : ils ont été restitués ou sécurisés dans le cadre d’un processus officiel de récupération.

Tant qu’un rapport technique complet et un état clair des actifs concernés n’auront pas été publiés, le marché devrait éviter de considérer un quelconque chiffre préliminaire comme définitif. Les lecteurs peuvent suivre publiquement l’activité des portefeuilles grâce à des outils tels qu’Etherscan et Arkham, tout en gardant à l’esprit que les étiquettes d’adresses et les données d’attribution peuvent être mises à jour au fil du temps.

Le principal risque réside dans la concentration des permissions

La conclusion la plus importante n’est pas que les portefeuilles chauds seraient intrinsèquement dangereux. Ils sont indispensables aux plateformes qui traitent d’importants volumes de dépôts et de retraits. Le problème plus profond tient à la concentration excessive des pouvoirs d’autorisation.

Si un seul appareil compromis, un compte de service ou un processus opérationnel peut initier une transaction sans vérification indépendante suffisante, la plateforme s’est dotée d’un point de défaillance unique. Cela reste vrai même lorsque les clés privées sont protégées par le calcul multipartite, des modules de sécurité matériels ou d’autres technologies avancées.

Une architecture de conservation résiliente doit partir du principe que :

• Le terminal d’un employé peut être compromis.
• Un compte cloud peut être mal configuré.
• Un conteneur de service peut être modifié.
• Une demande de signature peut être malveillante.
• La destination d’une transaction peut être dissimulée.
• Un attaquant peut rester indétecté assez longtemps pour préparer un transfert coordonné.

Les contrôles de sécurité doivent donc vérifier non seulement qui a signé une transaction, mais aussi ce qui est signé, où les fonds sont envoyés, pourquoi le transfert est légitime et si la transaction correspond au comportement opérationnel habituel.

Ce que les utilisateurs de cryptomonnaies doivent surveiller

À mesure que l’enquête progresse, le marché se concentrera probablement sur plusieurs indicateurs :

1. L’état du service de retrait — Vérifier si les réseaux concernés reprennent un fonctionnement normal et si des restrictions restent en vigueur.
2. Le mouvement des actifs restants — Observer si les adresses suspectes continuent de transférer des bitcoins, des ethers ou d’autres tokens.
3. L’évolution des soldes gelés — Déterminer si les gels annoncés aboutissent à une véritable récupération ou s’ils ne constituent que des restrictions temporaires.
4. Un rapport technique complet a posteriori — Obtenir des détails sur le terminal compromis, l’accès aux conteneurs, le processus d’autorisation et le délai de détection.
5. Une mise à jour de la preuve des réserves et des passifs — Disposer d’éléments permettant aux utilisateurs d’évaluer la solvabilité et la solidité opérationnelle de la plateforme.
6. Une validation indépendante de la sécurité — Confirmer que les permissions critiques ont été renouvelées, isolées et soumises à un nouvel audit.

Les utilisateurs devraient également réévaluer le montant de capital qu’ils doivent conserver sur une plateforme de trading. Les plateformes sont utiles pour la liquidité et l’exécution des ordres, mais elles restent dépositaires des actifs de leurs clients. Les placements à long terme peuvent être mieux gérés en conservation autonome, à condition de maîtriser la protection de la phrase de récupération, la vérification des transactions et les procédures de restauration.

Pourquoi la conservation autonome exige malgré tout de la rigueur

La conservation autonome élimine le risque de contrepartie lié à une plateforme d’échange, mais elle ne supprime pas les risques de sécurité. La responsabilité passe de l’équipe chargée de l’infrastructure de la plateforme au détenteur individuel des actifs.

Un portefeuille matériel peut contribuer à maintenir les clés privées à l’écart des appareils connectés à Internet et à réduire l’exposition aux logiciels malveillants, à l’hameçonnage et aux accès non autorisés via un navigateur. Les utilisateurs doivent néanmoins protéger leur phrase de récupération, vérifier les détails des transactions directement sur l’appareil, éviter de signer des autorisations de contrats inconnus et mettre en place une stratégie de sauvegarde sécurisée.

Pour les utilisateurs qui réévaluent leurs pratiques de conservation à la suite de cet incident, les portefeuilles matériels OneKey sont pertinents, car ils sont conçus autour du stockage hors ligne des clés et de la vérification des transactions sur l’appareil. Ils peuvent constituer une solution pratique pour séparer les avoirs à long terme des comptes détenus sur les plateformes d’échange, notamment si les utilisateurs respectent quelques règles opérationnelles élémentaires :

• Conserver la phrase de récupération hors ligne et ne jamais la téléverser dans un espace de stockage cloud.
• Ne jamais saisir la phrase de récupération sur un site web, dans un message ou dans un formulaire d’assistance.
• Vérifier les adresses des destinataires et les autorisations accordées aux tokens avant de signer.
• Utiliser des portefeuilles distincts pour l’épargne à long terme et les activités DeFi plus risquées.
• Tester la procédure de récupération avec un petit montant avant de s’y fier pleinement.

L’incident Binance rappelle que la sécurité des blockchains est un problème de bout en bout. Protéger les actifs ne consiste pas seulement à sécuriser une clé privée : il faut contrôler chaque appareil, chaque permission, chaque service et chaque décision de signature susceptible de permettre le déplacement des fonds.

Alors que les liquidations liées à l’effet de levier et les défaillances de conservation se recoupent de plus en plus souvent, les utilisateurs de cryptomonnaies doivent évaluer à la fois leur exposition au marché et leur exposition au risque de contrepartie. Des enquêtes transparentes, une meilleure isolation des permissions et une conservation autonome responsable seront essentielles pour restaurer la confiance dans l’écosystème des actifs numériques.