Un commentaire de Silviu Stahie, Security Analyst chez Bitdefender.
« Le piratage de
Binance serait l'une des attaques les plus importantes dans le secteur des
cryptomonnaies. Le groupe nord-coréen TraderTraitor est soupçonné d'en être à
l'origine. Si Binance ne l'a pas encore confirmé, la société TRM Labs,
spécialisée dans l'analyse des données blockchain, a attribué l'attaque à ce
groupe.
Compromettre
l'infrastructure informatique d'une entreprise est une opération complexe, qui
demande beaucoup de temps, de compétences et de ressources. Il est donc bien
plus simple de cibler directement les personnes qui y travaillent. C'est
précisément le mode opératoire de TraderTraitor, comme de nombreux autres
groupes de cybercriminels. Le maillon faible d'une cyberattaque reste l'humain,
et les attaquants le savent parfaitement.
En 2023, ce même groupe
s'était notamment rapproché de développeurs sur GitHub, en participant à leurs
projets pendant plusieurs mois afin de gagner leur confiance.
Les cybercriminels les
avaient ensuite invités à travailler sur l'un de leurs propres projets, qui
contenait du code malveillant. Cette méthode leur avait permis d'infecter les
appareils de leurs victimes.
L'ingénierie sociale
constitue une méthode d'attaque beaucoup plus directe. Dans le cas de Binance, l'ordinateur
portable compromis d'un ingénieur DevOps aurait exposé un conteneur
de service permettant de soumettre des demandes de retrait non autorisées.
Binance a également indiqué avoir peut-être identifié d'autres points d'entrée,
au-delà de cet ordinateur.
Si le recours à
l'ingénierie sociale reste à confirmer, ce type d'attaque, tout comme le
secteur des cryptomonnaies, constitue un terrain de prédilection pour
TraderTraitor. On oublie souvent que protéger les appareils ne suffit pas. Il
faut aussi protéger les personnes qui les utilisent, car elles sont désormais
la principale porte d'entrée de nombreuses cyberattaques.
Les entreprises doivent donc protéger leurs collaborateurs contre ces méthodes, mais aussi mettre en place des contrôles permettant de limiter les actions des attaquants après la compromission d'un appareil. La surveillance des terminaux, la restriction des privilèges, la séparation des systèmes critiques et les contrôles indépendants sur les opérations sensibles contribuent à limiter les dégâts. »