Un investisseur en cryptomonnaie a subi une faille de sécurité, entraînant la perte d'environ 1 million de dollars sur son compte Binance. L’incident s’est déroulé sans que le pirate informatique ait eu besoin du mot de passe du compte ou de l’authentification à deux facteurs (2FA), en utilisant une technique sophistiquée de « contre-échange » qui manipulait les transactions sur le marché.
Après avoir enquêté sur la violation auprès d'une société de sécurité, la victime a découvert qu'un agent infiltré au sein de la communauté des cryptomonnaies était responsable du vol. L’agent a utilisé une extension Chrome apparemment inoffensive recommandée par des personnalités fiables pour détourner la session de trading de la victime et exécuter des transactions non autorisées.
J'ai été victime d'un agent infiltré dans le monde des changes. Le million de dollars sur mon compte Binance a été effacé. Aujourd'hui encore, je suis confus. Il s'agit de presque toutes mes économies de ces dernières années. … pic.twitter.com/sSNUTXFZsc
– Nakamao🫡 (@CryptoNakamao) 3 juin 2024
Comment l'attaque a été exécutée
Le pirate informatique a manipulé le compte de la victime en détournant les cookies Web pour en prendre le contrôle. Ils ont ensuite acheté et vendu de manière agressive des crypto-monnaies par paires à faible liquidité, créant ainsi des mouvements artificiels du marché. Le compte de la victime montrait des achats importants en QTUM/BTC, DASH/BTC, PYR/BTC, ENA/USDC et NEO/USDC, modifiant considérablement leurs prix.
Malgré des rapports immédiats à Binance, la réponse de la plateforme a été critiquée pour sa lenteur et son inefficacité. Les fonds volés ont été rapidement retirés de la bourse avant qu’aucune mesure préventive ne puisse être prise, soulevant d’importantes inquiétudes quant à la gestion des risques et aux protocoles de sécurité de la bourse.
Une enquête plus approfondie a mis en évidence le rôle du plugin Chrome « Aggr », qui collectait secrètement des données utilisateur et permettait le détournement de session. Bien que la plateforme ait eu connaissance du plugin grâce à une alerte de sécurité précédente, sa menace potentielle n’a pas été rapidement communiquée aux utilisateurs.
