Binance lance un « Hacker Bounty » de 250 000 dollars

La ten­ta­tive de détour­ne­ment de cer­tains comptes Binance, qui a eu lieu la semaine der­nière, a été cor­rec­te­ment maî­tri­sée par la plateforme.

Il n’en reste pas moins que celle qui gère l’é­qui­valent de plus d’un mil­liard de dol­lars d’é­changes chaque jour est sus­cep­tible de consti­tuer une cible extrê­me­ment lucra­tive –  et elle sus­cite donc la convoi­tise de nom­breux indi­vi­dus mal­veillants. Afin de limi­ter les risques liés à une pro­chaine attaque, Binance va mettre à contri­bu­tion les inter­nautes à tra­vers des pro­grammes de « Bounty ».

Des primes pour ceux qui mettraient la main sur les pirates

C’est une ini­tia­tive sans pré­cé­dent qu’a déci­dé de prendre hier la pla­te­forme d’é­change. Elle a ain­si indi­qué qu’elle offri­rait une prime à ceux qui four­ni­raient des infor­ma­tions qui l’ai­de­ront à appré­hen­der les pirates qui avaient sévi la semaine dernière.

#Binance Hacker Boun­ty has just been announced.

Even though the hacking attempt against Binance on March 7th was not suc­cess­ful, it was clear it was a large-scale, orga­ni­zed effort. This needs to be addres­sed.https://t.co/KzeaRUqxK4

— binance (@binance_2017) 11 mars 2018

Binance pro­pose ain­si une récom­pense équi­valent à 250 000 dol­lars à ceux qui l’ai­de­ront à mettre la main sur ces hackers.

Binance Hacker Boun­ty (French Trans­la­tion)https://t.co/6Xrau42LAt

— binance (@binance_2017) 12 mars 2018

« Binance offre une prime équi­va­lente de 250 000 $US à qui­conque four­ni­ra des infor­ma­tions qui mène­ront à l’ar­res­ta­tion légale des pirates infor­ma­tiques impli­qués dans la ten­ta­tive de pira­tage sur Binance le 7 mars 2018. »

Ce « boun­ty », sera payé avec le token de Binance (le BNB). Il sera accor­dé à « la pre­mière per­sonne à four­nir des ren­sei­gne­ments et des élé­ments de preuve sub­stan­tiels qui mène­ront à l’ar­res­ta­tion légale des pirates infor­ma­tiques ».

Pour cela, le site invite à « four­nir des infor­ma­tions détaillées à [email protected] ain­si qu’aux ser­vices de police locaux ». Il ajoute qu’il est pos­sible de res­ter ano­nyme – à condi­tion que les lois locales de l’in­for­ma­teur le per­mettent. Par ailleurs, la socié­té « se réserve le droit de répar­tir le mon­tant de la prime à sa seule dis­cré­tion ».

Au-delà d’une volon­té de tra­duire ces indi­vi­dus devant la jus­tice, on peut pen­ser que Binance cherche à envoyer un signal fort aux autres infor­ma­ti­ciens qui seraient ten­tés d’emprunter une voie simi­laire. Rap­pe­lons que la pla­te­forme n’o­blige pas ses uti­li­sa­teurs à se sou­mettre à un pro­ces­sus « Know Your Cus­to­mer »  – et que les seules infor­ma­tions dont elle dis­pose sur les assaillants se résument à une adresse e‑mail et une adresse IP.

Dans le même temps, Binance en a pro­fi­té pour consti­tuer une sorte de « fonds de défense ». Doté de l’é­qui­valent de 10 mil­lions de dol­lars de cryp­to-mon­naies, celui-ci lui per­met­tra de finan­cer des primes futures, qui seront dis­tri­buées à ceux qui l’ai­de­ront à faire face à de nou­velles ten­ta­tives de piratage.

Enfin, elle a éga­le­ment « invi­té d’autres entre­prises d’é­changes et de cryp­tage à se joindre à [son] ini­tia­tive ».

Une tentative avortée

Rap­pe­lons qu’il ne s’a­gis­sait pas d’une attaque directe sur les ser­veurs de Binance, mais de l’u­ti­li­sa­tion de don­nées d’u­ti­li­sa­teurs récol­tées grâce à des dis­po­si­tifs de phi­shing.

Fort heu­reu­se­ment, cette ten­ta­tive a échoué. En effet, les pirates n’ont pas eu la pos­si­bi­li­té de reti­rer les Bit­coins qu’ils avaient pu accu­mu­ler sur Binance grâce à un stra­ta­gème fai­sant inter­ve­nir la cryp­to-mon­naie Via­coin (VIA).

Dans un article publié jeu­di der­nier, Binance avait appor­té cer­taines précisions :

« Tou­te­fois, comme les retraits ont été auto­ma­ti­que­ment gelés par notre sys­tème de ges­tion des risques, aucun des retraits ten­tés n’a pu être effec­tué. Par ailleurs, les coins VIA dépo­sés par les pirates ont éga­le­ment été gelés. Non seule­ment les hackers n’ont déro­bé aucun coin, mais leurs propres coins ont été rete­nus. Ces pirates étaient très bien orga­ni­sés. Ils étaient suf­fi­sam­ment patients pour ne prendre aucune ini­tia­tive immé­diate, et ont atten­du le moment oppor­tun pour agir. Ils ont opté pour Via, un coin ados­sé à une faible liqui­di­té, afin de pou­voir maxi­mi­ser leurs gains ».

• À lire éga­le­ment : « Phi­shing Binance : Les hackers pris à leur propre piège »

Ce n’est sans doute pas la der­nière ten­ta­tive de pira­tage visant la pla­te­forme, alors que les hackers semblent désor­mais plus enclins à mettre en place des dis­po­si­tifs d’ingé­nie­rie sociale –  des dis­po­si­tifs qui cherchent à trom­per des uti­li­sa­teurs afin de les inci­ter à révé­ler cer­taines don­nées personnelles.

Il y a quelques jours, Chan­peng Zhao, le CEO de Binance, indi­quait qu’il esti­mait que “les attaques par phi­shing [consti­tuaient] les formes de pira­tage les plus simples, les plus anciennes et les plus com­pli­quées à éli­mi­ner. Tout ce que l’assaillant doit se conten­ter de faire, c’est d’envoyer des e‑mails”.

Pour aller plus loin, n’hé­si­tez pas à consul­ter la liste de ses pré­co­ni­sa­tions en matière de sécu­ri­té. Rap­pe­lons tou­te­fois que, quelle que soit la qua­li­té des dis­po­si­tifs de sécu­ri­té uti­li­sés par une pla­te­forme, le meilleur moyen de pro­té­ger ses coins consiste à uti­li­ser des por­te­feuilles dont on détient les clés pri­vées  – qu’ils soient « papiers », « logi­ciels » ou « matériels ».

Réfé­rences : Bit­coi­nist, Binance