Les données clients et les actifs de Binance sont-ils en danger après une importante attaque de la chaîne d’approvisionnement ?
- Binance a pris des mesures pour rassurer ses clients après une vaste attaque par la chaîne d'approvisionnement NPM qui a injecté du code malveillant dans 18 paquets JavaScript populaires.
- Des pirates ont détourné les comptes des mainteneurs open-source via des e-mails de hameçonnage, ciblant les portefeuilles crypto et redirigeant silencieusement les transactions vers des adresses contrôlées par les attaquants.
- Les experts en cybersécurité mettent en garde contre des risques généralisés alors que plus de 2 milliards de téléchargements hebdomadaires étaient exposés, bien que Binance ait confirmé qu'aucune donnée client ni aucun actif n'a été compromis.
Le plus grand échange de cryptomonnaies au monde en volume de transactions, Binance, a rassuré ses clients mardi en affirmant qu’aucune donnée utilisateur ni aucun actif n’avait été compromis lors de l’une des plus grandes attaques de la chaîne d’approvisionnement jamais survenues dans l’écosystème JavaScript.
Selon une déclaration publiée sur X, Binance a déclaré qu'aucun mal n'a été fait à sa base de données lors d'une violation qui a ciblé des packages Node.js largement utilisés impliqués dans plus de 2 milliards de téléchargements d'applications par semaine.
« Nous sommes au courant de la récente attaque de la chaîne d’approvisionnement, qui a publié des versions malveillantes de plusieurs packages JavaScript largement utilisés », a écrit l’entreprise. « Après enquête, nous avons confirmé que nous n’avons pas été touchés et qu’aucune donnée client ou aucun actif n’est en danger. La sécurité reste notre priorité absolue ; cet incident rappelle à quel point la sécurité de la chaîne d’approvisionnement est critique. Restez SAFU. »
Parlant de l'attaque de la chaîne d'approvisionnement sur la plateforme sociale, le cofondateur Changpeng Zhao, également connu sous le nom de CZ, a déclaré : « Même les logiciels open source ne sont pas sûrs ces jours-ci. Web3 redéfinira la sécurité pour Web2. Nous sommes encore au début. »
Une attaque de la chaîne d’approvisionnement sur des packages JavaScript effraie les investisseurs en cryptomonnaies
L’attaque, qualifiée par les chercheurs en sécurité comme l’une des plus importantes de l’histoire de NPM, s’est produite le 8 septembre. Les pirates ont compromis le compte d’un mainteneur open-source de confiance connu sous le pseudonyme « qix », également identifié comme Josh Junon.
Les attaquants ont trompé Junon via un e-mail d’hameçonnage se faisant passer pour des communications officielles de npmjs, le dépôt central des packages JavaScript. Comme le montre l’e-mail frauduleux, les auteurs ont convaincu Junon que son compte serait verrouillé le 10 septembre 2025, à moins qu’il ne mette immédiatement à jour ses identifiants d’authentification à deux facteurs.
« Dans le cadre de notre engagement continu envers la sécurité des comptes, nous demandons à tous les utilisateurs de mettre à jour leurs identifiants d’authentification à deux facteurs (2FA). Nos registres indiquent qu’il s’est écoulé plus de 12 mois depuis votre dernière mise à jour 2FA », indiquait l’e-mail.
Junon a confirmé sur X qu’il avait été victime du schéma d’hameçonnage après qu’un autre mainteneur a révélé que son compte NPM « publiait des packages avec des portes dérobées », ce qui a permis aux attaquants de pirater son compte et de pousser des mises à jour malveillantes vers 18 bibliothèques Node.js populaires.
Les packages inclus chalk, debug, ansi-styles et strip-ansi, tous intégrés au web.
Le code malveillant cible les transactions de cryptomonnaies
Selon l’analyse d’Aikido Security, les attaquants ont injecté du code dans les packages compromis qui leur permettait d’agir comme des intercepteurs basés sur le navigateur. Le code a été inséré dans les fichiers index.js, où il pouvait pirater le trafic réseau et les API d’application dans toute application utilisant les packages contaminés.
Le script malveillant surveille les adresses de portefeuille et les transactions des principales actifs numériques, y compris Bitcoin, Ethereum, Solana, Tron, Litecoin et Bitcoin Cash. Une fois détectés, le malware remplaçait silencieusement l’adresse de portefeuille de destination par une adresse contrôlée par les attaquants, redirigeant les fonds sans la connaissance de la victime.
Comme couvert par Cryptopolitan hier, le directeur technologique de Ledger, fabricant de portefeuilles matériels, Charles Guillemet, a déclaré que le code malveillant avait déjà été propagé dans des packages comptant plus d’un milliard de téléchargements.
La firme d’analyse blockchain Arkham Intelligence a rapporté lundi soir que seulement 159 $ de cryptomonnaie avaient été volés jusqu’à présent. Les fonds volés ont été tracés vers des adresses identifiées dans les divulgations initiales partagées par l’équipe de sécurité de Ledger.
Cependant, les chercheurs estiment que ce chiffre faible ne signifie pas que les dégâts potentiels seront limités, étant donné les milliards de téléchargements associés aux packages compromis.
Les esprits les plus brillants du secteur crypto lisent déjà notre newsletter. Vous aussi ? Rejoignez-les.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Florence Muchai
Florence couvre depuis 6 ans l'actualité crypto, du jeu vidéo, de la technologie et de l'IA. Ses études en informatique à l'Université de sciences et technologies de Meru et sa formation en gestion des catastrophes et en diplomatie internationale à l'MMUST lui ont amplement permis de développer des compétences linguistiques, d'observation et techniques. Florence a travaillé au sein du groupe VAP et en tant qu'éditrice pour plusieurs médias spécialisés dans la crypto.
