Binance évoque de faux entretiens d'embauche et un outil d'IA détourné pour un vol de 6,34 milliards de dollars

Ce que Binance raconte

Binance a publié son rapport d'incident le 3 novembre. Son récit commence en juin 2026. Un ingénieur DevOps de l'équipe Wallet, qu'elle appelle Ingénieur A, a téléchargé une installation Homebrew altérée d'un outil de codage IA populaire, trouvée via un moteur de recherche. Binance affirme avoir détecté l'anomalie, remplacé l'appareil et renouvelé les identifiants. La société indique aussi que des informations sur le poste de l'Ingénieur A et sur ses collègues de l'équipe d'infrastructure wallet ont été exposées à l'attaquant.

En septembre 2026, une personne se faisant passer pour un directeur de projet d'une entreprise fictive a contacté un second ingénieur, l'Ingénieur B, sur une plateforme de recherche d'emploi légitime. Deux entretiens ont suivi. Le premier était un appel vidéo en direct avec une prétendue responsable RH, qui a partagé un compte personnel sur les réseaux sociaux pour gagner sa confiance. Le second s'est déroulé sur une messagerie avec une personne se présentant comme le PDG de l'entreprise. Vers la fin, cette personne a demandé à l'Ingénieur B de télécharger un exercice depuis un dépôt de code.

Le dépôt contenait un logiciel malveillant qui s'est exécuté pendant l'installation. Binance le décrit comme sur mesure et indétectable par les outils de protection des postes de travail à l'époque. Il remplaçait un composant légitime d'un outil de développement par une version malveillante. Il effaçait aussi ses traces pendant son exécution.

"Il ne s'agissait pas d'une seule violation isolée ni d'un simple incident d'hameçonnage", a déclaré l'entreprise dans le rapport.

Le 20 octobre, les attaquants ont utilisé l'ordinateur compromis de l'Ingénieur B et un outil d'IA interne pour prendre le contrôle des ordinateurs de l'Ingénieur A et d'un autre ingénieur wallet, l'Ingénieur C, rapporte The Hacker News. Le 29 octobre, entre 17h15 et 19h56, l'attaquant s'est connecté à l'ordinateur de l'Ingénieur C. Il a utilisé des identifiants volés à l'Ingénieur A, déployé un conteneur et déclenché un script malveillant. Wired rapporte que les pirates ont déplacé des milliards en une vingtaine de minutes.

Le rôle du service de signature

Le script a atteint un service interne de signature de wallet, le système qui autorise les transactions. Les attaquants ont ainsi pu lancer des transferts en dehors du processus de retrait habituel. Richard Teng, co-directeur général de Binance, a rejeté l'idée que l'ordinateur portable d'un seul employé constitue un point de défaillance unique. Teng a déclaré à CNBC que les attaquants avaient "passé des mois à se frayer un chemin".

BleepingComputer décrit un second mécanisme. Les attaquants ont détourné la fonction d'autorisation EIP-7702 d'Ethereum. Elle leur a permis de continuer à déplacer des fonds après la suspension des retraits par Binance. Binance reconnaît que des transactions autorisées ont eu lieu après le gel.

Binance affirme n'avoir trouvé aucune preuve de fuite de clé privée de wallet. L'entreprise indique qu'elle couvrirait les pertes via son Secure Asset Fund for Users et ses fonds propres.

Les attaquants ont pris des fonds sur 11 blockchains, dont 82% se trouvaient sur Ethereum et Bitcoin, selon The Hacker News. Sur les 6 340 000 000 de dollars concernés, 2 850 000 000 avaient été gelés ou interceptés, soit environ 45%. Tether, Circle, Ripple, Arbitrum et Optimism ont gelé ces 2 850 000 000 de dollars, rapporte The Hacker News. Tether et Circle ont à eux seuls gelé plus de 1 567 000 000 d'USDT et 800 000 000 d'USDC, et le Security Council d'Arbitrum environ 30 500 000 de dollars.

Le nettoyage et l'argent

Binance avait reconstitué 98% des 6 340 000 000 de dollars d'actifs concernés au 31 octobre, rapporte BleepingComputer. Teng a déclaré à CNBC le 3 novembre que Binance achetait encore les actifs restants, plus illiquides.

Au 3 novembre, la plateforme avait reconstruit le système de wallet touché et les outils d'IA internes. Elle avait remplacé des appareils et désactivé des identifiants compromis. Elle avait aussi achevé des analyses renforcées des machines des employés. Les retraits sont revenus par étapes. Binance indique avoir commencé à rétablir les retraits par phases à 6h UTC le 1er novembre, rapporte The Hacker News. Teng a déclaré à CNBC qu'un expert indépendant examinerait "tout ce que nous avons fait".

La Corée du Nord et les totaux

Le FBI a attribué le vol à TraderTraitor, un groupe lié à la Corée du Nord, le 31 octobre. Binance évite de nommer TraderTraitor et renvoie à l'attribution du FBI. L'entreprise affirme que son équipe de sécurité a détecté et empêché 57 cas suspects liés à la Corée du Nord en 2026. Elliptic indique que cet incident unique double presque le total des cryptoactifs volés par la Corée du Nord, qu'elle estime à plus de 6 500 000 000 de dollars ces dernières années. Cela concorde avec les chiffres : un butin de 6 340 000 000 de dollars est proche du total antérieur, ce qui porterait le cumul à environ le double.

Le butin dépasse le vol de Bybit en février 2025, que The Hacker News chiffrait à 1 460 000 000 de dollars. Wired indique que TraderTraitor avait déjà volé plus de 1 500 000 000 de dollars lors d'un autre piratage l'an dernier.

Binance et CNBC évaluent la perte à 6 340 000 000 de dollars, le chiffre retenu dans cet article. The Hacker News avance un butin de 6 430 000 000 de dollars. Chainalysis estimait environ 5 912 000 000 de dollars au moment du vol, soit près de quatre fois le deuxième plus gros braquage.

La suite

Binance affirme travailler sans relâche avec les forces de l'ordre et ses partenaires du secteur pour tracer et geler les fonds restants. Le FBI s'attendait à ce que les attaquants convertissent les actifs volés principalement en Ethereum. Il indiquait qu'ils les blanchiraient ensuite via la DeFi et des services d'échange instantané.

Les retraits reviendront progressivement à mesure que les vérifications s'achèvent.