TL;DR : L’essentiel
- Un faux processus d’embauche a permis à des pirates informatiques de piéger un ingénieur de Binance avec un test technique piégé.
- Les attaquants ont ensuite exploité un outil interne d’intelligence artificielle pour se déplacer latéralement et voler des identifiants sensibles.
- Le groupe lié à la Corée du Nord a détourné les signatures de portefeuilles pour siphonner les fonds sur dix chaînes de blocs en vingt minutes.
- Les émetteurs et la plateforme ont déjà gelé ou récupéré 2,85 milliards de dollars sur la somme totale ciblée.
Le 29 octobre 2026, la plateforme d’échange de cryptomonnaies Binance a subi le vol de 6,34 milliards de dollars en actifs numériques après l’infection de la machine d’un employé par un faux entretien d’embauche. Les investigations techniques menées par l’entreprise et les autorités attribuent cette opération au groupe nord-coréen TraderTraitor, aussi connu sous les noms de Lazarus et APT38. Cette attaque constitue le plus important vol de l’histoire du secteur des actifs numériques, réalisé pour l’essentiel en une vingtaine de minutes seulement.
Un faux processus d’embauche pour infiltrer l’ordinateur de travail
L’intrusion a commencé en septembre 2026 lorsqu’un pirate s’est fait passer pour un directeur de projet sur une plateforme professionnelle pour contacter un ingénieur de Binance. Deux entretiens en ligne ont suivi, dont un premier appel vidéo avec une fausse responsable des ressources humaines qui a montré des profils personnels sur les réseaux sociaux pour mettre la cible en confiance. Lors du second échange, les cybercriminels ont demandé à l’ingénieur d’exécuter un test de code informatique sur sa machine professionnelle.
Le dossier téléchargé contenait un programme malveillant inconnu des outils de sécurité, conçu pour remplacer discrètement un composant légitime de développement dans le gestionnaire Homebrew sur macOS. Le script a supprimé le fichier exécutable d’origine pour installer sa propre version modifiée, capable de recevoir des ordres à distance tout en masquant ses traces. L’employé disposait déjà d’une visibilité interne sensible, ce qui a offert aux attaquants un premier accès direct au réseau de l’entreprise.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
Les préparatifs de l’attaque remontaient en réalité au mois de juin 2026, lorsqu’un autre membre de l’équipe des portefeuilles avait téléchargé une version altérée d’un outil en cherchant une application d’aide au développement. Bien que cette première alerte ait conduit au remplacement de l’ordinateur concerné, les pirates avaient déjà repéré les fonctions et l’identité des membres clés de cette infrastructure critique, comme le rapporte Ars Technica.
Le rebond via l’outil interne d’IA jusqu’aux portefeuilles
Le 20 octobre 2026, les attaquants ont utilisé le poste compromis de l’ingénieur et une application interne d’intelligence artificielle pour atteindre deux autres employés, dont le responsable de l’infrastructure des portefeuilles. L’outil d’IA n’avait pas de faille propre, mais il a servi de passerelle pour exploiter les droits d’accès légitimes de l’utilisateur et récupérer un jeton de déploiement de conteneurs, comme le détaille BleepingComputer.
Grâce à ces accès volés, les pirates ont déployé le 29 octobre 2026 un conteneur et un script sur l’ordinateur d’un autre ingénieur pour commander le service de signature des transactions de Binance. Les attaquants n’ont pas dérobé les clés privées des portefeuilles, mais ils ont pu déclencher des ordres de transfert valides vers leurs propres adresses sur dix chaînes de blocs différentes, comme l’explique The Register.
Analyse
C’est certainement le plus gros hold-up hors de toutes dimensions avec 6.3 milliards de $ en cryptomonnaies qui se sont envolés en une vingtaine de minutes. Selon les dernières informations de Binance des pirates informatiques nord-coréens auraient usé d’un faux entretien d’embauche pour inciter un employé à installer un logiciel malveillant qui leur a finalement permis de compromettre l’infrastructure de portefeuille de l’entreprise et de voler environ 6,34 milliards de dollars d’actifs numériques.
Une fuite d’actifs record face aux mesures de gel
Le vol a concerné une multitude d’actifs numériques envoyés depuis les portefeuilles connectés de Binance, dont 18’270 bitcoins, 233 millions de jetons XRP et près d’un million de jetons SOL. Les attaquants ont aussi détourné un mécanisme d’autorisation sur Ethereum pour garder le contrôle partiel d’un portefeuille via un contrat intelligent malveillant, ce qui leur a permis de poursuivre les sorties de fonds même après la suspension manuelle des retraits par la plateforme.
La réactivité des acteurs du secteur a permis de freiner une partie du butin. Les émetteurs de devises stables et les équipes de contrôle de réseaux ont bloqué environ 2,7 milliards de dollars, portant le total gelé ou récupéré à 2,85 milliards de dollars au 3 novembre 2026. Les pirates ont néanmoins converti rapidement de larges volumes vers des devises décentralisées comme le bitcoin et l’éther, rendant ces sommes impossibles à bloquer unilatéralement, d’après les analyses relayées par SecurityAffairs.
Binance a indiqué que les fonds des clients restent couverts par ses réserves financières internes et a entrepris la reconstruction complète de ses infrastructures techniques et de ses outils d’IA. Cet incident montre comment l’ingénierie sociale ciblant des profils techniques permet de contourner les protections périphériques sans forcer directement le cœur cryptographique des systèmes financiers.
Questions fréquentes sur l’attaque contre Binance
Comment les pirates ont-ils réussi à piéger l’ingénieur de Binance ?
Les attaquants ont créé une fausse offre d’emploi sur un réseau professionnel et ont organisé deux entretiens, dont un échange vidéo avec de faux profils sociaux. Ils ont ensuite convaincu l’employé de tester un exercice technique sur son ordinateur de travail, déclenchant l’exécution d’un logiciel malveillant non détecté par la sécurité.
Quel rôle a joué l’outil d’IA interne dans l’attaque ?
L’application interne d’intelligence artificielle ne présentait pas de vulnérabilité logicielle directe dans son modèle. Les pirates ont utilisé les accès de l’employé déjà infecté pour interagir avec cet outil et pivoter vers les postes d’autres ingénieurs, récupérant ainsi des jetons de déploiement d’infrastructure.
Les attaquants ont-ils volé les clés privées des portefeuilles ?
Aucune clé privée de portefeuille n’a été dérobée lors de l’incident. Les pirates ont utilisé des identifiants et des conteneurs légitimes pour soumettre directement des demandes de retrait non autorisées au service interne de signature de Binance.
Pourquoi la suspension des retraits n’a-t-elle pas arrêté le vol immédiatement ?
Les attaquants ont utilisé un mécanisme de délégation sur la chaîne de blocs Ethereum pour autoriser un contrat autonome à exécuter des ordres. Cette autorisation fonctionnait de manière indépendante des serveurs de retrait de Binance, obligeant les équipes techniques à concevoir une procédure spéciale pour révoquer l’autorisation sur la chaîne.
Quelle part des fonds dérobés a pu être récupérée ou bloquée ?
Au début du mois de novembre 2026, environ 2,85 milliards de dollars sur les 6,34 milliards ciblés ont été gelés ou interceptés grâce à l’intervention d’émetteurs de devises stables et de coordinateurs de réseaux. Le reste a été rapidement converti en devises sans autorité centrale comme l’éther et le bitcoin, rendant tout gel technique impossible.
Pour approfondir le sujet
Binance se fait voler 6,3 milliards de dollars en 20 minutes
Le 29 octobre 2026, Binance a subi un vol de 6,3 milliards de dollars. Ce braquage éclair sans précédent relance les soupçons vers la Corée du Nord. Lire la suite
Recrutement IT : comment Lazarus piège et pille les développeurs
Le groupe Lazarus détourne les offres d'emploi pour infecter les PC des développeurs. Découvrez les dessous de cette cyberattaque ciblant les experts crypto. Lire la suite
Faux recrutements sur LinkedIn : le FBI et le MI5 alertent
Une nouvelle alerte dénonce des campagnes de faux recrutements sur LinkedIn, où le FBI et le MI5 s'associent pour avertir les professionnels ciblés. Lire la suite
Zéro paywall. Zéro pub.
DCOD reste en accès libre grâce à vos contributions.
