La plateforme a détaillé une intrusion préparée pendant des mois, mêlant faux recrutements, installation piégée, vol de crédentiels et exploitation d’une IA interne. Des milliards d’actifs numériques ont été visés, avec un lien présumé avec Pyongyang. La réponse technique, la restitution et la transparence ouvrent un dossier dense.
Binance a révélé la manière dont les attaquants, que le Federal Bureau of Investigation (FBI) associe à la Corée du Nord, ont préparé pendant plusieurs mois l’attaque d’octobre, en exploitant un installeur altéré et un faux processus de recrutement.
Binance a publié plus de détails sur la cyberattaque d’octobre, à l’origine d’une perte estimée à environ 5,6 milliards d’euros en actifs numériques. Le FBI a attribué cette intrusion à la Corée du Nord, plus précisément au groupe TraderTraitor. D’après le rapport de la société, il ne s’agissait pas d’une opération d’un jour, mais d’une campagne en plusieurs étapes, préparée sur plusieurs mois, combinant ingénierie sociale, logiciel malveillant et outils internes compromis.
De l’installeur altéré au faux entretien
En juin, un ingénieur DevOps responsable de l’infrastructure des portefeuilles chez Binance avait téléchargé un installeur altéré de Homebrew, le gestionnaire de paquets pour Mac, alors qu’il cherchait un outil de programmation populaire intégrant l’intelligence artificielle (IA). L’entreprise avait repéré l’anomalie et pris des mesures, mais l’incident a fini par exposer aux attaquants des informations sur les collègues de l’ingénieur.
En septembre, un ingénieur développeur de Binance a été contacté par un prétendu directeur de projet sur une plateforme légitime de recherche d’emploi et a suivi deux entretiens :
- Le premier par visioconférence avec une supposée représentante des ressources humaines qui a partagé un compte personnel de réseau social pour gagner sa confiance ;
- Le second via une application de messagerie avec le supposé directeur général d’une entreprise fictive.
Ce dernier lui a demandé de télécharger un exercice d’évaluation, constitué d’un dépôt de code contenant un logiciel malveillant, qui a été exécuté sur l’ordinateur professionnel pendant l’étape de configuration.
Selon Binance, le rapport officiel indique que le logiciel malveillant employait des techniques sophistiquées d’obfuscation et d’évasion. Il remplaçait, par exemple, un composant légitime d’un outil de développement par une version nuisible destinée à lancer des commandes. Le script était dissimulé pour échapper à la détection, ce qui s’est produit, car les outils de protection de la machine ne l’avaient pas identifié à ce moment-là.
Exécution de l’attaque
Le 20 octobre, les attaquants ont utilisé l’ordinateur compromis de l’ingénieur développeur et un outil d’IA interne pour prendre le contrôle des machines de l’ingénieur DevOps visé en juin et d’un ingénieur développeur spécialisé dans les portefeuilles.
L’ingénieur DevOps disposait sur son ordinateur d’un jeton autorisé à lancer des conteneurs. Avec les identifiants dérobés, les assaillants sont entrés le 29 octobre sur la machine du second, ont déployé un conteneur et ont exécuté un script malveillant déclenchant l’attaque. Les premières conclusions de Binance pointent vers un accès non autorisé au service interne de signature des transactions.
Préjudices et réponse de Binance
Sur 6,34 milliards de dollars d’actifs affectés, soit environ 5,6 milliards d’euros, 2,85 milliards avaient pu être gelés, comme signalé lors de l’attaque. Selon Binance, les transferts ont continué même après la suspension des retraits, car ces opérations avaient déjà été autorisées.
Jusqu’au 3 novembre, la société affirme avoir reconstruit le système de portefeuilles touché et ses outils internes d’IA, remplacé les appareils compromis, désactivé les identifiants et jetons exposés, achevé des analyses de sécurité renforcées sur les terminaux des salariés et ajouté à son système des capacités de détection d’anomalies reposant sur l’IA. Elle a aussi engagé des experts indépendants en cybersécurité pour examiner l’incident.
Binance assure qu’elle prendra en charge les pertes et a déjà réservé le montant nécessaire pour couvrir les fonds volés. De plus, la plateforme déclare avoir restitué 98 % des actifs affectés et être en train d’acheter le reliquat, moins liquide.
Binance (@binance), 3 novembre 2026
Binance a géré la crise « de manière exemplaire »
Aux yeux du responsable de la cybersécurité chez Immunefi, la plus grande plateforme mondiale de bug bounty Web3, qui partage cette analyse avec NETCOST, Binance a géré la crise de manière exemplaire. Il attribue un « 10 sur 10 » à sa gestion de la situation après l’attaque.
Dans l’analyse de Gonçalo Magalhães, exposée ici, le rapport de l’entreprise se distingue par sa transparence et sa précision. Il inclut des excuses aux utilisateurs, aux partenaires et au secteur, tout en reconnaissant des failles dans les équipes et dans les systèmes de supervision. À ses yeux, cette franchise renforce la crédibilité de l’annonce.
Par ailleurs, même si la première communication avait assuré que les fonds des utilisateurs étaient en sécurité et si l’explication initiale a été corrigée plus tard, il paraît normal que personne ne dispose d’une image complète dans les premières heures d’une crise. Binance a actualisé sa version des faits publiquement, tout en respectant sa promesse de protéger les utilisateurs.
Je ne crois pas que les gens interprètent mal ce piratage. En général, ils ne saisissent pas bien qu’un service pouvant envoyer des transactions vers une clé pour signature revient, en pratique, à peu près à laisser cette clé compromise.
Pour Gonçalo Magalhães, également spécialiste de la sécurité crypto et de l’IA, « quand le logiciel disposant des permissions de signature est compromis, peu importe que la clé reste sécurisée ».
Enfin, l’ingénieur rappelle que l’enquête se poursuit et que la révision indépendante annoncée par la société reste à venir.