Le piratage de 6,3 milliards de dollars subi par Binance le 29 octobre a commencé par un faux installateur logiciel téléchargé cinq mois plus tôt, selon le propre rapport d'incident de la plateforme. Ce rapport, publié le 3 novembre, retrace une campagne de plusieurs mois combinant logiciel malveillant, fausse offre d'emploi et identifiants volés — un enchaînement que le fondateur d'une plateforme concurrente estime qu'une discipline interne élémentaire aurait pu empêcher.

Comment l'attaque s'est déroulée de juin à octobre

La campagne a débuté en juin, lorsqu'un ingénieur des opérations de portefeuille de Binance a téléchargé un installateur Homebrew modifié alors qu'il tentait d'installer un outil de codage basé sur l'IA. Selon la plateforme, son équipe de sécurité a détecté l'activité suspecte, remplacé l'ordinateur concerné et renouvelé les identifiants associés.

Malgré cette réaction, l'incident de juin a exposé des informations sur les employés travaillant sur l'infrastructure de portefeuilles de la plateforme — des détails que les attaquants ont utilisés lors de l'étape suivante.

En septembre, les attaquants ont ciblé un second ingénieur via un faux processus de recrutement et ont fini par le convaincre de télécharger un logiciel malveillant. Au 20 octobre, ils avaient utilisé des appareils compromis et un outil interne d'IA pour accéder à davantage de systèmes d'ingénierie. Neuf jours plus tard, des identifiants volés leur ont permis de déployer du code malveillant lié aux retraits non autorisés.

Les enquêteurs ont relié l'attaque à TraderTraitor, une unité de piratage associée à la Corée du Nord que les autorités américaines ont précédemment liée à des vols de cryptomonnaies impliquant des logiciels troyanisés et de fausses offres d'emploi. Le FBI a ensuite attribué le vol à des attaquants nord-coréens soutenus par l'État, tandis que la Corée du Nord a rejeté ces accusations.

Le fondateur de CoinEx pointe trois failles de sécurité évitables

Après la publication du rapport de Binance, le fondateur de CoinEx, Haipo Yang, a soutenu dans une publication sur X que la faille reflétait des manquements à la discipline opérationnelle plutôt qu'un manque de technologie de sécurité.

« L'incident de Binance a exposé au moins trois erreurs entièrement évitables : 1. Les environnements de développement et d'exploitation n'étaient pas totalement isolés. Quiconque a un accès à la production devrait travailler depuis une machine dédiée à cela uniquement, sans logiciel tiers… »

— Haipo Yang (@yhaiyang) 3 novembre 2026

« Aucune de ces mesures ne nécessite une technologie sophistiquée. Ce qui manquait, c'était la discipline », a écrit Yang.

Son premier point portait sur la séparation des environnements de travail : les employés ayant accès aux systèmes financiers en production devraient utiliser des ordinateurs dédiés, le codage, la messagerie et la navigation web étant effectués sur des appareils distincts.

Son deuxième point concernait l'authentification. Yang a affirmé qu'un seul identifiant volé pouvait ouvrir l'accès aux services de production sans vérifications supplémentaires robustes, et il a recommandé des clés de sécurité matérielles — des dispositifs physiques conçus pour résister au hameçonnage — ainsi que des outils comme AWS Session Manager.

Son troisième point portait sur le calcul multi-parties, une configuration qui répartit la signature des transactions entre plusieurs participants. Selon Yang, les signataires de Binance ne vérifiaient pas de manière indépendante ce qu'ils approuvaient, faisant fonctionner le système comme une signature unique. « Le multisig ne fonctionne que lorsque les signataires se méfient mutuellement les uns des autres », a-t-il écrit.

Ces affirmations constituent l'évaluation personnelle de Yang. Binance n'a pas publiquement confirmé chaque faiblesse qu'il a décrite.

Binance affirme avoir bloqué 57 menaces liées à la Corée du Nord en 2026

La co-directrice générale de Binance, Yi He, a déclaré que l'équipe de sécurité de la plateforme avait détecté et neutralisé 57 cas suspects de cybermenaces liées à la Corée du Nord au cours de l'année 2026. Elle a indiqué que les techniques comprenaient de faux entretiens d'embauche, des outils de développement malveillants, des paquets logiciels compromis et de fausses applications d'appel vidéo. Ces catégories recoupent directement la campagne de juin à octobre, depuis l'installateur modifié qui l'a déclenchée jusqu'au faux recrutement qui a suivi.

« Tout au long de 2026, l'équipe de sécurité de Binance a détecté et neutralisé 57 cas suspects de cybermenaces liées à la Corée du Nord. Ces tentatives reflètent la menace persistante posée par des acteurs soutenus par des États ciblant l'industrie des cryptomonnaies. Les techniques comprennent de frauduleuses offres d'emploi… »

— Yi He (@heyibinance) 3 novembre 2026

« Nous en avons intercepté un grand nombre, mais le coût de l'échec d'un seul d'entre eux a été sévère », a-t-elle écrit.

Récupération des actifs et prochaines étapes

Le co-directeur général Richard Teng a déclaré que Binance avait reconstitué 98 % des actifs affectés. Environ 2,85 milliards de dollars ont été gelés ou interceptés, et l'entreprise s'est engagée à couvrir l'intégralité de la perte avec ses fonds et réserves internes.

Binance a également réalisé une vérification de preuve de réserves couvrant dix grandes cryptomonnaies, dont Bitcoin, Ethereum, BNB et XRP. Cette vérification confirme la couverture des actifs pour ces jetons, mais ne montre pas si les failles décrites par Yang ont été corrigées.

La plateforme a indiqué avoir reconstruit les systèmes de portefeuille affectés, remplacé les appareils compromis et désactivé les identifiants concernés. Elle a également rétabli les retraits pour davantage d'actifs Ethereum et Solana.

Binance prévoit un audit indépendant de cybersécurité ainsi qu'une augmentation des dépenses consacrées à la protection des appareils et à la détection des menaces. Elle a précisé que certaines mesures de sécurité resteront confidentielles afin que les attaquants ne puissent pas identifier les points faibles. Avec le volet financier de la faille largement traité, l'audit indépendant de cybersécurité prévu constitue la prochaine étape publique concernant les questions opérationnelles soulevées par Yang.

Cet article est basé sur le rapport original de Blockonomi.