Le vol de 6,34 milliards de dollars chez Binance a commencé par un faux entretien d'embauche et s'est déroulé pendant cinq mois avant qu'un seul token ne quitte la plateforme, selon le premier récit public de l'attaque du 29 octobre, publié mardi par l'exchange.

Un premier rapport d'incident de Binance, publié sur X et accompagné d'un point média animé par le co-CEO Richard Teng et le directeur de la sécurité Jimmy Su, décrit une campagne combinant un téléchargement de logiciel empoisonné, un processus de recrutement truqué, un malware ayant échappé à la détection des terminaux et un outil d'IA interne que les attaquants ont retourné contre les propres ingénieurs wallet de l'entreprise.

Binance a déclaré avoir gelé ou intercepté environ 2,85 milliards de dollars des actifs volés et reconstitué 98 % des tokens affectés sur ses propres fonds, le solde étant acheté sur le marché libre. Ce chiffre, s'il est pleinement confirmé, en ferait le plus important vol jamais enregistré dans l'industrie des cryptomonnaies, dépassant les quelque 1,5 milliard de dollars dérobés à Bybit en février 2025 — une attaque également liée par les enquêteurs à des acteurs nord-coréens.

« Ce n'était pas une seule erreur ou une seule violation — c'était une campagne de plusieurs mois », a écrit Teng sur X. « Nous publions le rapport complet parce que les enseignements vont bien au-delà de Binance. »

Le FBI a attribué l'attaque à la Corée du Nord, une conclusion que le rapport de Binance cite tout en s'abstenant de toute attribution de sa part. Pyongyang a rejeté cette affirmation lundi, Kim Yo Jong, sœur du dirigeant Kim Jong Un, qualifiant celle-ci de « provocation politique grave » via les médias d'État. Des panels des Nations unies et des entreprises d'analyse blockchain lient depuis des années les unités de piratage nord-coréennes à des milliards de dollars de cryptomonnaies volées à des exchanges et protocoles dans le monde entier.

Cinq mois de préparation

Selon Binance, la première infiltration des attaquants est survenue en juin, lorsqu'un ingénieur DevOps wallet recherchant un outil de codage IA populaire a téléchargé un installateur Homebrew falsifié. L'équipe de sécurité a détecté l'anomalie, remplacé l'appareil et renouvelé les identifiants, mais l'incident a exposé le rôle de l'ingénieur ainsi que les noms de ses collègues de l'équipe d'infrastructure wallet.

En septembre, un second ingénieur a été contacté sur une plateforme d'emploi légitime par une personne se faisant passer pour un directeur de projet. Un entretien vidéo avec une prétendue représentante RH a suivi, au cours duquel l'interlocutrice a partagé un compte personnel de réseau social pour instaurer la confiance. Un second entretien avec un prétendu CEO s'est achevé par une « mission » : un dépôt de code que l'ingénieur a été invité à installer sur sa machine de travail.

Le dépôt a remplacé un composant légitime de pyenv par une version malveillante et a ouvert un canal vers un serveur contrôlé par les attaquants. Binance a indiqué que ce malware zero-day n'avait pas été signalé par ses outils de terminal à l'époque.

Le 20 octobre, les attaquants ont utilisé cette machine et un outil d'IA interne pour atteindre deux autres ingénieurs wallet, dont l'un détenait un token de déploiement de conteneurs. Le 29 octobre, entre 17 h 15 et 19 h 56 UTC, ils se sont connectés à l'ordinateur d'un troisième ingénieur, ont déployé un conteneur avec les identifiants volés et lancé le drain. Binance a déclaré avoir bloqué 57 autres tentatives suspectées d'être liées à la Corée du Nord cette année utilisant des leurres similaires. Les autorités américaines mettent en garde depuis des années contre ces campagnes de faux recruteurs visant à implanter des malwares dans des entreprises technologiques et crypto par le biais de leurs propres employés.

Quatre heures pour endiguer

Les fonds ont quitté la plateforme rapidement. Entre 20 h 05 et 20 h 09 UTC, cinq hot wallets ont envoyé 233,46 millions de XRP vers une adresse d'attaquant. Des wallets sur Solana et Optimism ont suivi avec environ 970 500 SOL et 44,2 millions d'OP, puis un hot wallet de Binance a envoyé 18 270 BTC.

L'attaquant a également utilisé le service de signature compromis pour invoquer l'EIP-7702 d'Ethereum, une norme introduite lors de la mise à jour Pectra du réseau en 2025 qui permet à un compte de déléguer ses droits d'exécution à un smart contract sans exposer sa clé, et a donné à un contrat contrôlé par l'attaquant un contrôle partiel d'un hot wallet de Binance.

La suspension des retraits n'a pas interrompu ce dernier canal. Les attaquants avaient soumis 50 transactions de signature pour établir des délégations on-chain opérant en dehors de l'infrastructure de retrait de Binance. Comme le wallet utilisait le calcul multi-parties, aucune clé unique n'existait pour les révoquer, et l'équipe a dû concevoir une procédure sur place. Le dernier transfert non autorisé, de 2 961,9 ETH, a été réglé à 23 h 56 UTC, et Binance a supprimé la délégation à 00 h 10 UTC le 30 octobre.

Le rapport reconnaît ce décalage. « Ces difficultés ont prolongé le temps nécessaire pour contenir complètement les mouvements d'actifs non autorisés », indique-t-il, précisant que l'entreprise examine la couverture de sa politique de signature et les contrôles des hot wallets.

Dépôts, puis signes de stabilisation

Les clients ont retiré 10,97 milliards de dollars dans les 46 heures suivant la réouverture des retraits dimanche, avec des sorties nettes de 5,28 milliards de dollars, selon les données partagées mardi par Teng. À 03 h 00 UTC, les dépôts horaires ont dépassé les retraits — une évolution que Teng a qualifiée de signe de stabilisation. Mardi, Binance a rouvert les retraits pour des dizaines d'actifs supplémentaires sur neuf réseaux.

Cette violation est également devenue un sujet de débat à Washington. Le président de la CFTC, Michael Selig, a déclaré que le piratage « prouve exactement notre point » concernant la nécessité d'une voie d'enregistrement fédéral pour les exchanges offshore, et mardi l'agence a autorisé les perpetuals sur actions pour les places de marché régulées aux États-Unis, prolongeant la dynamique de rapatriement entamée avec le perp bitcoin de Kalshi en mai.

Binance a déclaré avoir reconstruit le système wallet et l'outil d'IA interne dans de nouveaux environnements, remplacé les appareils affectés, révoqué les identifiants des ingénieurs et renforcé la détection comportementale des anomalies. Elle commande une revue indépendante, augmente ses dépenses en sécurité des terminaux et des environnements de développement, et prévoit un fonds de recherche sur la sécurité de l'IA avec des entreprises externes. La vitesse de rachat des tokens volés restants, la possibilité de récupérer les actifs gelés et les conclusions de la revue indépendante constituent les points à surveiller à court terme. Certains détails techniques, selon le rapport, resteront confidentiels.

Cet article est initialement paru sur Bitcoin Magazine et a été rédigé par Micah Zimmerman.