Binance a déclaré que son équipe de sécurité avait détecté et stoppé 57 cas de cybermenaces présumées liées à la Corée du Nord en 2026 avant qu'une seule attaque ne passe — une attaque utilisant une fausse interview d'embauche et ayant finalement vidé les hot wallets de la plateforme, ces portefeuilles connectés à Internet sur lesquels les plateformes s'appuient pour traiter les retraits des utilisateurs.

Dans son rapport initial sur l'incident, publié sur X, Binance a indiqué qu'environ 6,34 milliards de dollars d'actifs numériques avaient été affectés et qu'environ 2,85 milliards de dollars avaient été gelés ou interceptés. La plateforme a déclaré qu'elle absorbera les pertes plutôt que de les répercuter sur les utilisateurs, et que 98 % des actifs tokenisés impactés ont été reconstitués — un chiffre qu'elle dit vérifiable sur sa page Proof of Reserves.

À titre de comparaison, le plus grand vol de cryptomonnaies enregistré à ce jour était le piratage de la plateforme Bybit en février 2025, qui portait sur environ 1,5 milliard de dollars et avait été attribué par Bybit à des pirates liés à la Corée du Nord.

En citant les dernières informations du Federal Bureau of Investigation (FBI), Binance a attribué l'incident à la Corée du Nord.

Une année de tentatives ciblées

Selon la plateforme, les 57 cas reflètent la menace persistante que représentent les acteurs parrainés par des États ciblant l'industrie des cryptomonnaies. Les techniques observées comprenaient de fausses interviews d'embauche, des logiciels malveillants déguisés en outils de développement populaires, des paquets logiciels et extensions de navigateur compromis, de fausses applications de visioconférence, et des campagnes d'ingénierie sociale conçues pour voler des identifiants ou déployer des malwares d'accès à distance.

Ce mode opératoire basé sur le recrutement s'aligne sur les alertes publiques que les agences américaines ont émises ces dernières années, avertissant que des opérateurs liés à la Corée du Nord se font passer pour des recruteurs ou des employeurs afin d'infecter les ordinateurs de leurs cibles avec des malwares.

Binance a décrit l'incident comme une campagne en plusieurs étapes plutôt qu'une violation isolée ou une simple tentative de phishing. Elle a fait remonter le premier signe d'alerte à juin, lorsqu'un ingénieur DevOps de l'équipe wallet a téléchargé une installation Homebrew altérée alors qu'il cherchait un outil de codage IA. Binance a déclaré avoir détecté l'anomalie, remplacé l'appareil et fait tourner les identifiants concernés — mais le rôle de l'ingénieur et ses collègues de l'équipe wallet avaient déjà été exposés à l'attaquant.

Le déroulement de l'interview

En septembre, un second ingénieur dont le profil sur une plateforme d'emploi mentionnait son expérience chez Binance a été contacté par une personne se faisant passer pour un directeur de projet. Un premier entretien vidéo a suivi avec une prétendue représentante des ressources humaines, qui a partagé un compte de réseau social contenant des photos et vidéos personnelles afin d'instaurer la confiance. Binance a décrit cette approche comme plus trompeuse que les précédentes campagnes d'ingénierie sociale.

Le second tour s'est déroulé sur une application de chat populaire avec une personne prétendant être le PDG d'une entreprise fictive. Vers la fin, l'ingénieur a été invité à télécharger un « devoir » sur son ordinateur professionnel. Le code qu'il contenait s'est exécuté pendant l'installation et a ouvert un canal vers un serveur contrôlé par l'attaquant. Binance a indiqué que ce malware zero-day n'avait pas été détecté à l'époque par ses outils de sécurité des terminaux.

L'attaquant a ensuite utilisé l'ordinateur compromis et un outil IA interne pour prendre le contrôle de deux autres ingénieurs de l'équipe wallet. Binance a précisé qu'un jeton d'autorisation de déploiement de conteneurs trouvé sur la machine d'un ingénieur a été utilisé le jour de l'attaque pour déployer un conteneur et déclencher le script malveillant.

Pourquoi le confinement a pris du temps

Binance a expliqué que les attaquants ont utilisé le service de signature pour exploiter le mécanisme d'autorisation EIP-7702 d'Ethereum — une fonctionnalité de compte introduite lors de la mise à jour Pectra d'Ethereum en 2025 permettant aux comptes utilisateurs standards de fonctionner avec des capacités de smart contract — qui continuait de déplacer les actifs même après la suspension des retraits. Le hot wallet utilisant le calcul multi-parties (MPC), il n'existait aucune clé privée unique permettant de révoquer les autorisations malveillantes, l'équipe a donc dû élaborer une procédure spécialisée qui a pris du temps supplémentaire.

La plateforme a indiqué avoir depuis reconstruit le système wallet affecté et l'outil IA interne, remplacé les appareils concernés, retiré les identifiants liés et renforcé sa détection d'anomalies. Elle prévoit également une revue de sécurité indépendante, et certains détails techniques resteront confidentiels.

Binance a décrit son rapport comme préliminaire, ce qui signifie que ses conclusions restent soumises à une revue indépendante — le résultat de la revue planifiée et toute mise à jour des chiffres de pertes ou de récupération restant les éléments à suivre.