Binance et Deribit ont désactivé toutes les clés API connectées à SignalPlus après que le fournisseur d'infrastructure pour produits dérivés crypto a révélé une cyberattaque ayant compromis l'un de ses ingénieurs. Les deux plateformes ont indiqué que leurs propres systèmes n'étaient pas touchés : Binance a déclaré qu'aucun fonds de ses utilisateurs n'avait été perdu, tandis que Deribit n'a trouvé aucun signe de compromission de ses systèmes ou données.

SignalPlus a précisé que l'incident avait débuté tôt le 4 novembre et avait affecté un petit nombre de comptes n'utilisant pas de liste blanche IP. Dans une déclaration publiée sur X le 5 novembre, la société a indiqué que les pertes totales s'élevaient à moins de 82 000 $ US et que tous les utilisateurs concernés seraient intégralement remboursés.

TL;DR: In the early hours of Nov 4, SignalPlus was targeted in an attack that began with a compromised third-party Telegram account, affecting a small number of accounts without IP whitelisting. We detected and contained the intrusion quickly. As a precaution, we immediately worked with our CEX partners to revoke all SignalPlus-linked API keys and temporarily paused our terminal services. Total losses are under US$82k, and all affected users will be reimbursed in full. We expect to bring services fully back online over the next few days. Updates and user instructions will be shared through our official channels.

— SignalPlus (@SignalPlus_Web3) November 5, 2026 (Publication X)

Binance et Deribit coupent l'accès de SignalPlus

La société a signalé cette activité suspecte à ses partenaires plateformes centralisées et leur a demandé de suspendre toutes les clés API de SignalPlus. Elle a également fermé son terminal de trading le temps d'un audit de sécurité complet.

Cette révocation coordonnée a efficacement bloqué le trading, la surveillance et l'exécution automatisée via SignalPlus pendant toute la durée de la période de révocation des identifiants. Les terminaux tiers de ce type fonctionnent en se connectant aux comptes d'échange des clients via des identifiants API, c'est pourquoi la révocation des clés au niveau des plateformes coupe entièrement la plateforme de ces comptes.

Le PDG de Binance, Changpeng Zhao, a conseillé à tous les utilisateurs connectés via SignalPlus d'annuler également leurs autres identifiants API. Par ailleurs, la cofondatrice de Binance, Yi He, a exhorté les plateformes tierces intégrées à l'échange à examiner leurs propres mesures de sécurité et à surveiller toute activité inhabituelle.

We also encourage all third-party platforms integrated with Binance to review their security controls, monitor for unusual activity and contact us immediately if they detect any concern💁🏻‍♀️ This is not a challenge for any single company……

— Yi He (@heyibinance) November 5, 2026 (Publication X)

Une fausse invitation Teams a compromis un ingénieur

SignalPlus a remonté l'intrusion jusqu'au compte Telegram d'un contact chez l'un de ses prestataires technologiques externes. L'attaquant s'est fait passer pour ce contact et a envoyé une fausse invitation Microsoft Teams à un ingénieur de SignalPlus. Après avoir infecté l'ordinateur de l'ingénieur, l'intrus est resté silencieux jusqu'à pouvoir exploiter les accès de l'employé au réseau interne de l'entreprise.

La société a déclaré avoir détecté l'activité, l'avoir bloquée et avoir corrigé les vulnérabilités identifiées.

La liste blanche IP, point de défaillance clé

SignalPlus a également reconnu que ses accès API aux plateformes n'étaient pas protégés par une liste blanche d'adresses IP, une mesure de sécurité qui limite une clé API afin qu'elle ne fonctionne que depuis des adresses préapprouvées. Sans cette restriction, les identifiants volés peuvent être utilisés depuis une infrastructure contrôlée par l'attaquant, sous la seule limite des permissions configurées sur la clé.

La société a indiqué qu'elle ajusterait ses politiques d'accès API, sa sécurité des terminaux, ses permissions internes et ses accès à la gestion des clés. Elle a réitéré que les pertes totales de l'incident sont inférieures à 82 000 $ et que les utilisateurs concernés sont intégralement remboursés. SignalPlus prévoit de remettre ses services entièrement en ligne dans les prochains jours, avec des mises à jour et des instructions publiées via ses canaux officiels.

Le secteur crypto face à un nouvel avertissement sur l'ingénierie sociale

Cette violation fait suite à un vol de cryptomonnaies de 6,3 milliards de dollars distinct chez Binance le 29 octobre. Binance a ensuite indiqué que cette attaque avait été menée via des ordinateurs d'employés piratés, dont celui d'un ingénieur ciblé par une fausse entrevue d'embauche, et le FBI l'a attribuée à un groupe de hackers nord-coréen.

Bien que les deux incidents soient survenus indépendamment, ils illustrent tous deux une tendance plus large : des attaquants ciblant les employés et les relations de confiance avec des tiers plutôt que l'infrastructure des plateformes elle-même.

SignalPlus a déclaré que ses services reviendraient de manière progressive une fois les revues de sécurité et les correctifs appliqués. Pendant la suspension du terminal SignalPlus, les utilisateurs peuvent toujours gérer leurs positions et leurs ordres ouverts directement auprès des plateformes.

Source : CryptoNinjas