Une mission de codage envoyée par un futur employeur semblait être une étape ordinaire d'un entretien d'embauche. En réalité, il s'agissait d'une étape d'une cyberattaque de plusieurs mois qui s'est soldée par le vol de 6,3 milliards de dollars sur Binance — et elle soulève de nouvelles questions sur la manière dont les plateformes de cryptomonnaies se défendent contre les menaces visant leurs propres employés.

Selon un post-mortem publié mardi par Binance, le vol faisait partie d'une campagne coordonnée exploitant à la fois les vulnérabilités humaines et les systèmes de sécurité internes. Les conclusions de la plateforme retracent la manière dont les pirates ont progressivement pénétré l'infrastructure de portefeuilles de l'entreprise avant le vol du 29 octobre.

Comment les pirates ont infiltré Binance

La campagne a débuté en juin, lorsqu'un ingénieur a téléchargé un paquet logiciel falsifié lors de l'installation d'un outil de codage IA, selon le rapport de sécurité de Binance. Bien que la plateforme ait détecté le logiciel malveillant et remplacé l'appareil concerné, les attaquants avaient déjà recueilli des informations sur l'équipe en charge des portefeuilles de Binance. Cet épisode montre comment une infection peut encore avoir des conséquences après sa détection : le remplacement de l'appareil a éliminé le logiciel malveillant, mais pas le travail de reconnaissance déjà effectué par les attaquants.

En septembre, des attaquants se faisant passer pour des recruteurs ont ciblé un autre ingénieur logiciel et l'ont trompé en lui faisant télécharger un fichier malveillant déguisé en mission de codage. Le logiciel malveillant a compromis l'ordinateur professionnel de l'ingénieur et contourné les protections de sécurité de la plateforme.

Le 20 octobre, les attaquants ont utilisé la machine compromise et un outil IA interne pour accéder aux systèmes de deux autres ingénieurs, obtenant des identifiants de déploiement qui leur ont permis d'installer un logiciel malveillant au sein de l'infrastructure de portefeuilles de Binance le 29 octobre.

Les intrus ont ensuite atteint le service interne de signature de portefeuille de la plateforme, qui autorise les transactions en cryptomonnaies, leur permettant ainsi de déplacer des fonds en dehors du processus normal de retrait. Cet accès à ce niveau signifiait que les fonds pouvaient circuler alors que les contrôles habituels de retrait de la plateforme étaient contournés — la même dynamique qui a permis, par la suite, la poursuite des transferts même après la suspension des retraits par Binance.

« Ce n'était pas une erreur ni une seule violation — c'était une campagne qui a duré plusieurs mois », a déclaré Richard Teng, co-PDG de Binance, dans une publication mardi sur X.

Source : Richard Teng sur X

L'EIP-7702 exploité pour maintenir les transferts

Binance a indiqué que les attaquants avaient également exploité le mécanisme EIP-7702 d'Ethereum, qui permet aux portefeuilles de déléguer des autorisations de transaction à des contrats intelligents. Cela a permis aux transferts non autorisés de se poursuivre même après la suspension des retraits par la plateforme. Son système de portefeuille à calcul multiparty (MPC), qui répartit le contrôle de la signature des transactions, a compliqué les efforts de révocation de ces autorisations. Ensemble, ces deux conceptions signifiaient que l'arrêt des transferts non autorisés nécessitait l'annulation des autorisations à travers l'ensemble du système de portefeuilles plutôt que la coupure d'un simple point de contrôle.

La violation a affecté environ 6,3 milliards de dollars d'actifs numériques, Binance indiquant que 2,85 milliards de dollars avaient été gelés ou interceptés, selon son dernier bilan. La plateforme a déclaré qu'elle absorberait les pertes plutôt que de les répercuter sur les clients et avait reconstitué 98 % des actifs de jetons affectés au 31 octobre. Ces chiffres représentent la dernière situation de la plateforme plutôt qu'une résolution définitive ; les prochaines mises à jour concernant les actifs au-delà des 2,85 milliards de dollars gelés ou interceptés — et sur l'éventualité d'un dépassement des 98 % de reconstitution — détermineront le bilan final de la violation.

L'attaque — le plus grand piratage de l'histoire des cryptomonnaies — a été attribuée à des hackers nord-coréens par le Federal Bureau of Investigation (FBI). Mardi, Kim Yo Jong, la sœur du dirigeant nord-coréen Kim Jong Un, a nié l'implication de son pays, affirmant que l'attribution du FBI était politiquement motivée et visait à nuire au rayonnement international de la Corée du Nord. Ces déclarations laissent les deux versions publiquement en désaccord, l'attribution du FBI et le démenti de Pyongyang restant irréconciliés.

Binance signale 57 cybermenaces bloquées cette année

Par ailleurs, Yi He, cofondatrice de Binance, a déclaré mardi que l'équipe de sécurité de la plateforme avait détecté et prévenu 57 cybermenaces présumées liées à la Corée du Nord en 2026, notamment de faux entretiens d'embauche, des paquets logiciels malveillants et des tentatives d'ingénierie sociale visant à voler des identifiants ou à installer des logiciels malveillants. Ce bilan 2026 indique que les méthodes au cœur de la violation — fausses approches de recruteurs, paquets falsifiés et tentatives de vol d'identifiants — constituaient des schémas récurrents dans les données de menaces de Binance plutôt que des événements isolés.

« Nous en avons intercepté beaucoup, mais le coût de l'échec d'un seul a été sévère — et cela n'aurait jamais dû se produire », a-t-elle déclaré.

Cet article a été initialement publié par Cointelegraph.