Ilya Lichtenstein déclare que les tactiques utilisées lors du piratage du hot wallet de Binance le 29 octobre 2026 ressemblaient à celles associées aux hackers nord-coréens. Son évaluation accompagne le propre récit de Binance d'une intrusion combinant fausses campagnes de recrutement, téléchargements malveillants et outils d'IA internes compromis, dans une attaque impliquant 6,34 milliards de dollars d'actifs.

Le président américain Donald Trump a indiqué que les enquêteurs examinaient un possible lien nord-coréen. Ni sa déclaration ni l'évaluation de Lichtenstein n'établissent l'implication de la Corée du Nord. Selon CNBC, le co-PDG de Binance, Richard Teng, s'est gardé d'accuser directement la Corée du Nord, mais a confirmé que le FBI avait relié la violation à des hackers nord-coréens associés au groupe TraderTraitor.

Lichtenstein a suggéré que le hameçonnage d'employés pouvait constituer une porte d'entrée vers les plateformes d'échange de cryptomonnaies, plutôt qu'une attaque directe de leurs sites web. Cette suggestion n'était pas une confirmation du vecteur utilisé dans cet incident. L'observation souligne les points sur lesquels se concentre la sécurité des plateformes : les appareils du personnel, les outils internes et les systèmes qui déplacent les fonds.

Des mois d'infiltration avant la violation du hot wallet

Le récit de Binance décrit une intrusion par étapes impliquant des ingénieurs et les systèmes autorisant les transactions de portefeuille. Teng a déclaré que les attaquants avaient passé des mois à obtenir un accès, rejetant l'idée que l'ordinateur portable d'un seul employé constituait un point de défaillance unique.

Un rapport de sécurité de Binance fait remonter les préparatifs à juin, lorsqu'un ingénieur a téléchargé une installation Homebrew altérée en cherchant un outil de codage IA. La plateforme a détecté une activité suspecte, remplacé l'appareil et fait pivoter les identifiants, mais a indiqué que le rôle de l'ingénieur et ses collègues avaient déjà été exposés. Homebrew est un gestionnaire de paquets largement utilisé, et cet épisode montre comment une installation banale devient une porte d'entrée dès que sa source est altérée.

En septembre, des attaquants se faisant passer pour des recruteurs ont soumis un autre ingénieur à des entretiens et à un exercice de codage contenant un logiciel malveillant dissimulé, a déclaré Teng. Ils ont ensuite navigué via des outils d'IA internes pour atteindre le système autorisant les transactions de portefeuille. Cette séquence — recrutement fictif, logiciel malveillant dissimulé, déplacement latéral via des outils internes vers le système qui autorise les transactions de portefeuille — correspond au schéma décrit par Lichtenstein.

Teng a indiqué que Binance avait reconstitué 98 % des actifs affectés et achetait les avoirs restants, moins liquides. Les clients ont retiré 3,6 milliards de dollars à la réouverture de la plateforme le 1er novembre. Binance s'est engagée à couvrir les pertes des clients et a reconstruit le système de portefeuille affecté ainsi que l'outil d'IA interne. Ces chiffres illustrent l'ampleur du rétablissement : combler un déficit de plusieurs milliards de dollars, absorber des retraits massifs à la réouverture et reconstruire une infrastructure compromise.

Lichtenstein a souligné que les premières 48 heures suivant une attaque sont cruciales pour retracer les fonds volés. L'intelligence artificielle peut accélérer les transferts après un vol, ajoutant une urgence au suivi précoce.

L'évolution de l'examen du possible lien nord-coréen par les enquêteurs, et le moment où Binance achèvera l'achat des avoirs restants moins liquides, sont les prochains développements à surveiller.

Cet article a été produit avec l'assistance de l'intelligence artificielle et relu par l'équipe éditoriale.