Le 3 novembre, Binance a publié son premier compte rendu détaillé de la violation du 29 octobre, qui a affecté environ 6,34 milliards de dollars d'actifs numériques, révélant que les attaquants avaient passé des mois à construire leur accès avant d'atteindre l'infrastructure de signature de portefeuilles de la plateforme. L'échange de cryptomonnaies a cité l'ingénierie sociale, la compromission de points de terminaison et l'utilisation abusive des capacités d'autorisation de transactions d'Ethereum comme causes de l'incident.

La société a indiqué que l'opération combinait de fausses entrevues d'embauche, des logiciels malveillants et la compromission d'outils IA internes. Environ 2,85 milliards de dollars de fonds ont depuis été gelés ou interceptés, 98 % des jetons affectés ont été reconstitués et les retraits ont largement repris, selon Binance.

— Binance (@binance) November 3, 2026

Dans son rapport, Binance a déclaré publier le compte rendu complet parce que les enseignements de l'incident dépassent le cadre de la plateforme elle-même. Ce récit est notable par le chemin qu'il décrit : l'accès au système de signature de portefeuilles a été construit via les terminaux des employés, les processus de recrutement et les outils internes, plutôt que par une attaque directe sur les portefeuilles eux-mêmes — une séquence que Binance présente comme pertinente pour l'ensemble du secteur.

L'attaque a commencé des mois avant le vol de 6,34 milliards de dollars

Selon Binance, l'intrusion a débuté en juin, lorsqu'un ingénieur Wallet DevOps récemment embauché a téléchargé un paquet logiciel modifié lors de l'installation d'un outil de codage IA. La plateforme a détecté cet incident, renouvelé les identifiants et remplacé l'appareil, mais l'attaquant avait déjà obtenu des informations sur la façon dont l'ingénieur travaillait sur l'infrastructure des portefeuilles et sur les autres membres de l'équipe.

L'ingénieur a de nouveau été ciblé en septembre via un site web légitime de recherche d'emploi. L'attaquant s'est fait passer pour un recruteur, a déplacé le processus vers une interview vidéo, puis a demandé à l'ingénieur de télécharger un exercice de codage. Selon Binance, un logiciel malveillant intégré au dépôt s'est exécuté lors de l'installation et a écrit sur l'ordinateur de travail de l'employé.

Un outil IA interne est devenu une partie du chemin d'attaque

Binance a déclaré que les attaquants ont ensuite utilisé l'appareil usurpé et l'outil IA pour accéder aux systèmes de deux autres ingénieurs. Au 20 octobre, ils avaient repéré un jeton de déploiement de conteneurs en la possession d'un employé Wallet DevOps. À l'aide des identifiants volés, les attaquants ont lancé un conteneur et envoyé du code malveillant dans l'environnement de portefeuilles de Binance le 29 octobre.

Les pirates ont ensuite accédé à un service interne de signature de portefeuilles, contournant ainsi la procédure de retrait habituelle de la plateforme.

Les attaquants ont exploité l'EIP-7702 pour continuer à déplacer des cryptomonnaies

Plusieurs réseaux ont été affectés par la violation. Selon le rapport, l'attaquant a vidé cinq hot wallets de Binance — les portefeuilles connectés à Internet que les plateformes utilisent pour les transferts quotidiens — détenant un total combiné de 233,46 millions de XRP. Des transferts supplémentaires ont déplacé 970 503 SOL et 44,2 millions d'OP, suivis de transferts de 18 270 BTC.

L'EIP-7702 est une fonctionnalité d'Ethereum qui permet la délégation des droits d'exécution d'un compte à un contrat intelligent, et Binance a indiqué que les attaquants l'ont exploitée. L'enquête de la société a détecté une manipulation malveillante de nonce — altération des numéros de séquence qu'Ethereum utilise pour ordonner les transactions d'un compte — sur 50 transactions de signature.

Selon le rapport, les autorisations malveillantes n'ont pas été supprimées après la suspension des retraits, car la suspension des retraits n'était pas une option permettant d'arrêter instantanément tous les transferts. La configuration Multi-Party Computation des portefeuilles a encore compliqué la réponse, puisqu'il n'existait aucune clé privée unique permettant de révoquer rapidement les autorisations malveillantes.

Binance gèle 2,85 milliards de dollars et reconstitue 98 % des jetons

Environ 6,34 milliards de dollars d'actifs numériques ont été affectés, selon le co-CEO de Binance, Richard Teng. Plus de 2,85 milliards de dollars ont été gelés ou interceptés avec l'aide des forces de l'ordre, des émetteurs de jetons et des sociétés de renseignement blockchain, selon le dirigeant.

On 29 October, Binance was the target of one of the most sophisticated attacks the digital asset industry has ever seen. ~$6.34B in assets were impacted. We take full responsibility and we're making it right. No user bears the loss. We set aside more than the full amount required. At this moment, 98% of impacted tokens had been replenished; we're completing the remaining 2%. Withdrawals have broadly resumed. This wasn't one mistake or one breach – it was a months-long campaign. We're publishing the full report because the lessons go far beyond Binance. ~$2.85B has already been frozen or intercepted with law enforcement, issuers and blockchain intelligence firms. The speed of coordination could not be matched in traditional finance.

— Richard Teng (@_RichardTeng) November 3, 2026

Binance s'est engagée à absorber les pertes liées à l'incident plutôt que de les répercuter sur les utilisateurs. Au 31 octobre, les actifs en jetons représentant 98 % des avoirs touchés avaient été reconstitués, tandis que les actifs restants, moins liquides, étaient en cours de rachat.

La plateforme a depuis reconstruit les systèmes de portefeuilles et les outils IA internes affectés par l'incident, remplacé les appareils compromis, révoqué les identifiants et ajouté une détection comportementale des anomalies basée sur l'IA. Restent à finaliser, selon le calendrier de Binance : les 2 % restants de la reconstitution des jetons, le rachat des actifs moins liquides restants et les travaux de récupération en cours avec les forces de l'ordre, les émetteurs de jetons et les sociétés de renseignement blockchain concernant les fonds pas encore gelés ou interceptés.

Source : CryptoNinjas