Des pirates nord-coréens ont, selon les accusations, drainé 6,3 milliards de dollars de Binance la semaine dernière lors du plus grand vol de cryptomonnaies jamais enregistré, et les techniques utilisées reflètent un répertoire d'attaques large et en constante évolution : infiltration d'entreprises sous de fausses identités, empoisonnement de bibliothèques de code largement utilisées, compromission d'infrastructures de portefeuilles et recours croissant à l'intelligence artificielle pour rendre chaque étape plus crédible.

L'ampleur de la menace est considérable. Une estimation attribue 60 % de toutes les pertes crypto de l'an dernier à des groupes liés à la République populaire démocratique de Corée (RPDC). Ces acteurs recourent simultanément à plusieurs vecteurs d'attaque, ce qui rend plus difficile de les prendre sur le fait.

La semaine dernière, il n'a fallu que 20 minutes aux attaquants nord-coréens présumés pour drainer 6,3 milliards de dollars de Binance, le plus grand piratage crypto jamais enregistré. Selon la plateforme, ils ont compromis l'ordinateur professionnel d'un ingénieur de Binance via une fausse entrevue d'embauche, utilisé un outil d'IA interne pour prendre le contrôle des ordinateurs d'autres ingénieurs, puis utilisé des identifiants volés pour détourner un service interne de signature de portefeuille.

— Binance (@binance) November 3, 2026

Historiquement, les pirates nord-coréens sont connus pour se faire embaucher dans des entreprises crypto sous de fausses identités, attaquer via des infrastructures tierces et empoisonner des bibliothèques de code largement utilisées. Plus récemment, ils ont commencé à utiliser l'IA pour rendre l'ensemble plus crédible. Voici les méthodes qu'ils emploient dans leurs attaques crypto.

Faux employés

Jimmy Su, directeur de la sécurité de Binance, a déclaré à Decrypt en août 2025 que la plateforme rejette chaque jour des CV suspectés d'être nord-coréens, et que « presque tous les grands piratages de la RPDC » impliquaient à l'époque un faux employé facilitant l'attaque.

Su a indiqué qu'il existait des signes révélateurs dans les CV indiquant que le candidat était nord-coréen, mais la plateforme n'a pas voulu révéler les détails de ces signaux d'alerte. Parfois, des acteurs malveillants parviennent jusqu'à l'étape de l'entrevue, où ils utilisent des deepfakes pour modifier leur visage et leur voix.

« La seule véritable méthode de détection, c'est qu'ils ont presque toujours une connexion Internet lente », a-t-il déclaré à Decrypt. « Ce qui se passe, c'est que la traduction et le modificateur de voix fonctionnent pendant l'appel… c'est pourquoi ils sont toujours en retard. »

Ceux qui sont effectivement embauchés tendent à être suspectement performants. Su a précisé que les travailleurs nord-coréens figurent souvent parmi les meilleurs employés d'une entreprise, probablement parce que plusieurs personnes peuvent partager un même rôle à travers différents fuseaux horaires.

La menace ne faiblit pas. Binance a indiqué que son équipe de sécurité avait détecté et empêché 57 cas suspects de cybermenaces liées à la Corée du Nord en 2026, utilisant des techniques allant des fausses entrevues d'embauche aux fausses applications de visioconférence.

Fausses entrevues d'embauche

Les attaquants inversent également l'escroquerie en se faisant passer pour des recruteurs afin de cibler des personnes travaillant déjà dans des entreprises crypto de premier plan. Souvent, l'attaquant prétend qu'il y a un problème vidéo ou audio pendant l'entrevue et envoie à la victime un lien pour mettre à jour Zoom, qui infecte son appareil avec un logiciel malveillant.

« Le groupe de la RPDC tentera [également] de planifier des appels avec les employés en contact avec l'extérieur », a déclaré Su à Decrypt. « Soit comme projet DeFi, soit comme société d'investissement. Pire encore, ils les recrutent pour un poste de haut niveau, en payant deux, trois fois plus, juste pour les amener à une entrevue. »

C'est ainsi qu'a commencé l'attaque contre Binance, selon la plateforme. En septembre, un ingénieur logiciel de Binance a été abordé via une plateforme de recherche d'emploi légitime par une personne se faisant passer pour un directeur de projet, qui a organisé deux entrevues. Lors de la première, une prétendue représentante des RH a instauré la confiance lors d'un appel vidéo en direct en partageant un compte de réseaux sociaux rempli de photos et vidéos personnelles — une approche qualifiée par Binance de « plus avancée et trompeuse que ce qui avait été observé auparavant ».

Lors de la seconde, tenue sur une application de messagerie, l'ingénieur a été invité à télécharger un « devoir » sur son ordinateur professionnel. Le dépôt de code contenait un logiciel malveillant jusqu'alors inconnu qui s'exécutait lors de l'installation, remplaçait un outil de développement légitime par une version malveillante et se connectait à un serveur contrôlé par l'attaquant, échappant aux outils de sécurité de Binance.

Des méthodes similaires ont été utilisées à grande échelle ailleurs. Un groupe lié à la Corée du Nord a infecté au moins 30 000 appareils dans plus de 100 pays entre environ décembre 2025 et juillet 2026, prélevant des fonds ou des identifiants sur plus de 7 000 portefeuilles crypto et transférant environ 10,71 millions de dollars vers la Corée du Nord.

Ce groupe, connu sous le nom de WaterPlum ou Contagious Interview, se faisait passer pour des entreprises d'IA, de crypto ou de NFT et soumettait aux candidats une entrevue technique ou un exercice de codage nécessitant le téléchargement de fichiers remplis de logiciels malveillants. Certains utilisaient des logiciels d'échange de visages par IA pendant les entrevues avant de couper leur propre vidéo et de demander au candidat d'en faire autant, invoquant une mauvaise connexion.

Empoisonnement de bibliothèques

Su a également déclaré à Decrypt que les pirates nord-coréens empoisonnent des bibliothèques de code publiques, ce qu'il classe comme la deuxième méthode d'attaque la plus courante — derrière les faux employés.

Les paquets Node Package Manager (NPM) sont des collections de code open source réutilisable que les développeurs utilisent fréquemment. Les attaquants peuvent cloner ces paquets et glisser une petite ligne de code malveillant tout en conservant la fonction d'origine. Cela signifie qu'une victime peut utiliser cette bibliothèque empoisonnée sans s'en apercevoir, le code malveillant s'enracinant davantage avec le temps à mesure que d'autres éléments sont construits par-dessus.

En septembre 2025, la société de sécurité logicielle ReversingLabs a découvert deux paquets NPM qui utilisaient des contrats intelligents Ethereum pour télécharger des logiciels malveillants, une méthode que la société disait n'avoir jamais vue auparavant. Les paquets étaient liés à un réseau plus large de dépôts GitHub, pour l'essentiel présentés comme des robots de trading crypto, avec des milliers de commits et d'étoiles que ReversingLabs estime être principalement falsifiés.

Cette tactique faisait partie d'une « campagne sophistiquée » d'acteurs malveillants tentant de pirater des utilisateurs via des bibliothèques de code publiques liées à la blockchain empoisonnées — un vecteur d'attaque que Binance avait précédemment attribué à des pirates nord-coréens. Pour contrer cette menace, Su a indiqué que Binance fait passer les employés au peigne fin les bibliothèques NPM.

Des outils de développement trafiqués ont également joué un rôle dans le piratage de Binance. En juin, un membre de l'équipe DevOps des portefeuilles de Binance a téléchargé une installation trafiquée de Homebrew, un installateur de logiciels populaire, en tentant d'installer un outil de codage par IA trouvé via un moteur de recherche, selon la plateforme. Son équipe de sécurité a détecté le problème, remplacé l'appareil et renouvelé ses identifiants, mais l'incident a exposé l'ingénieur et ses collègues de l'équipe d'infrastructure des portefeuilles aux attaquants.

Attaques d'infrastructure

Avant Binance, le record peu enviable du plus grand piratage crypto appartenait à Bybit, qui avait perdu 1,4 milliard de dollars en février 2025 — moins d'un quart du montant dérobé à Binance. Des sociétés de cybersécurité ont révélé que des pirates nord-coréens avaient mené l'attaque en implantant du code malveillant dans l'infrastructure de Safe, un fournisseur de portefeuilles crypto utilisé par la plateforme.

Les sociétés de sécurité ont indiqué que du code JavaScript malveillant avait été directement injecté dans l'infrastructure en ligne de Safe, sans que l'on sache comment les attaquants sont parvenus à le faire. L'infrastructure de Bybit « n'a pas été compromise », a déclaré la plateforme à Decrypt — le piratage s'explique uniquement par l'exploitation d'un tiers.

L'attaque contre Binance, en revanche, a visé les systèmes propres de la plateforme. Le 29 octobre, l'attaquant a utilisé des identifiants volés pour déployer un conteneur — un environnement logiciel isolé utilisé pour exécuter des services au sein de l'infrastructure d'une entreprise — et obtenir un accès non autorisé à un service interne de signature de portefeuille, lui permettant d'initier des transactions en dehors du processus de retrait normal de Binance. Sur Ethereum, il a utilisé le service de signature pour exploiter l'EIP-7702, un mécanisme permettant à un compte de déléguer ses droits d'exécution à un contrat intelligent, donnant à un contrat contrôlé par l'attaquant un contrôle partiel sur un hot wallet de Binance, le portefeuille connecté à Internet dont les plateformes dépendent pour traiter les retraits des clients.

Ces autorisations en chaîne ont continué de fonctionner même après la suspension des retraits par Binance. Le hot wallet utilisant le calcul multi-parties, une approche qui répartit le contrôle des clés entre plusieurs parties afin qu'aucun participant ne détienne la clé complète, il n'existait aucune clé privée unique que Binance pouvait utiliser pour les révoquer rapidement, selon la plateforme.

Arnaques dopées à l'IA

Chacun des vecteurs d'attaque mentionnés ci-dessus peut être démultiplié grâce aux outils d'intelligence artificielle.

Début cette année, Google a mis en garde contre une campagne de logiciels malveillants dopés à l'IA ciblant des entreprises crypto et émanant de Corée du Nord. Su, de Binance, a également souligné que des outils d'IA peuvent être utilisés pour accroître l'efficacité des attaques.

Les inquiétudes concernant les piratages dopés à l'IA se sont accrues ces derniers mois, le cofondateur d'Ethereum Vitalik Buterin déclarant en octobre qu'il était « plausible » que l'IA puisse casser le chiffrement d'ici deux ans. Cela s'inscrit dans un contexte d'explosion des mathématiques assistées par l'IA, OpenAI affirmant avoir résolu en quelques jours un problème mathématique vieux de 90 ans, et des experts ont exhorté le secteur à se préparer à des attaques dopées à l'IA contre le chiffrement.

Aucun rapport confirmé ne fait état de pirates nord-coréens utilisant l'IA pour casser le chiffrement. Mais compte tenu de la rapidité avec laquelle ils ont adopté l'IA ailleurs, le secteur pourrait devoir s'y préparer ensuite.