Des pirates informatiques liés à la Corée du Nord ont maintenu l'accès aux systèmes de Binance pendant environ huit semaines avant de mener l'exploitat de 6,3 milliards de dollars de la plateforme le 29 octobre, selon l'organisation à but non lucratif de cybersécurité Security Alliance (SEAL). Binance affiche toutefois que la campagne d'attaque plus large a débuté en juin et que les pirates n'ont obtenu l'accès à des appareils supplémentaires liés à l'infrastructure des portefeuilles que le 20 octobre.

Dans un rapport publié jeudi, SEAL écrit que le groupe de pirates a compromis l'appareil d'un ingénieur logiciel de Binance en septembre via un faux schéma de recrutement, ajoutant que les acteurs malveillants peuvent se déplacer dans des systèmes compromis avec « un haut degré de discrétion sur de longues périodes » après l'intrusion initiale. L'estimation de huit semaines de SEAL correspond à la fenêtre d'intrusion de septembre à octobre, et non au début de la campagne plus large décrite par Binance.

Cointelegraph a contacté Binance pour obtenir des précisions sur la chronologie. Un porte-parole a indiqué que les compromissions initiales d'appareils sont survenues en juin et en septembre, mais que les attaquants n'ont acquis l'accès nécessaire pour atteindre les opérations de portefeuille que le 20 octobre.

« Comme indiqué dans notre annonce, les compromissions initiales d'appareils sont survenues en juin et en septembre, mais les attaquants n'ont pas obtenu l'accès nécessaire pour atteindre les opérations de portefeuille avant le 20 octobre, date à laquelle ils ont utilisé ce point d'ancrage pour se déplacer latéralement et obtenir l'accès à des appareils et identifiants supplémentaires », a déclaré le porte-parole.

SEAL a identifié au moins quatre « sociétés écrans » associées aux fausses campagnes de recrutement de TraderTraitor en 2026, dont citalab.net, citalab.com, bitfit.io et oddium.io — des domaines présentant ces organisations comme des employeurs légitimes auprès de leurs cibles.

Binance a fait remonter la campagne d'attaque à juin, lorsque l'appareil d'un autre employé a été compromis après avoir téléchargé une installation de Homebrew altérée (un gestionnaire de paquets open source utilisé pour installer des logiciels sur macOS et Linux) alors qu'il tentait d'installer un outil de codage IA, comme précédemment rapporté. La plateforme a détecté l'incident, remplacé l'appareil et renouvelé les identifiants concernés. Cependant, les attaquants avaient déjà obtenu des informations sur les employés travaillant sur l'infrastructure des portefeuilles de Binance, selon un message X publié mardi.

Le 20 octobre, les attaquants ont utilisé l'ordinateur compromis de l'ingénieur ciblé en septembre, ainsi qu'un outil d'IA interne, pour prendre le contrôle des appareils de deux ingénieurs de l'infrastructure des portefeuilles, selon Binance. Ils ont ensuite découvert un jeton de permission de déploiement, qui a été utilisé lors de l'exploitat du 29 octobre.

L'analyse de SEAL pointe des schémas d'intrusion multi-étapes similaires dans d'autres piratages cryptos très médiatisés. L'organisation estime que les attaquants ont eu environ six semaines d'accès avant le piratage de Bitget de 388 millions de dollars, six semaines d'accès à LayerZero avant la vulnérabilité ayant conduit à l'exploitat de Kelp DAO de 293 millions de dollars, et environ trois semaines avant de mener l'exploitat de AFX de 24 millions de dollars. Prises ensemble, ces affaires montrent que les longues durées de présence entre l'accès initial et l'exécution constituent une caractéristique récurrente des intrusions cryptos majeures, plutôt qu'une anomalie propre à Binance.

Le Federal Bureau of Investigation américain a attribué l'attaque au groupe TraderTraitor de la Corée du Nord dans un rapport publié samedi. Kim Yo Jong, sœur du dirigeant nord-coréen Kim Jong Un, a rejeté ces accusations, laissant la responsabilité de l'exploitat publiquement contestée entre Washington et Pyongyang. Alors que les deux gouvernements présentent des versions diamétralement opposées, d'éventuelles divulgations supplémentaires de Binance, de SEAL ou des agences américaines pourraient apporter des détails sur le déroulement de l'intrusion entre juin et octobre.

À lire aussi : Le piratage de Binance pourrait être un « revers temporaire » pour la crypto, selon Pandl de Grayscale