Binance est revenu en détail sur la cyberattaque éclair qui l’a délesté de plus de 6 milliards de dollars de cryptomonnaies. Le géant de l’industrie commence par présenter ses excuses à ses utilisateurs « pour l’inquiétude, les perturbations et l’incertitude » découlant du vol, et rappelle que près de 2,85 milliards de dollars de cryptos dérobés ont été gelés ou interceptés. Binance assure à nouveau qu’il absorbera toutes les pertes, et que 98 % des actifs touchés ont déjà été reconstitués au 31 octobre.
https://t.co/sU9dUqLQDH
— Binance (@binance) November 3, 2026
Un faux entretien d’embauche à l’origine de la cyberattaque
D’après les investigations menées par Binance, le casse a été préparé pendant des mois. Les premières traces de l’opération remontent au mois de juin. Au début de l’été, un ingénieur de l’équipe chargée des portefeuilles chez Binance se met à la recherche d’un outil de codage par IA sur un moteur de recherche. Sans s’en rendre compte, il finit par télécharger une version piégée de Homebrew, un outil très utilisé par les développeurs. L’équipe de sécurité de Binance repère rapidement l’anomalie et remplace l’ordinateur professionnel de l’ingénieur. Malheureusement, le virus, logé dans le code du faux Homebrew, est parvenu à mettre la main sur des informations relatives au travail de l’ingénieur. Les pirates savent désormais quel est le travail exact de celui-ci, et de plusieurs de ses collègues.
En septembre, un deuxième ingénieur est visé par les pirates. Celui a été contacté sur une plateforme de recherche d’emploi par un faux « directeur de projet ». Sans se douter de la supercherie, il passe un premier entretien vidéo avec un prétendu recruteur. Ce faux recruteur lui montre même ses photos et ses vidéos personnelles sur les réseaux sociaux pour gagner sa confiance. Lors d’un second entretien en ligne, le développeur rencontre le PDG d’une entreprise fictive. Il est alors invité à télécharger un « exercice » sur son ordinateur de travail. Le fichier contient un logiciel malveillant inconnu, qui parvient à contourner les outils de sécurité de la machine. Dès l’installation, le virus remplace discrètement pyenv, un outil très courant chez les développeurs Python, par une version piégée. Cette version malveillante reçoit des ordres en temps réel d’un serveur sous le contrôle des cybercriminels.
Le 20 octobre, neuf jours avant le casse, les pirates passent à l’attaque avec un outil d’IA interne. Les hackers se servent de l’intelligence artificielle comme tremplin pour passer de l’ordinateur piraté à la machine de deux autres ingénieurs. Binance reste assez évasif sur la méthode employée par les pirates. Fort logiquement, la plateforme d’échange prévient que « certains détails techniques resteront confidentiels » pour ne pas aider d’autres pirates à mener des attaques. Sur l’un des ordinateurs piratés, les truands mettent la main sur un jeton d’accès qui permet de déployer des logiciels sur l’infrastructure de Binance.
Quatre heures de pillage
Avec ce jeton d’accès, les pirates passent à l’action dans la soirée du jeudi 29 octobre. Tout d’abord, ils prennent le contrôle du service interne qui signe les transactions des portefeuilles de Binance. Trois heures plus tard, le vol commence. En quatre minutes, 233 millions de XRP sont transférés depuis les portefeuilles de la plateforme. D’autres cryptomonnaies sont ensuite siphonnées, suivies par 18 270 bitcoins. Binance suspend aussitôt les retraits… mais le pillage continue. Les pirates ont eu l’idée d’exploiter EIP-7702, un mécanisme de la blockchain Ethereum qui permet de donner le contrôle partiel d’un portefeuille à un contrat intelligent (smart contract). Ce contrat peut agir à la place de l’utilisateur, ce qui a permis aux attaquants de vider un portefeuille sans passer par le système de retrait de Binance.
« La suspension des retraits ne pouvait pas, à elle seule, stopper tous les mouvements d’actifs non autorisés », explique la plateforme dans son rapport.
Pour stopper le vol, Binance devait impérativement barrer la route au contrat intelligent. Dans les détails, la plateforme devait trouver le moyen d’annuler l’autorisation que les pirates ont donnée sur le portefeuille. En clair, il fallait signer une nouvelle transaction avec la clé du portefeuille. Par mesure de sécurité, Binance avait préalablement découpé la clé privée en plusieurs fragments, répartis sur différents serveurs. Cette précaution doit éviter que des cybercriminels ne mettent la main sur la clé privée, mais elle a retardé la réaction de Binance et de ses équipes. Le dernier transfert frauduleux a donc été validé peu avant minuit, près de quatre heures après le début du casse.
À lire aussi : Le Bitcoin est dans le rouge – le hack de Binance plombe tout le marché crypto, 1,5 milliard de dollars envolés
57 cyberattaques nord-coréennes depuis le début de l’année
Sans surprise, Binance assure avoir colmaté tous les points d’entrée utilisés par les pirates, reconstruit les systèmes touchés et remplacé tous les appareils compromis. La plateforme promet que des experts indépendants vont auditer ses systèmes pour en déceler d’éventuelles failles. Citant les conclusions du FBI, Binance attribue l’attaque à TraderTraitor, un groupe de pirates nord-coréens qui fait partie de la constellation Lazarus. Ce groupuscule criminel est connu pour piéger les développeurs avec de faux recruteurs. Ces dernières années, plusieurs campagnes d’envergure, similaires à celles contre Binance, ont été recensées.
En amont du vol du 29 octobre, la plateforme précise avoir déjoué 57 tentatives d’attaques liées à des hackers nord-coréens depuis le début de l’année. De son côté, la Corée du Nord dément fermement être à l’origine de la cyberattaque. Pour Kim Yo-jong, la sœur du dirigeant Kim Jong-un, il s’agit « d’une provocation éculée » de la part des États-Unis.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
