Binance affirme que des pirates ont utilisé de faux entretiens d'embauche et un outil d'IA pour dérober 6,3 milliards $ en cryptomonnaies

Un possible record dans l'histoire des braquages financiers

Des pirates informatiques ont dérobé 6,34 milliards de dollars à Binance, dans ce qui pourrait être le plus grand braquage financier de l'histoire. La plus grande plateforme d'échange de cryptomonnaies au monde a révélé que les attaquants avaient passé des mois à infiltrer ses systèmes avant de vider ses portefeuilles le 29 octobre. Les pirates se sont fait passer pour des recruteurs, ont incité des ingénieurs à installer des logiciels malveillants et ont ainsi accédé à l'infrastructure chargée d'autoriser les transactions. Le FBI a attribué ce vol à des pirates nord-coréens. Binance affirme avoir reconstitué 98 % des actifs concernés au 31 octobre, en utilisant les fonds de l'entreprise pour couvrir les pertes. Les pirates n'ont pas eu besoin de contourner le chiffrement de Bitcoin ni de déjouer la technologie de la blockchain : ils ont trouvé une faille dans le cadre d'activités professionnelles courantes.

Binance Holdings Ltd., connue sous le nom de Binance, est la plus grande plateforme d'échange de cryptomonnaies en termes de volume quotidien de transactions. Binance a été fondée en 2017 par Changpeng Zhao. Initialement implantée en Chine, la société s'est ensuite installée au Japon, puis a quitté ce pays pour Malte, et ne dispose désormais plus de siège social officiel. Binance a fait l'objet de poursuites judiciaires et de contestations de la part des autorités de régulation. En conséquence, sa pratique a été interdite ou elle a reçu l'ordre de cesser ses activités dans certains pays, et s'est vu infliger des amendes.

Le 29 octobre 2026, la plateforme d'échange de cryptomonnaies Binance a subi le plus grand piratage informatique de l'histoire du secteur, avec un préjudice estimé à 6,3 milliards de dollars siphonnés en l'espace de seulement 20 minutes. L'attaque a déclenché le gel immédiat de près de 3 milliards de dollars d'actifs par plusieurs acteurs de l'écosystème crypto, tandis que la plateforme a suspendu tous ses dépôts et retraits. Le premier atterrissage concerne les aspects informatiques de l’affaire.


Un faux entretien d’embauche, un exercice de programmation malveillant et un outil d’IA interne compromis ont permis à des pirates informatiques de dérober 6,34 milliards de dollars à Binance, dans ce qui pourrait être le plus grand braquage financier de l’histoire. La plus grande plateforme d’échange de cryptomonnaies au monde a révélé récemment que les attaquants avaient passé des mois à infiltrer ses systèmes avant de vider ses portefeuilles de plusieurs milliards de dollars le 29 octobre.

Cette attaque était bien plus élaborée qu’une simple tentative de hameçonnage classique. Les pirates se sont fait passer pour des recruteurs, ont incité des ingénieurs à installer des logiciels malveillants et ont ainsi accédé à l’infrastructure chargée d’autoriser les transactions de cryptomonnaies. Richard Teng, co-PDG de Binance, a déclaré à l’émission « Squawk on the Street » de CNBC que les attaquants « avaient passé des mois à se frayer un chemin », réfutant ainsi les hypothèses selon lesquelles un simple ordinateur portable compromis aurait été à l’origine de la faille.

« En juin, [les attaquants] ont mis en place une fausse version d’un outil de développement et ont incité l’un de nos ingénieurs à l’installer », a ajouté Teng. « En septembre, ils se sont fait passer pour des recruteurs et ont mené une série d’entretiens d’embauche avec un autre ingénieur, qui s’est terminée par un exercice de programmation contenant un logiciel malveillant caché conçu pour contourner la sécurité… À partir de là, ils ont progressé rapidement à travers nos outils d’IA internes et ont obtenu un accès qui a permis de compromettre le système autorisant les transactions de notre portefeuille. »

La plateforme a révélé ces détails dans un rapport de sécurité daté du 3 novembre, offrant ainsi son premier compte rendu complet de la manière dont les pirates sont passés des ordinateurs des employés aux systèmes contrôlant des milliards de dollars d’actifs clients. Le FBI a attribué ce vol à des pirates nord-coréens liés au groupe « Trader Traitor ». Teng a reconnu les conclusions du FBI, mais s’est abstenu d’attribuer de manière indépendante l’attaque à la Corée du Nord.

Comment un faux entretien d’embauche a permis d’accéder aux portefeuilles de Binance

D’après l’enquête menée par Binance, l’opération a débuté en juin lorsqu’un ingénieur en infrastructure de portefeuilles a recherché en ligne un outil de codage d’IA et a téléchargé une version altérée du logiciel Homebrew. L’équipe de sécurité de Binance a détecté une activité suspecte, a remplacé l’ordinateur de l’ingénieur et a renouvelé les identifiants concernés. Cette intervention est toutefois intervenue trop tard pour empêcher les pirates de prendre connaissance des responsabilités de l’employé et d’identifier ses collègues travaillant sur l’infrastructure des portefeuilles de la plateforme d’échange.

Les pirates sont revenus en septembre avec une approche différente. Cette fois-ci, ils ont contacté un autre ingénieur de Binance via une plateforme de recrutement légitime, en se faisant passer pour une entreprise proposant une offre d’emploi.L’ingénieur a participé à ce qui semblait être des entretiens normaux avec un recruteur et un dirigeant de l’entreprise. Le prétendu employeur lui a ensuite confié un exercice de programmation et lui a demandé de télécharger un logiciel sur un ordinateur professionnel.

Cette tâche contenait un logiciel malveillant capable de contourner les outils de sécurité des terminaux de Binance. Le 20 octobre, les attaquants avaient utilisé l’ordinateur compromis et un outil d’IA interne pour accéder aux appareils de deux autres ingénieurs spécialisés dans les portefeuilles. L’un de ces appareils contenait des identifiants de déploiement qui ont finalement permis aux pirates d’accéder à l’infrastructure de signature des portefeuilles de Binance.

Neuf jours plus tard, les pirates ont frappé. Le 29 octobre, les identifiants volés leur ont permis d’injecter du code malveillant dans l’environnement des portefeuilles. En quelques minutes, des cryptomonnaies ont commencé à être transférées hors des portefeuilles contrôlés par Binance. Les pirates ont d’abord transféré 233,46 millions de XRP depuis cinq portefeuilles « chauds » en environ quatre minutes, puis ont procédé à d’importants retraits impliquant du Bitcoin, du Solana, de l’Ethereum et d’autres cryptomonnaies.

Les pirates ont exploité le mécanisme d’autorisation EIP-7702 d’Ethereum pour établir des autorisations permettant d’effectuer d’autres transferts non autorisés. Ces autorisations ont compliqué la réaction de Binance, permettant à certaines transactions de se poursuivre après que la plateforme ait suspendu les retraits. Les pertes qui en ont résulté se sont élevées à environ 6,34 milliards de dollars.

Binance déclare que 98 % des actifs concernés ont été restitués

Binance affirme avoir reconstitué 98 % des actifs en tokens concernés au 31 octobre, en utilisant les fonds de l’entreprise pour couvrir les pertes. La plateforme continue d’acheter des cryptomonnaies moins liquides nécessaires au remplacement des actifs restants. L’entreprise s’est engagée à ce que ses clients ne subissent pas les conséquences financières de cette attaque. Binance a indiqué qu’environ 2,85 milliards de dollars d’actifs volés avaient été gelés ou interceptés grâce à une coordination avec les forces de l’ordre, des enquêteurs spécialisés dans la blockchain et des partenaires du secteur. Ce chiffre reste soumis à un rapprochement comptable et aux fluctuations des cours des cryptomonnaies.

Depuis, la plateforme a reconstruit l’infrastructure de ses portefeuilles affectés ainsi que son outil d’IA interne, remplacé les appareils des employés compromis, révoqué les identifiants exposés et étendu les contrôles de sécurité à l’ensemble de son personnel. Teng a déclaré que Binance prévoyait de faire appel à des experts indépendants en cybersécurité pour examiner l’incident et recommander des améliorations supplémentaires.

Cette faille soulève des questions dérangeantes pour un secteur qui consacre des sommes considérables à la sécurité cryptographique, mais qui reste tributaire de ses collaborateurs, de ses environnements de développement logiciel et de ses contrôles d’accès internes. Les pirates n’ont pas eu besoin de contourner le chiffrement de Bitcoin ni de déjouer la technologie de la blockchain. Ils ont trouvé une faille dans le cadre d’activités professionnelles courantes, notamment l’installation de logiciels et les entretiens de recrutement, avant d’accéder aux systèmes chargés d’autoriser les transactions.

L’outil d’IA compromis ajoute une source de préoccupation supplémentaire pour les institutions financières qui intègrent l’IA dans leurs services d’ingénierie et leurs opérations internes. Les outils connectés aux systèmes sensibles d’une entreprise peuvent devenir des voies d’accès supplémentaires pour les attaquants lorsque les contrôles d’accès font défaut. Pour Binance, le remplacement des actifs volés permet de remédier au préjudice financier immédiat. Restaurer la confiance dans la sécurité de son infrastructure pourrait s’avérer un défi de plus longue haleine. La leçon à en tirer dépasse le cadre des cryptomonnaies : une entreprise peut investir des milliards dans la protection de ses actifs et subir malgré tout des pertes catastrophiques lorsque des attaquants prennent le contrôle des systèmes autorisés à les transférer.

Binance a fait état de progrès dans le remplacement des actifs volés dans sa troisième mise à jour concernant l’incident de sécurité, publiée sur X le 31 octobre. Après avoir indiqué qu’environ 80 % des pertes liées au piratage avaient été couvertes au moment de sa précédente mise à jour, la plateforme a déclaré : « Ce montant couvert s’élève désormais à 90 %. Tous les BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD et ZEC sont entièrement couverts à 100 %. » Les cryptomonnaies moins liquides n’appartenant pas à ce groupe constituent le déficit restant, et des partenaires du secteur aident à en trouver des quantités suffisantes. Plus de 6,34 milliards de dollars provenant des fonds de l’entreprise avaient été mis de côté dans le cadre du plan de rétablissement précédent.

Sources : Binance ; CNBC

Et vous ?

Pensez-vous que cette information est crédible ou pertinente ?
Quel est votre avis sur le sujet ?

Voir aussi :

Des pirates informatiques dérobent 1,5 milliard de dollars de cryptomonnaies à une bourse de cryptomonnaies dans le cadre du "plus grand casse numérique jamais réalisé"

Une vulnérabilité majeure dans les portefeuilles matériels bitcoin Coldcard a permis à des cybercriminels de dérober plus de 130 millions de dollars, les pirates n'ont jamais touché le moindre appareil

Comment la Corée du Nord a réalisé un vol de cryptomonnaies de 1,5 Md $, le plus important de l'histoire. L'attaque de Bybit n'a pas piraté l'infrastructure ni exploité le code des contrats intelligents