Un faux entretien d'embauche, premier pas du piratage de 6,3 milliards chez Binance

Binance a publié son premier récit du départ d'environ 6,3 milliards de dollars de ses systèmes, et le point d'entrée n'était pas un contrat intelligent défaillant. C'était un entretien d'embauche.

Selon le rapport du 3 novembre, un ingénieur logiciel de Binance cherchait un nouveau poste en septembre. Une personne se présentant comme directrice de projet l'a contacté via une plateforme de recrutement légitime, a mené un entretien en ligne avec une fausse responsable RH et partagé des comptes sociaux avec photos personnelles pour inspirer confiance. Un prétendu PDG a ensuite rejoint un appel vidéo et demandé à l'ingénieur de télécharger un exercice de code sur sa machine de travail. Le fichier contenait un malware inédit, conçu pour passer la sécurité des postes.

Une tentative antérieure

L'entretien de septembre n'était pas la première tentative. En juin, un autre ingénieur avait installé un paquet Homebrew modifié en cherchant un outil d'IA. Les attaquants avaient diffusé une version altérée contenant du code malveillant et compromis la machine. Binance dit l'avoir détecté et remplacé l'appareil, mais les ingénieurs de l'équipe des portefeuilles restaient exposés.

Le 20 octobre, l'attaquant a utilisé la machine compromise via le faux entretien, plus un outil d'IA interne, pour atteindre les ordinateurs de deux ingénieurs travaillant sur les portefeuilles. Le 29 octobre, avec des identifiants volés, il a mis en place un environnement logiciel et exécuté du code. Les fonds ont commencé à sortir à 20 h 05 UTC.

EIP-7702 et le portefeuille chaud

L'attaquant a exploité EIP-7702, une fonction d'Ethereum, pour accorder des droits d'exécution non autorisés sur les portefeuilles chauds de Binance. Le système reposant sur le calcul multipartite (MPC), aucune clé privée seule ne pouvait révoquer cette permission. La gestion de l'incident a duré de la fin du 29 octobre à 00 h 10 UTC le 30.

Binance affirme avoir gelé environ 2,85 milliards de dollars et récupéré près de 98 % des jetons concernés, sans perte financière pour les utilisateurs.

Attribution et démenti

Reuters rapporte que le FBI attribue l'attaque à TraderTraitor, un groupe lié à la Corée du Nord, a publié des adresses de portefeuilles et demandé aux plateformes de bloquer les transactions. AP rapporte que Kim Yo Jong, sœur du dirigeant nord-coréen, a rejeté l'accusation, la qualifiant de provocation politique et affirmant que Washington cherche à lier Pyongyang à la cybercriminalité mondiale.

Binance dit avoir bloqué 57 tentatives d'attaque suspectées d'être liées à la Corée du Nord cette année, et prévoit des experts indépendants, plus d'investissement dans la détection par IA, un fonds de recherche et des partenariats avec de grands acteurs de l'IA.

Ce que l'affaire montre

Le maillon faible était une personne faisant quelque chose de normal : postuler, installer un outil de développement. L'attaque n'avait pas besoin d'une faille dans le code de la plateforme ; elle avait besoin d'un employé qui fasse confiance à un processus familier.

Deuxième point : l'architecture des portefeuilles a acheté du temps, pas l'immunité. Le MPC a empêché qu'une clé unique annule la permission de l'attaquant, et cette même propriété a limité la vitesse de réaction. Geler 2,85 milliards et récupérer l'essentiel est un bon résultat ; mais c'est la fenêtre de récupération, pas le montant volé, qui doit être conçue.

Source : rapport d'incident de Binance du 3 novembre 2026, avec les dépêches Reuters et AP relayées par VnExpress.

AUTEUR

À propos d'ABN Asia : Ai-Banking-NetworkSecurity (ABN), ABN Asia a été fondé en 2012 par des universitaires et d'anciens étudiants de Hongrie, des Pays-Bas, de Russie, d'Allemagne et du Japon. Nous partageons une passion commune et une vision solide de la technologie, apportant innovation et qualité supérieure à nos clients. Notre devise : Meilleur. Plus rapide. Plus sûr. Dans la plupart des cas : Moins cher.

Contactez-nous pour vos besoins en services informatiques, conseil en transformation numérique, solutions logicielles adaptées, ou si vous lancez un appel d'offres informatique (RFP) auquel nous souhaitons participer. Vous pouvez nous écrire à [email protected]. Nous sommes prêts à vous accompagner sur tous vos besoins technologiques.