Hack Binance : Faux Entretien Et Outil Ia Pour 6,3 Milliards

Imaginez qu’un simple entretien d’embauche, mené sur une messagerie grand public, aboutisse au siphonnage de plus de six milliards de dollars depuis les coffres-forts numériques d’une des plus grandes plateformes d’échange de cryptomonnaies au monde. C’est précisément ce qui s’est produit chez Binance fin octobre. Le 3 novembre, la plateforme a publié son rapport initial sur le piratage survenu le 29 octobre, révélant une campagne d’une sophistication rare qui a commencé des mois auparavant. Les chiffres donnent le vertige : 6,34 milliards de dollars ont quitté les hot wallets en quelques minutes seulement. Pourtant, Binance affirme avoir absorbé seule la perte, avec 98 % des actifs touchés déjà reconstitués au 31 octobre et 2,85 milliards de dollars gelés ou interceptés.

Le Rapport Initial De Binance Sur Le Piratage Du 29 Octobre

Le document publié par Binance décrit une attaque en plusieurs étapes, loin d’un simple phishing isolé. L’enquête interne montre que deux ingénieurs ont été compromis en amont, l’un dès juin et l’autre en septembre. Les attaquants ont ensuite exploité un outil IA interne pour progresser de poste en poste jusqu’au service critique de signature des wallets. Cette progression méthodique illustre parfaitement les nouvelles menaces qui pèsent sur les infrastructures crypto, où l’ingénierie sociale et les outils d’intelligence artificielle se combinent de manière redoutable.

Binance précise avoir déjoué 57 tentatives de hack liées à la Corée du Nord en 2026. La 58e a toutefois réussi. Le FBI a attribué l’opération au groupe TraderTraitor, déjà soupçonné du vol de 1,5 milliard de dollars chez Bybit en février 2025. Cette continuité dans les méthodes et les cibles souligne un acteur étatique persistant, doté de ressources considérables et d’une patience stratégique.

Chronologie D’une Compromission En Plusieurs Mois

Tout a commencé en juin. Un ingénieur de l’équipe Wallet DevOps cherchait un outil de codage assisté par IA sur un moteur de recherche. Il est tombé sur une version trafiquée de Homebrew, le gestionnaire de paquets très utilisé par les développeurs sur Mac. La sécurité de Binance a rapidement détecté l’anomalie, remplacé la machine et renouvelé tous les identifiants. Mais le mal était fait : les attaquants connaissaient désormais le rôle précis de cet ingénieur et celui de ses collègues travaillant sur l’infrastructure des wallets.

Le deuxième acte s’est joué en septembre, sur une plateforme d’emploi parfaitement légitime. Un autre ingénieur, dont le profil mentionnait Binance, a été contacté par un prétendu directeur de projet. Un premier entretien vidéo a eu lieu avec une recruteuse qui a partagé son compte de réseau social, photos et vidéos personnelles comprises, afin d’installer la confiance. Le second tour s’est déroulé sur une messagerie grand public, face au soi-disant PDG d’une société fictive. Pour conclure, l’ingénieur a reçu l’ordre de télécharger un « devoir » de code sur son ordinateur de travail.

Ce dépôt contenait un malware zero-day, inconnu des antivirus à ce moment-là. Il a notamment remplacé pyenv, un outil Python, par une version piégée qui communiquait avec un serveur contrôlé par les attaquants. Aucune des protections installées sur le poste n’a réagi. Binance a publié un schéma détaillant les étapes d’exécution de ce malware pour remplacer l’outil pyenv. Cette étape d’infection initiale a fourni un point d’ancrage durable.

Notre enquête indique qu’il s’agissait d’une campagne sophistiquée, menée en plusieurs étapes. Ce n’était ni une intrusion isolée ni un simple incident de phishing.

Binance, rapport initial du 3 novembre 2026

L’Outil Ia Interne Comme Tremplin Vers Les Wallets

Le 20 octobre, les pirates ont accéléré. Depuis l’ordinateur compromis, ils ont détourné un outil d’intelligence artificielle interne de Binance pour prendre le contrôle de deux autres machines. Parmi elles figurait celle de l’ingénieur DevOps visé en juin. Ils y ont découvert un jeton d’autorisation permettant de déployer des conteneurs. Ce jeton a constitué une clé décisive pour la suite de l’opération.

Le 29 octobre, entre 18h15 et 20h56, ils se sont connectés au poste d’un troisième ingénieur, ont déployé un conteneur et lancé leur script. Celui-ci a ouvert un accès au service interne qui signe les transactions des wallets, en dehors du circuit normal des retraits. À partir de là, tout s’est déroulé très rapidement. Cinq hot wallets ont envoyé 233,46 millions de XRP vers une adresse des attaquants entre 21h05 et 21h09, heure de Paris. Ont suivi environ 970 500 SOL, 44,2 millions d’OP sur Optimism et 18 270 BTC.

Le rapport de Binance ne nomme pas explicitement l’outil d’IA en question. La plateforme indique l’avoir reconstruit avec des contrôles d’accès renforcés et promet la création d’un fonds de recherche dédié à la sécurité de l’IA dans la blockchain. Cette opacité relative est compréhensible pour des raisons de sécurité, mais elle soulève des questions légitimes sur la gouvernance des outils internes dans les grandes plateformes crypto.

Pourquoi La Suspension Des Retraits N’a Pas Stoppé Le Drainage Ethereum

Binance a suspendu les retraits dès l’alerte interne. Pourtant, le saignement a continué côté Ethereum. Les pirates ont utilisé le service de signature pour exploiter l’EIP-7702, introduit avec la mise à jour Pectra en mai 2025. Ce mécanisme permet à un compte classique de déléguer une partie de ses pouvoirs à un smart contract, tout en conservant la clé privée hors de portée. Avec 50 transactions signées, les attaquants ont d’abord manipulé le nonce du wallet, puis confié des droits partiels sur un hot wallet de Binance à leur propre contrat.

Ces autorisations vivent directement sur la blockchain. Fermer les retraits côté plateforme ne les annule donc pas. Parce que le hot wallet reposait sur le MPC (calcul multipartite), aucune clé privée unique n’existait pour révoquer immédiatement les délégations malveillantes. L’équipe a dû concevoir et exécuter une procédure spécifique, ce qui a demandé du temps supplémentaire. Le dernier transfert de 2 961,9 ETH n’a été finalisé qu’à 0h56, heure de Paris. La délégation n’a été effacée qu’à 1h10 le 30 octobre.

Parce que le hot wallet reposait sur le MPC, il n’existait aucune clé privée unique permettant de révoquer immédiatement les autorisations EIP-7702 malveillantes. L’équipe a donc dû concevoir et exécuter une procédure spécifique, ce qui a demandé du temps supplémentaire.

Binance, rapport initial du 3 novembre 2026

Le MPC répartit la clé entre plusieurs parties. Cela protège efficacement contre le vol d’une clé unique en temps normal, mais ralentit la riposte dans l’urgence absolue. Cette dualité illustre un arbitrage classique en sécurité des wallets : résilience face au vol d’une part, versus rapidité de réaction face à une compromission du processus de signature.

Réponse De Binance Et Reprise Des Retraits

Binance a assuré absorber seule la perte. Au 31 octobre, 98 % des actifs touchés étaient reconstitués. Les retraits ont rouvert dimanche sur Bitcoin, puis ce mardi à 5h, heure de Paris, sur neuf autres réseaux dont Ethereum, Solana et XRP. Selon le FBI, les pirates de TraderTraitor convertissent déjà le butin en ether pour le blanchir ensuite via la DeFi et des plateformes d’échange instantané. Binance a commandé un audit indépendant du hack et collabore avec les autorités.

La plateforme a également indiqué avoir reconstruit l’outil IA interne avec des contrôles d’accès renforcés. Elle promet par ailleurs un fonds de recherche sur la sécurité de l’IA dans la blockchain. Ces mesures montrent une volonté de tirer les leçons techniques, mais elles ne peuvent effacer le fait que l’accès initial est passé par des vecteurs humains et des outils de productivité détournés.

Le Groupe Tradertraitor Et La Menace Persistante Nord-Coréenne

L’attribution au groupe TraderTraitor par le FBI s’inscrit dans une longue série d’opérations attribuées à la Corée du Nord. Ces acteurs utilisent depuis des années des techniques d’ingénierie sociale très élaborées, ciblant particulièrement les employés des plateformes crypto et des entreprises de sécurité. Le vol de 1,5 milliard chez Bybit en février 2025 montrait déjà leur capacité à exploiter des vulnérabilités dans les processus de signature et les infrastructures internes.

Les méthodes observées ici – malware zero-day, détournement d’outils internes, exploitation de mécanismes on-chain récents comme l’EIP-7702 – confirment une évolution constante. Les acteurs étatiques nord-coréens disposent de temps, de moyens et d’une motivation forte liée au financement de leur programme. Binance a d’ailleurs indiqué avoir bloqué 57 tentatives similaires en 2026, ce qui montre à la fois l’intensité de la pression et l’efficacité relative des défenses jusqu’à cette 58e attaque.

Pyongyang a rejeté les sanctions internationales liées à ce type d’activités, comme le rappelle l’actualité récente. Cette posture diplomatique n’empêche pas la poursuite des opérations cyber. Pour les plateformes, cela signifie que la menace ne disparaîtra pas et qu’elle s’adaptera continuellement aux nouvelles technologies, qu’il s’agisse d’outils d’IA ou de mises à jour de protocoles comme Pectra.

Implications Pour La Sécurité Des Exchanges Et Des Wallets

Cet incident met en lumière plusieurs vulnérabilités structurelles. D’abord, la dépendance à des outils de développement et d’IA internes dont les contrôles d’accès n’ont pas suffi face à un poste déjà compromis. Ensuite, la difficulté de révoquer rapidement des délégations on-chain lorsque le wallet repose sur du MPC. Enfin, l’efficacité redoutable de l’ingénierie sociale ciblant des profils techniques précis via des processus de recrutement apparemment normaux.

Les utilisateurs individuels ne sont pas directement concernés par ce type d’attaque interne, mais l’épisode renforce l’importance des bonnes pratiques : ne jamais télécharger de fichiers ou d’outils depuis des sources non vérifiées, même dans un contexte professionnel apparent, et privilégier les cold wallets pour les montants importants. Pour les plateformes, il devient essentiel de segmenter davantage les environnements, de surveiller les comportements anormaux des outils d’IA et de préparer des procédures de révocation d’urgence adaptées aux nouveaux standards Ethereum.

L’EIP-7702, conçu pour améliorer l’expérience utilisateur en permettant des délégations de comptes, montre ici son revers : une fois signée, une délégation malveillante peut persister indépendamment des contrôles de la plateforme. Les équipes de sécurité devront désormais intégrer ce type de mécanisme dans leurs scénarios de réponse à incident, avec des outils permettant une révocation rapide même en configuration MPC.

Leçons À Tirer Et Perspectives Pour L’Écosystème Crypto

Binance a montré une capacité de réaction financière en absorbant la perte et en reconstituant rapidement les actifs. La reprise des retraits sur la plupart des réseaux en quelques jours témoigne d’une résilience opérationnelle. Cependant, le coût réputationnel et la démonstration qu’un acteur sophistiqué peut encore franchir les défenses d’une plateforme majeure restent significatifs. L’audit indépendant commandé permettra sans doute d’affiner les recommandations.

Pour l’ensemble de l’industrie, cet événement accélère la réflexion sur la sécurisation des outils d’IA internes et sur la gestion des délégations on-chain. Les fonds de recherche annoncés par Binance sur la sécurité de l’IA dans la blockchain pourraient contribuer à développer de meilleures pratiques collectives. En attendant, la vigilance reste de mise : les campagnes de recrutement bidon et les versions trafiquées d’outils populaires continueront d’être des vecteurs privilégiés.

Les investisseurs et les utilisateurs peuvent suivre l’évolution via les communications officielles de Binance et les analyses du FBI sur le blanchiment en cours. La conversion du butin en ether et son passage par la DeFi illustrent une fois de plus la rapidité avec laquelle les fonds volés peuvent être dispersés. Des collaborations accrues entre plateformes, chercheurs et autorités seront nécessaires pour limiter l’efficacité de ces opérations à l’avenir.

En définitive, le piratage de Binance du 29 octobre reste un rappel brutal : même les infrastructures les plus solides peuvent être contournées lorsque l’attaque combine ingénierie sociale prolongée, malware zero-day et exploitation de fonctionnalités récentes de la blockchain. La publication rapide du rapport initial permet à la communauté de comprendre les mécanismes et d’adapter ses défenses. La suite dépendra de la capacité de l’écosystème à intégrer ces leçons avant la prochaine campagne.