Le piratage de Binance, révélé le 29 octobre 2026, met en lumière une méthode d’intrusion particulièrement élaborée : plutôt que de commencer par attaquer directement les serveurs de la plateforme, les cybercriminels ont exploité la confiance d’un employé à travers un faux processus de recrutement. Un ingénieur logiciel a ainsi été amené à télécharger et exécuter un exercice technique piégé sur son ordinateur professionnel.
Dans son rapport préliminaire publié le 3 novembre, Binance décrit une campagne en plusieurs étapes associant ingénierie sociale, logiciels malveillants, compromission de postes de travail et détournement d’outils internes. L’opération a abouti au transfert non autorisé d’environ 6,34 milliards de dollars d’actifs numériques, selon les chiffres communiqués par l’entreprise. Le FBI attribue l’attaque à des acteurs nord-coréens suivis sous le nom de TraderTraitor. Binance Blog on Binance Square+2
L’affaire montre comment une simple candidature professionnelle peut devenir le point de départ d’une compromission touchant des infrastructures financières critiques. Elle rappelle également que les mécanismes de sécurité techniques ne suffisent pas toujours lorsque les attaquants parviennent à s’introduire dans l’environnement de travail d’un collaborateur.
Une fausse entreprise et des entretiens vidéo pour gagner la confiance de l’employé
Selon le rapport de Binance, la campagne de recrutement frauduleuse commence en septembre 2026. Un ingénieur logiciel de l’exchange avait publié son profil sur une plateforme légitime de recherche d’emploi. Celui-ci mentionnait notamment son emploi chez Binance, ce qui a permis aux attaquants d’identifier son appartenance à une équipe stratégique.
Un individu se présentant comme un directeur de projet le contacte alors pour lui proposer une opportunité professionnelle. La démarche semble crédible : le premier entretien est organisé en visioconférence avec une personne qui joue le rôle d’un responsable des ressources humaines.
Pour renforcer la confiance de sa cible, cette fausse recruteuse partage également un compte sur les réseaux sociaux contenant des photographies et des vidéos personnelles. Cette mise en scène donne l’impression que l’interlocutrice possède une identité réelle et une vie sociale vérifiable.
Le deuxième entretien se déroule sur une application de messagerie couramment utilisée. Cette fois, l’employé échange avec une personne qui prétend être le dirigeant de l’entreprise recruteuse. Mais cette société est fictive.
À la fin de l’échange, le candidat reçoit un exercice technique présenté comme une évaluation de ses compétences. Il est invité à télécharger un dépôt contenant du code et à l’exécuter sur son ordinateur professionnel.
C’est précisément à cette étape que le piège se referme. Le dépôt contient du code malveillant qui s’exécute pendant l’installation et déclenche plusieurs actions non autorisées.
Binance souligne que la sophistication de cette opération réside notamment dans la préparation de la relation avec la victime : les attaquants ne se sont pas contentés d’envoyer un lien suspect. Ils ont construit un processus de recrutement crédible, avec plusieurs interlocuteurs et des éléments destinés à rassurer leur cible. Binance Blog on Binance Square+1
Un malware remplace l’outil de développement pyenv
Le rapport de Binance apporte un détail technique particulièrement important : le logiciel malveillant ne se présente pas simplement comme un programme inconnu. Il détourne un outil de développement déjà présent sur la machine de l’ingénieur.
Les attaquants ciblent pyenv, un utilitaire couramment utilisé par les développeurs Python pour gérer plusieurs versions du langage sur un même environnement.
Le script malveillant remplace un composant légitime de pyenv par une version modifiée. Il crée d’abord un nouveau fichier, modifie son contenu, supprime l’ancien exécutable puis renomme le fichier piégé pour qu’il prenne sa place.
L’objectif est de faire passer le composant malveillant pour un élément normal de l’environnement de développement.
Cette manipulation permet au code hostile de s’exécuter tout en se fondant dans les outils habituels de l’ingénieur. Le malware communique ensuite avec un serveur externe contrôlé par les attaquants et prend des mesures pour dissimuler ses activités et effacer les traces de son passage.
Binance indique que ses outils de sécurité des terminaux n’ont pas détecté ce malware zero-day au moment de l’attaque. Autrement dit, la présence d’un antivirus ou d’un outil de protection des postes de travail n’a pas suffi à empêcher cette compromission. Binance Blog on Binance Square+1
Une première intrusion dès juin 2026 avait déjà exposé l’équipe des portefeuilles
L’enquête de Binance révèle que le faux entretien n’était pas le seul élément de la campagne.
Dès juin 2026, un autre ingénieur appartenant à l’équipe chargée du développement et des opérations des portefeuilles avait téléchargé un installateur Homebrew falsifié en recherchant un outil de développement basé sur l’intelligence artificielle.
Cette première anomalie avait été détectée par les équipes de sécurité de Binance. L’entreprise avait alors remplacé l’ordinateur concerné et renouvelé les identifiants associés.
Cependant, selon son rapport, les attaquants avaient déjà obtenu des informations sur le rôle de cet ingénieur et sur plusieurs de ses collègues travaillant dans l’infrastructure des portefeuilles.
Cette première compromission leur aurait donc fourni des renseignements utiles pour préparer la suite de l’opération.
En septembre, le faux recrutement a permis de compromettre un deuxième ingénieur. Les attaquants ont ensuite exploité cette nouvelle porte d’entrée pour progresser dans le réseau interne.
Le 20 octobre, ils ont utilisé le poste compromis et des outils internes d’intelligence artificielle pour prendre le contrôle des appareils de deux autres ingénieurs, dont celui de l’employé initialement ciblé en juin.
Ils ont également découvert sur l’un des postes un jeton disposant de permissions de déploiement de conteneurs. Cet accès allait jouer un rôle déterminant dans la phase finale de l’attaque. Binance Blog on Binance Square+1
Des outils internes d’IA utilisés pour progresser dans le réseau
L’un des aspects les plus préoccupants de cette affaire est l’utilisation des outils internes d’intelligence artificielle comme point de pivot.
Les attaquants ne se sont pas limités à exploiter le poste de travail infecté. Ils ont utilisé les accès disponibles sur cet ordinateur pour interagir avec des outils internes et atteindre d’autres machines appartenant à des développeurs de l’infrastructure des portefeuilles.
Cette étape montre qu’un outil légitime, même lorsqu’il est conçu pour améliorer la productivité des équipes, peut devenir un vecteur de propagation si les permissions, les jetons et les connexions entre environnements ne sont pas suffisamment cloisonnés.
Dans ce scénario, le problème ne réside pas nécessairement dans une vulnérabilité propre au modèle d’IA. C’est plutôt l’utilisation des autorisations accessibles depuis un environnement déjà compromis qui a permis aux attaquants d’étendre leur présence.
Le cas Binance illustre ainsi un risque croissant pour les entreprises qui intègrent des assistants IA et des outils automatisés à leurs environnements de développement : ces solutions peuvent disposer d’un accès à des dépôts de code, à des ressources internes ou à des fonctions de déploiement. Si un poste utilisateur est compromis, ces connexions peuvent élargir considérablement la surface d’attaque.
29 octobre : les pirates prennent le contrôle des opérations de signature des portefeuilles
Après plusieurs semaines de préparation, les attaquants passent à l’étape finale.
Selon la chronologie détaillée par Binance, entre 01 h 15 et 03 h 56 le 30 octobre, heure UTC+8, ils se connectent à l’ordinateur d’un troisième ingénieur, déploient un conteneur à l’aide des identifiants dérobés précédemment et exécutent un script malveillant.
Ils parviennent ainsi à accéder de manière non autorisée au service interne de signature des transactions des portefeuilles.
Ce service joue un rôle essentiel dans le fonctionnement d’un exchange : il participe à l’autorisation cryptographique des transferts d’actifs numériques. Sa compromission peut donc permettre de contourner les procédures normales de retrait.
Les premiers transferts massifs sont observés le 29 octobre en temps universel, correspondant au 30 octobre dans la chronologie UTC+8 utilisée par Binance.
En seulement quatre minutes, cinq portefeuilles chauds de Binance transfèrent 233,46 millions de XRP vers des adresses contrôlées par les attaquants.
D’autres actifs sont ensuite transférés, notamment :
- Environ 970 500 SOL sur le réseau Solana ;
- Environ 44,2 millions de OP sur le réseau Optimism ;
- Environ 18 270 BTC ;
- D’autres actifs numériques sur plusieurs réseaux.
Le montant total des actifs concernés est estimé par Binance à environ 6,34 milliards de dollars. Binance Blog on Binance Square+2
EIP-7702 : une autorisation malveillante complique le blocage des transactions
L’un des éléments techniques les plus importants du rapport concerne l’exploitation du mécanisme EIP-7702 sur Ethereum.
Cette fonctionnalité permet à un compte de déléguer certaines capacités d’exécution à un contrat intelligent, sans avoir à exposer directement sa clé privée.
Dans l’incident, les attaquants ont utilisé le service de signature compromis pour mettre en place des autorisations donnant à un contrat intelligent qu’ils contrôlaient certaines permissions sur les portefeuilles chauds concernés.
Binance explique que les pirates ont soumis 50 transactions signées afin de manipuler les nonces des comptes et d’établir ces délégations malveillantes.
Le problème est que ces autorisations existaient déjà sur la blockchain et pouvaient fonctionner indépendamment de l’infrastructure habituelle de retrait de Binance.
L’exchange a donc rencontré une difficulté supplémentaire : suspendre les retraits ne suffisait pas à arrêter les transferts non autorisés.
Les portefeuilles concernés reposaient en outre sur une architecture MPC (Multi-Party Computation), dans laquelle la signature est répartie entre plusieurs participants. Il n’existait donc pas une clé privée unique permettant de révoquer immédiatement les autorisations malveillantes.
Binance a dû élaborer et exécuter une procédure spécifique de révocation sur la blockchain.
Le dernier transfert non autorisé identifié, portant sur 2 961,9 ETH, a été confirmé à 07 h 56 UTC+8 le 30 octobre. L’entreprise indique avoir ensuite effectué une nouvelle opération d’autorisation pour supprimer le code de délégation EIP-7702. Binance Blog on Binance Square+1
2,85 milliards de dollars gelés et 98 % des actifs concernés reconstitués
Face aux transferts suspects, Binance a déclenché plusieurs mesures d’urgence : suspension des retraits, coordination avec les partenaires de l’écosystème et tentatives de révocation des autorisations malveillantes.
Selon son rapport préliminaire, environ 2,85 milliards de dollars d’actifs ont été gelés ou bloqués.
L’entreprise affirme également avoir décidé de couvrir intégralement les pertes liées à l’incident afin que les utilisateurs concernés ne supportent pas directement le coût du vol.
Dans une mise à jour publiée le 31 octobre, Binance indiquait avoir déjà reconstitué 98 % des actifs concernés et disposer de ressources supérieures à 100 % du montant nécessaire à la couverture des pertes. Les actifs restants, moins liquides, devaient être rachetés progressivement.
Ces chiffres doivent être distingués : les 6,34 milliards de dollars correspondent à la valeur des actifs impliqués dans l’incident selon Binance, tandis que les 2,85 milliards représentent les actifs gelés ou bloqués. Le montant reconstitué par l’entreprise correspond à sa réponse financière envers les utilisateurs. Binance Blog on Binance Square+1
Le FBI attribue l’attaque au groupe nord-coréen TraderTraitor
Le 31 octobre 2026, le FBI a publié une alerte attribuant le vol à la Corée du Nord et désignant cette activité sous le nom de TraderTraitor.
L’agence américaine indique avoir observé la conversion des actifs dérobés, principalement vers l’Ether (ETH), et anticipe leur blanchiment à travers des protocoles de finance décentralisée et des services d’échange instantané.
Le FBI, le Secret Service américain et l’unité d’enquête criminelle de l’IRS ont appelé les acteurs du secteur à surveiller les transactions liées aux adresses identifiées et à bloquer les fonds associés à cette opération. FBI+1
Les analyses de Chainalysis et de TRM Labs convergent également vers une implication probable d’acteurs nord-coréens. Chainalysis estime notamment que les fonds ont été déplacés à travers plusieurs réseaux et que les méthodes employées s’inscrivent dans des campagnes déjà observées.
Il convient toutefois de distinguer l’attribution des autorités américaines des faits techniques établis dans le rapport de Binance. La Corée du Nord a rejeté les accusations, selon Associated Press. Chainalysis+2
Une technique de recrutement déjà utilisée dans d’autres attaques
Pour Chainalysis, le faux entretien de Binance s’inscrit dans une stratégie plus large d’ingénierie sociale associée aux opérations nord-coréennes.
L’entreprise d’analyse blockchain indique avoir attribué plus de 14,3 millions de dollars de pertes, au cours des 18 derniers mois, à des opérations similaires utilisant de faux entretiens et des logiciels malveillants.
Ces campagnes ont visé des particuliers, des portefeuilles privés, des organisations, des protocoles et des organisations autonomes décentralisées (DAO).
Chainalysis décrit cette méthode comme une forme d’« entretien contagieux » : les attaquants exploitent un processus de recrutement pour infecter l’ordinateur d’un candidat, puis utilisent ses accès et ses permissions pour atteindre des ressources plus sensibles.
L’organisation rappelle également que les opérations nord-coréennes ne se limitent pas aux faux recruteurs. Des individus peuvent aussi se présenter comme de véritables candidats afin d’obtenir un emploi dans des entreprises étrangères, notamment dans le secteur informatique, et accéder directement à leurs systèmes.
Cette combinaison de fraude au recrutement, d’infiltration professionnelle et de vol de cryptomonnaies constitue un enjeu important pour les entreprises technologiques et financières. Chainalysis+1
Les profils LinkedIn des employés : une source de renseignement pour les attaquants
L’affaire met en évidence un risque souvent sous-estimé : les informations professionnelles publiées sur les réseaux sociaux et les plateformes de recrutement.
Dans le cas de Binance, le profil de l’ingénieur indiquait son employeur et son activité professionnelle. Ces informations ont permis aux attaquants de sélectionner une cible présentant un intérêt stratégique.
Les profils publics peuvent également révéler :
- Les fonctions occupées et les responsabilités techniques ;
- Les outils et technologies utilisés ;
- Les équipes auxquelles les employés appartiennent ;
- Les relations professionnelles entre collaborateurs ;
- Les changements de poste et les recherches d’emploi ;
- Les compétences donnant accès à des environnements sensibles.
Ces informations, prises séparément, ne constituent pas nécessairement une faille de sécurité. Mais leur combinaison peut aider un groupe criminel à construire une opération de ciblage très personnalisée.
L’objectif n’est donc pas d’interdire aux employés de publier leur parcours professionnel. Il s’agit plutôt de sensibiliser les équipes aux risques liés à la divulgation de détails techniques sensibles et aux sollicitations inattendues.
Les mesures de sécurité à renforcer face aux faux recrutements
L’incident Binance fournit plusieurs enseignements aux entreprises, en particulier celles qui manipulent des actifs financiers ou disposent d’infrastructures critiques.
Pour les collaborateurs :
- Ne jamais exécuter un dépôt de code reçu pendant un entretien sur un ordinateur professionnel.
- Réaliser les tests techniques dans un environnement isolé, sans accès aux ressources internes.
- Vérifier l’existence réelle de l’entreprise et l’identité du recruteur par des canaux indépendants.
- Se méfier des entretiens qui imposent l’installation d’un logiciel, d’une extension ou d’un outil de visioconférence inhabituel.
- Signaler immédiatement toute sollicitation suspecte au service informatique ou à l’équipe de sécurité.
Pour les entreprises :
- Mettre en place des environnements de développement isolés et des politiques strictes d’exécution du code.
- Limiter les permissions des jetons d’accès et leur durée de validité.
- Séparer les postes de développement des systèmes de signature des transactions.
- Contrôler les accès accordés aux outils internes d’IA et aux plateformes de déploiement.
- Surveiller les modifications inattendues des outils de développement et des fichiers système.
- Renforcer la détection comportementale sur les terminaux, les comptes et les services sensibles.
- Prévoir des procédures d’urgence capables de révoquer rapidement les autorisations on-chain.
Binance affirme avoir reconstruit les systèmes de portefeuilles concernés dans un environnement neuf, renouvelé les identifiants compromis, remplacé les appareils touchés et renforcé les contrôles d’accès. L’entreprise annonce également une revue indépendante de sécurité et des investissements supplémentaires dans la détection des anomalies et la sécurité des environnements de développement. Binance Blog on Binance Square+1
Conclusion : le recrutement devient une porte d’entrée vers les infrastructures financières
Le piratage de Binance montre que les cybercriminels n’ont pas toujours besoin de découvrir une faille technique directement exploitable sur les serveurs d’une entreprise. Ils peuvent commencer par identifier un collaborateur, étudier son profil professionnel, gagner sa confiance et lui faire exécuter un programme malveillant dans le cadre d’une démarche apparemment légitime.
Dans cette affaire, le faux entretien n’était que le premier maillon d’une opération beaucoup plus vaste. Les attaquants ont combiné compromission de postes de travail, détournement d’outils internes, récupération d’identifiants et abus du mécanisme de signature des transactions pour atteindre les portefeuilles de Binance.
L’incident rappelle une réalité essentielle : la sécurité d’une infrastructure financière dépend aussi de la sécurité des personnes, des postes de travail et des outils utilisés au quotidien.
Pour les entreprises du secteur de la cryptomonnaie, mais aussi pour les banques, les fintechs et les sociétés technologiques, la vigilance doit désormais s’étendre aux processus de recrutement. Une offre d’emploi inattendue, un entretien vidéo convaincant ou un exercice de programmation peuvent devenir les éléments d’une attaque soigneusement préparée.
SOURCE : Binance.com
