Binance, un faux entretien d’embauche à l’origine du piratage record

Binance a publié le 3 novembre un compte rendu détaillé de l’attaque qui a permis à des pirates de dérober environ 6,3 milliards de dollars sur la plateforme d’échange de cryptomonnaies le 29 octobre, le plus important vol de l’histoire du secteur. Selon la société, l’opération a été préparée pendant plus de quatre mois et a reposé sur un faux processus de recrutement, des outils de développement piégés et le détournement d’un outil interne d’intelligence artificielle. Le FBI a attribué l’attaque à des pirates liés à la Corée du Nord, ce que Pyongyang dément.

Quatre mois de préparation

Date	Étape de l’attaque selon Binance
Juin 2026	Un ingénieur chargé des portefeuilles installe une version piégée d’Homebrew, un outil de développement répandu. Binance détecte le logiciel malveillant, remplace la machine et renouvelle les identifiants, mais les pirates ont déjà recueilli des informations sur l’équipe
Septembre 2026	Un second ingénieur est approché sur une plateforme de recrutement pour un poste dans une société fictive. Après un entretien avec un faux responsable des ressources humaines puis un prétendu dirigeant, il est invité à télécharger un exercice de programmation sur son ordinateur professionnel
Septembre 2026	L’exercice, exécuté lors de son installation, remplace un outil de développement interne par une version malveillante qui établit une connexion avec les pirates, sans être détecté par la protection des postes de travail
20 octobre 2026	Depuis la machine compromise, les pirates utilisent un outil d’intelligence artificielle interne pour atteindre les postes de deux autres ingénieurs et obtenir des identifiants de déploiement
29 octobre 2026	Avec ces identifiants, ils déploient un conteneur et un script malveillant dans l’infrastructure de signature des portefeuilles chauds ; le vol se déroule sur environ quatre heures
30 octobre 2026	Fin du confinement de l’attaque à 0 h 10 UTC

Selon CoinDesk, les assaillants ont exploité le mécanisme EIP-7702 du réseau Ethereum sur un portefeuille chaud, ce qui leur a permis d’effectuer des transferts en dehors du processus normal de retrait. Les portefeuilles chauds de Binance reposant sur le calcul multipartite, qui répartit la signature entre plusieurs parties, aucune clé unique ne permettait de révoquer les accès, ce qui explique la durée du confinement. Le directeur général de Binance, Richard Teng, a décrit une campagne construite sur plusieurs mois et non une erreur isolée.

98 % des actifs reconstitués sur fonds propres

Binance indique avoir reconstitué 98 % des actifs dérobés en puisant dans ses fonds propres, le solde portant sur des cryptomonnaies peu échangées et plus difficiles à acquérir sur le marché. La plateforme assure que les fonds de ses clients sont couverts. Sur les 6,34 milliards de dollars dérobés, environ 2,85 milliards ont été gelés, ce qui empêche les pirates de les utiliser ou de les convertir. Les autorités américaines s’efforcent de retracer le reste des fonds.

Indicateur	Montant
Montant dérobé	6,34 milliards de dollars
Montant gelé	Environ 2,85 milliards de dollars
Part reconstituée par Binance	98 %
Précédent record, Bybit (février 2025)	Environ 1,4 milliard de dollars

Le piratage dépasse de plus de quatre fois le précédent record, le vol d’environ 400 000 ethers subi par Bybit en février 2025, que le FBI avait également attribué à des pirates nord-coréens. Binance indique avoir bloqué en 2026 cinquante-sept tentatives d’intrusion qu’elle soupçonne d’être liées à la Corée du Nord, dont beaucoup reposaient sur des méthodes comparables. La plateforme fera appel à des experts indépendants pour examiner l’incident. Kim Yo Jong, sœur du dirigeant nord-coréen Kim Jong Un, a qualifié l’attribution du FBI de « grave provocation politique ».

Le recrutement, vecteur d’attaque privilégié

Le recours à de faux processus de recrutement visant les développeurs est un mode opératoire documenté de longue date par les spécialistes de la cybersécurité. Il consiste à faire exécuter par la cible, sur son poste de travail, un exercice de programmation contenant un code malveillant. Le cas de Binance montre qu’une seule exécution sur un ordinateur disposant d’accès à l’infrastructure de production peut suffire, même après la détection et le traitement d’une première intrusion. Il illustre aussi un risque nouveau : les outils d’intelligence artificielle internes capables d’agir sur les systèmes de l’entreprise peuvent être utilisés par un attaquant qui en prend le contrôle.

Binance hors du cadre européen depuis juillet

Pour les investisseurs européens, l’incident intervient alors que Binance ne dispose plus d’autorisation dans l’Union. Le règlement européen MiCA impose depuis le 30 décembre 2024 un agrément de prestataire de services sur crypto-actifs pour opérer dans l’Union. La France avait accordé aux plateformes enregistrées sous l’ancien régime national une période transitoire, qui a pris fin le 1er juillet 2026. Binance n’ayant obtenu d’agrément dans aucun État membre, sa filiale Binance France SAS, enregistrée auprès de l’Autorité des marchés financiers depuis le 4 mai 2022, a été radiée d’office le 2 juillet 2026, parmi 54 prestataires dans la même situation. La plateforme avait informé ses clients fin juin qu’aucune entité du groupe n’obtiendrait d’agrément avant le 30 juin, et a cessé d’accepter de nouveaux clients et de nouveaux dépôts en France à compter du 1er juillet. Les prestataires agréés au titre de MiCA sont soumis à des exigences de fonds propres, de conservation des actifs et d’organisation de la sécurité informatique, contrôlées par leur autorité nationale. Le 21 octobre, l’AMF, l’ACPR, la Banque de France et la direction générale du Trésor ont publié des propositions conjointes en vue de la révision du règlement.