Piratage de Binance : le rapport officiel indique que l’attaque a commencé par un faux entretien d’embauche et l’utilisation d’un outil d’IA interne. Que s’est-il passé et quelles leçons en tirer ?
L’essentiel
Binance a publié le 3 novembre son rapport préliminaire : l’attaque avait commencé plusieurs mois plus tôt, avec l’installation d’un faux logiciel et un faux entretien d’embauche visant un ingénieur.
À l’aide d’un ordinateur infecté, l’attaquant a utilisé un outil d’IA interne, volé des identifiants et accédé au service qui signe les transactions des portefeuilles.
Binance estime les pertes à environ 6,34 milliards de dollars, affirme avoir déjà gelé ou intercepté 2,85 milliards de dollars et indique qu’au 31 octobre, 98 % des jetons avaient été rétablis.
La leçon pour tout le monde : les offres d’emploi et les téléchargements depuis les moteurs de recherche sont aujourd’hui les portes d’entrée privilégiées des attaquants.
Binance a publié ce 3 novembre son rapport préliminaire sur le piratage du 29 octobre, mais l’histoire ne commence pas ce jour-là : elle débute plusieurs mois plus tôt, avec l’installation d’un logiciel piégé et un faux entretien d’embauche visant l’un de ses ingénieurs. Une fois cette porte ouverte, l’attaquant a utilisé un outil d’intelligence artificielle interne à l’entreprise, volé des identifiants et accédé au service qui signe les transactions de ses portefeuilles. Nous vous expliquons ce qui s’est passé, étape par étape, les chiffres communiqués par Binance et la leçon à en tirer pour toute personne travaillant dans les cryptomonnaies ou y investissant.
Les chiffres communiqués par Binance
Comment l’attaque a été préparée, selon Binance
La nuit du vol, heure par heure (UTC)
Qu’est-ce qu’EIP-7702 et pourquoi suspendre les retraits n’a pas suffi
Ce que Binance a changé et la suite
La leçon : comment les attaquants s’infiltrent aujourd’hui
Le rapport, intitulé « Incidente de seguridad del 29 de octubre: Hallazgos iniciales y actualización de respuesta », a été publié par le compte officiel de Binance Latinoamérica sur X. L’entreprise commence par présenter ses excuses : « Cela n’aurait pas dû se produire. » Suivez au jour le jour l’état des retraits et de la preuve de réserves sur notre page Binance aujourd’hui.
Les chiffres communiqués par Binance
Montant touché : environ 6.340 millions de dollars US en actifs numériques.
Montant gelé ou intercepté : environ 2.850 millions de dollars US, « sous réserve de rapprochement et de la volatilité des prix du marché ».
Montant remplacé : au 31 octobre, 98 % des actifs en jetons touchés, vérifiables dans sa preuve de réserves. Binance affirme avoir déjà mis de côté « plus de 100 % » du montant nécessaire et acheter le reste, composé de monnaies moins liquides.
Qui supporte la perte ? « Binance assumera l’impact financier des fonds volés, pas nos utilisateurs. »
Attention au chiffre de 98 % : dans son annonce de rétablissement du 2 novembre, Binance parlait d’« environ 95 % » des actifs touchés. Il s’agit de mesures différentes (les 98 % concernent les jetons touchés), et l’entreprise n’explique pas cet écart. Si vous souhaitez vérifier votre propre solde, suivez ce guide sur la preuve de réserves.
Comment l’attaque a été préparée, selon Binance
Juin 2026 : un faux téléchargement. Un ingénieur de l’équipe chargée des opérations sur les portefeuilles a recherché un outil de programmation avec IA dans un moteur de recherche et téléchargé une version piégée de Homebrew, un gestionnaire de paquets très utilisé sur les ordinateurs Mac. L’équipe de sécurité a détecté l’anomalie, remplacé l’équipement et renouvelé ses identifiants, mais son rôle et celui de ses collègues avaient été exposés à l’attaquant.
Septembre : le faux entretien d’embauche. Un autre ingénieur a été contacté sur une plateforme d’emploi légitime par une personne se faisant passer pour un chef de projet. Il y a d’abord eu un entretien en visioconférence avec une prétendue responsable des ressources humaines, qui lui a même montré des photos et des vidéos personnelles pour gagner sa confiance, puis un second entretien sur une application de messagerie avec un prétendu PDG d’une entreprise fictive. On lui a finalement demandé de télécharger un « exercice » : un dépôt de code contenant un programme malveillant, qui s’est exécuté sur son ordinateur professionnel. Il s’agissait d’un nouveau logiciel malveillant (« zero-day ») que les outils de sécurité n’ont pas détecté ; il a remplacé un composant légitime d’un outil de développement et effacé ses traces.
20 octobre : l’IA interne comme passerelle. Depuis cet ordinateur, l’attaquant a utilisé un outil d’IA interne de Binance pour prendre le contrôle des équipements de deux autres ingénieurs. Sur l’un d’eux, il a trouvé une autorisation (un « jeton ») permettant de déployer des conteneurs, c’est-à-dire des ensembles logiciels prêts à être exécutés sur des serveurs.
29 octobre : l’attaque. Entre 17:15 et 19:56 UTC, l’attaquant s’est introduit dans l’ordinateur d’un ingénieur, a utilisé les identifiants volés de l’autre, déployé un conteneur et activé un programme malveillant ayant accès au service interne qui signe les transactions des portefeuilles.
Binance affirme qu’il ne s’agissait pas d’« une brèche isolée ni d’un simple incident d’hameçonnage », mais d’une campagne en plusieurs étapes. Depuis le début de 2026, son équipe de sécurité a détecté et déjoué 57 tentatives liées à la Corée du Nord. Le rapport rappelle que le FBI attribue l’attaque à ce pays.
La nuit du vol, heure par heure (UTC)
De 20:05 à 20:09 : cinq portefeuilles chauds de Binance envoient 233,46 millions de XRP à une adresse appartenant à l’attaquant.
Ensuite : environ 970.500 SOL et 44,2 millions d’OP sont transférés depuis les portefeuilles Solana et Optimism. Une alerte interne signale des transferts de gros volumes et Binance ouvre une enquête.
Ensuite : un portefeuille chaud envoie 18.270 BTC à l’attaquant.
Ethereum : l’attaquant utilise EIP-7702 pour prendre partiellement le contrôle d’un portefeuille chaud (nous vous expliquons cela ci-dessous).
23:56 : le dernier transfert non autorisé est confirmé : 2.961,9 ETH. Binance affirme qu’il n’y en a pas eu d’autres ensuite.
30 octobre, 00:10 : Binance révoque l’autorisation malveillante du portefeuille « Binance14 ».
Qu’est-ce qu’EIP-7702 et pourquoi suspendre les retraits n’a pas suffi
EIP-7702 est une fonctionnalité d’Ethereum introduite avec la mise à jour Pectra. Elle permet à un compte de « prêter » certaines autorisations à un contrat intelligent, sans pour autant céder sa clé privée. Imaginez que vous donniez à quelqu’un une copie de la clé d’une seule porte de votre maison.
L’attaquant a utilisé le service de signature pour donner cette copie à un contrat lui appartenant. Selon Binance, il a envoyé 50 transactions pour manipuler le compteur du compte (le nonce) et installer l’autorisation. Le problème, c’est que cette autorisation réside dans la blockchain elle-même : même après que Binance a suspendu les retraits et désactivé ses portefeuilles chauds, l’autorisation restait active et l’attaquant pouvait continuer à déplacer des fonds.
La révocation n’était pas non plus immédiate. Le portefeuille utilisait la MPC (calcul multipartite) : la clé est répartie en plusieurs parties, et aucune d’entre elles ne peut signer la révocation instantanément. L’équipe a dû mettre au point une procédure spéciale, ce qui a prolongé la mise en sécurité.
Ce que Binance a changé et la suite
Au 3 novembre, Binance affirme avoir reconstruit dans un nouvel environnement le système de portefeuilles touché et l’outil d’IA interne, remplacé les équipements compromis, désactivé les identifiants des ingénieurs concernés, vérifié les appareils de tous les employés et renforcé la détection des anomalies ainsi que les contrôles des portefeuilles. L’entreprise annonce un audit indépendant de cybersécurité, des investissements supplémentaires dans la sécurité de l’IA et un fonds de recherche en sécurité avec des entreprises du secteur. Certains détails techniques resteront confidentiels, précise-t-elle.
La leçon : comment les attaquants s’infiltrent aujourd’hui
Le rapport confirme une leçon qui vaut pour tout le monde, pas seulement pour les employés d’une plateforme d’échange :
Les offres d’emploi servent d’appât. Si une « entreprise » vous demande de télécharger un programme ou un dépôt de code pour un test technique, méfiez-vous, même si l’entretien semble professionnel et que le contact provient d’une plateforme sérieuse.
Téléchargez uniquement depuis le site officiel. La première étape de l’attaque a été un faux installateur trouvé dans un moteur de recherche. Saisissez vous-même l’adresse du site ou utilisez la boutique officielle.
L’IA est aussi une porte d’entrée. Les outils d’IA ayant accès aux systèmes internes élargissent les possibilités de quiconque s’introduit dans un seul ordinateur.
Vos fonds : Binance répète que les utilisateurs ne supporteront pas la perte. Personne chez Binance ne vous demandera votre mot de passe ni de déplacer vos fonds pour les « protéger ».
Nous avons raconté le vol dès le premier jour dans cet article.
Source : Binance Latinoamérica sur X, « Incidente de seguridad del 29 de octubre: Hallazgos iniciales y actualización de respuesta » (3 novembre 2026) ; Binance, « Security Incident | Recovery Update #5 » (2 novembre). Explications : Criptoinforme.
#BinanceSquareFamily #BinanceSquare #Binancehacked #AI #BinanceHourlyDepositsExceedWithdrawals $BTC $ETH $BNB