Un faux entretien d’embauche a aidé des pirates à dérober 6,3 milliards de dollars à Binance. Les attaquants ont passé des mois à infiltrer la plateforme d’échange, en recourant à des tactiques contre lesquelles d’autres entreprises de cryptomonnaies avaient mis en garde bien avant la faille.
Le 3 novembre, Binance a révélé que l’attaque du 29 octobre avait commencé par la compromission distincte des ordinateurs de deux ingénieurs.
Le premier incident s’est produit en juin, lorsqu’un ingénieur a téléchargé un logiciel altéré alors qu’il recherchait un outil d’IA.
Binance a détecté l’infection, remplacé l’ordinateur et changé les identifiants. Cependant, les attaquants avaient déjà recueilli des informations sur l’employé et l’équipe chargée des portefeuilles.
Puis vinrent les faux entretiens.
https://t.co/sU9dUqLQDH
— Binance (@binance) 3 novembre 2026
Une escroquerie au recrutement coûte plus de 6 milliards de dollars à Binance
En septembre, un autre ingénieur a été approché par l’intermédiaire d’une plateforme de recrutement légitime. Le prétendu employeur a organisé des entretiens vidéo avec un représentant des ressources humaines et une personne se faisant passer pour son PDG.
L’ingénieur a fini par recevoir un exercice de programmation. Les fichiers téléchargés contenaient un logiciel malveillant qui contournait le logiciel de sécurité de l’ordinateur.
Le 20 octobre, les attaquants avaient utilisé l’ordinateur compromis et un outil d’IA interne pour atteindre d’autres ingénieurs de Binance.
Ils ont ensuite dérobé des identifiants de déploiement et s’en sont servis pour introduire des logiciels malveillants dans l’infrastructure des portefeuilles de Binance.
Le 29 octobre, les retraits frauduleux ont commencé. En quelques heures, environ 6,3 milliards de dollars avaient été dérobés.
Binance affirme qu’environ 2,85 milliards de dollars ont été gelés et que 98 % des jetons concernés ont été réapprovisionnés avec les fonds de l’entreprise.
Cette tactique de recrutement était déjà bien connue.
En mai 2025, Kraken a démasqué un agent présumé nord-coréen qui tentait d’intégrer son équipe d’ingénierie.
Coinbase a révélé un autre cas d’infiltration présumée en août 2026, expliquant comment une activité inhabituelle l’avait aidée à repérer un prestataire potentiellement compromis.
Plus directement encore, Microsoft a averti en mars que des pirates liés à la Corée du Nord utilisaient de faux entretiens de programmation pour infecter les ordinateurs des développeurs.
RÉVÉLATION : des entreprises britanniques financent à leur insu le programme nucléaire de la Corée du Nord, révèle une enquête du Telegraph. Se faisant passer pour des télétravailleurs légitimes, les quelque 100 000 agents de l’armée de Kim Jong-un envoient des candidatures à la chaîne et recourent à des tactiques trompeuses pour… pic.twitter.com/vgQo7aZPyO
— The Telegraph (@Telegraph) 31 octobre 2026
Pourquoi Binance ne l’a-t-elle pas empêché ?
Trois questions de sécurité appellent désormais des réponses.
Premièrement, pourquoi un employé pouvait-il exécuter un exercice de programmation non fiable sur un ordinateur connecté aux systèmes de l’entreprise ?
Deuxièmement, pourquoi l’infection de juin a-t-elle continué d’avoir des conséquences après que Binance l’a détectée et prise en charge ?
Troisièmement, comment des identifiants de déploiement dérobés ont-ils pu donner aux attaquants accès à des systèmes autorisant des milliards de dollars de retraits ?
Binance n’a pas expliqué quelles mesures de protection ont échoué ni si les alertes antérieures du secteur l’avaient incitée à renforcer ses défenses.
Le FBI a attribué le vol au groupe TraderTraitor, lié à la Corée du Nord.
Pour Binance, la question centrale est de savoir comment une escroquerie au recrutement bien connue a fini par atteindre l’infrastructure protégeant des milliards de dollars d’actifs de ses clients.