Incident de sécurité chez Binance - 29 octobre 2026 : ce qui s’est passé et comment nous avons réagi
Blog Binance
Compte officiel Binance vérifié
Le 29 octobre 2026, Binance a été la cible de l’une des attaques de sécurité les plus sophistiquées de son histoire. Cela n’aurait jamais dû arriver, et nous présentons nos sincères excuses à nos utilisateurs, à nos partenaires et à toute la communauté crypto pour la peur et la confusion que cette attaque a suscitées.$NVDAB
Notre priorité absolue a toujours été la protection des utilisateurs. Binance assumera la totalité des pertes financières, et non nos utilisateurs. Nous avons déjà réservé plus de 100 % des fonds nécessaires pour couvrir ces pertes. Au 31 octobre 2026, 98 % des actifs en jetons concernés ont été rétablis et peuvent être vérifiés sur notre page de preuve de réserves. Nous travaillons actuellement au rachat des actifs restants illiquides.
Environ 6,34 milliards de dollars américains d’actifs numériques ont été concernés par cet incident. À la date de cette mise à jour, près de 2,85 milliards de dollars américains ont pu être gelés ou interceptés avec l’aide de nos partenaires, sous réserve des fluctuations des cours du marché.$BTC
Nous sommes intervenus immédiatement pour mettre fin à l’attaque et sécuriser les systèmes concernés. Les points d’entrée utilisés par l’attaquant ont été fermés. Tous les systèmes situés sur le chemin de l’attaque ont été reconstruits ou remplacés. Nous avons également renforcé les contrôles des appareils, amélioré les vérifications des risques liés aux services de portefeuille et étendu la détection des anomalies basée sur l’IA.$AAPLB
Il s’agit de notre premier rapport. Il explique ce que nous savons à ce jour et les mesures correctives déjà prises. L’enquête est toujours en cours et fera l’objet d’un examen par des experts indépendants en sécurité. Certains détails techniques resteront confidentiels afin d’empêcher les attaquants de les réutiliser.
Selon les dernières informations publiées par le FBI, la République populaire démocratique de Corée (Corée du Nord) est responsable de cet incident.
Nous publions ce rapport parce que la sécurité progresse lorsque l’ensemble du secteur apprend ensemble.
Ce qui s’est passé le 29 octobre
L’attaque s’est déroulée très rapidement sur plusieurs blockchains.
L’attaquant a obtenu un accès non autorisé à un service interne de signature des portefeuilles et a lancé des transactions en dehors du système normal de retrait.
*Entre 20 h 05 et 20 h 09 UTC :*
Les portefeuilles chauds de Binance ont envoyé 233,46 millions de XRP à une adresse contrôlée par l’attaquant.
Les portefeuilles chauds de Binance sur Solana et Optimism ont envoyé environ 970 500 SOL et 44,2 millions d’OP à des adresses contrôlées par l’attaquant.
Binance a reçu une alerte interne concernant des transferts importants et inhabituels et a immédiatement lancé une enquête.
Ensuite, un portefeuille chaud de Binance a envoyé 18 270 BTC à une adresse contrôlée par l’attaquant.
L’attaquant a ensuite utilisé le *mécanisme d’autorisation EIP-7702* d’Ethereum. EIP-7702 permet à un compte de déléguer certains droits d’exécution à un contrat intelligent sans partager la clé privée. Dans ce cas, l’attaquant s’en est servi pour donner à un contrat intelligent qu’il contrôlait un contrôle partiel sur un portefeuille chaud de Binance.
Binance a immédiatement pris des mesures de confinement, notamment en suspendant les retraits, en collaborant avec ses partenaires pour geler les jetons concernés et en révoquant les autorisations non autorisées. Ces efforts ont permis de geler au total 2,85 milliards de dollars d’actifs.
Mais la suspension des retraits ne pouvait pas, à elle seule, tout arrêter. Les autorisations EIP-7702 malveillantes étaient déjà inscrites sur la blockchain et fonctionnaient indépendamment du système de retrait de Binance. Les attaquants ont soumis 50 transactions de signature pour modifier le nonce du compte et créer des autorisations de délégation malveillantes. Une fois créées, ces autorisations leur ont permis de continuer à déplacer des actifs.
Le confinement était techniquement complexe. Comme le portefeuille chaud utilisait le calcul multipartite (MPC), il n’existait pas de clé privée unique permettant de révoquer instantanément les autorisations malveillantes. Notre équipe a dû élaborer et exécuter une procédure spéciale pour les révoquer, ce qui a pris du temps supplémentaire.
Le dernier transfert non autorisé, d’un montant de 2 961,9 ETH, a été finalisé sur la blockchain à 23 h 56 UTC. Aucun autre transfert non autorisé n’a été constaté par la suite.
Le 30 octobre 2026 à 00 h 10 UTC, Binance a exécuté une nouvelle autorisation depuis le portefeuille chaud Binance14 vers l’adresse zéro, effaçant ainsi le code de délégation EIP-7702.
Préparation de l’attaque
Notre enquête montre qu’il ne s’agissait pas d’une simple attaque par hameçonnage. C’était une campagne en plusieurs étapes, menée sur plusieurs mois, qui combinait ingénierie sociale, faux entretiens de recrutement, logiciels malveillants, outils d’IA internes compromis et manipulation sophistiquée des transactions.
*Juin 2026 - Attaque de la chaîne d’approvisionnement :*
L’ingénieur A de l’équipe Wallet DevOps a téléchargé un programme d’installation Homebrew modifié afin d’installer un outil populaire de programmation par IA, après l’avoir recherché en ligne. Notre équipe de sécurité a détecté l’anomalie, remplacé l’appareil et renouvelé tous les identifiants. Cependant, le poste de l’ingénieur A et celui de ses collègues de l’équipe Wallet ont été exposés à l’attaquant.
Tout au long de 2026, l’équipe de sécurité de Binance a détecté et bloqué 57 cas présumés de cybermenaces liées à la Corée du Nord. Il s’agissait notamment de faux entretiens d’embauche, de logiciels malveillants déguisés en outils de développement, de paquets compromis, de fausses applications de visioconférence et d’ingénierie sociale visant à dérober des identifiants.
*Septembre 2026 - Ingénierie sociale :*
L’ingénieur logiciel B a été contacté sur une plateforme légitime de recherche d’emploi par une personne se faisant passer pour un directeur de projet. L’ingénieur B avait mentionné son expérience chez Binance dans son profil. Le faux directeur a organisé un premier entretien avec un représentant des ressources humaines, puis un second avec un faux PDG.
Lors du premier entretien, le faux représentant des ressources humaines a mené une visioconférence en direct et a partagé un compte sur les réseaux sociaux contenant des photos et des vidéos personnelles afin d’instaurer la confiance. Cette approche était bien plus sophistiquée qu’une tentative d’hameçonnage classique.
Lors du second entretien, qui s’est déroulé sur une application de messagerie populaire, l’ingénieur B a été invité à télécharger sur son ordinateur professionnel un « devoir » contenant un dépôt de code malveillant. Le dépôt exécutait du code malveillant pendant l’installation.
Le logiciel malveillant utilisait une obfuscation avancée : il remplaçait un composant légitime d’un outil de développement par une version malveillante, afin d’exécuter des commandes et de se connecter à un serveur contrôlé par l’attaquant. À l’époque, ce logiciel malveillant de type zero-day n’était pas détecté par les outils de sécurité des terminaux. L’attaquant a également tenté de dissimuler les traces de la compromission.
*20 octobre 2026 - Compromission d’un outil d’IA interne :*
L’attaquant a utilisé l’ordinateur compromis de l’ingénieur B et un outil d’IA interne pour prendre le contrôle de l’ingénieur A de l’équipe Wallet DevOps et d’un autre ingénieur Wallet, l’ingénieur C. L’attaquant a découvert que l’ingénieur A possédait sur son ordinateur un jeton lui donnant l’autorisation de déployer des conteneurs.
*29 octobre 2026 - Attaque du processus de signature des portefeuilles :*
Entre 17 h 15 et 19 h 56, l’attaquant s’est connecté à l’ordinateur de l’ingénieur C, a utilisé les identifiants volés de l’ingénieur A, a déployé un conteneur et a déclenché un script malveillant pour lancer l’attaque.
Mesures prises
Au 3 novembre 2026, nous avons pris les mesures suivantes :
- Reconstruit le système de portefeuille concerné dans un nouvel environnement sécurisé.
- Reconstruit l’outil d’IA interne concerné et ses contrôles d’accès.
- Remplacé tous les appareils concernés.
- Désactivé les identifiants et les jetons associés aux ingénieurs concernés.
- Effectué des analyses de sécurité renforcées sur tous les appareils des employés.
- Renforcé la détection des anomalies comportementales basée sur l’IA.
- Renforcé les contrôles des risques liés aux services de portefeuille.
- Collaboré avec les forces de l’ordre, des sociétés de renseignement sur la blockchain et des partenaires du secteur afin de tracer et de geler les actifs concernés.
Nous continuerons à renforcer nos mesures au fur et à mesure de l’enquête. Certaines mesures de sécurité resteront confidentielles afin de protéger nos utilisateurs.
Prochaines étapes
1. Audit indépendant de cybersécurité
Nous faisons appel à des experts indépendants tiers pour mener un examen complet de l’incident, valider nos conclusions et recommander des mesures supplémentaires.
2. Investissement accru dans la sécurité de l’IA
Nous augmentons nos investissements dans la détection assistée par l’IA, la protection des terminaux, la sécurité des environnements de développement et la surveillance comportementale.
3. Fonds de recherche en sécurité
Nous travaillons à la création d’un fonds de recherche en sécurité avec des entreprises leaders de l’IA, des acteurs du secteur et des sociétés spécialisées dans la sécurité, axé sur la sécurité de l’IA dans les environnements blockchain.
