Binance affirme qu’un piratage de 6,34 milliards de dollars a commencé par un faux entretien d’embauche qui a piégé un ingénieur et l’a amené à installer un logiciel malveillant, permettant aux attaquants de voler des cryptomonnaies et obligeant la plateforme d’échange à couvrir les pertes.

À retenir

• Binance a publié son premier compte rendu complet de l’attaque du 29 octobre, que le FBI attribue à la Corée du Nord

• Un faux recruteur a piégé un ingénieur en l’incitant à télécharger un logiciel malveillant déguisé en test de recrutement, en septembre

• Les pirates ont ensuite utilisé un outil d’IA interne de Binance pour prendre le contrôle des ordinateurs de deux autres ingénieurs

• Binance affirme qu’elle couvrira elle-même les pertes et qu’elle a déjà remplacé 98 % des jetons volés

La plateforme d’échange a publié le rapport sur X mardi. « Cela n’aurait pas dû se produire, et nous nous excusons pour l’inquiétude, les perturbations et l’incertitude que cela a causées à nos utilisateurs, à nos partenaires et à l’ensemble du secteur », a écrit Binance.

L’entretien d’embauche qui leur a ouvert la porte

En septembre, un ingénieur que Binance appelle Ingénieur logiciel B a été contacté sur un véritable site de recherche d’emploi par une personne se faisant passer pour un directeur de projet. Son profil mentionnait son travail chez Binance.

Le premier entretien a eu lieu en visioconférence avec une fausse responsable des ressources humaines, qui a partagé un compte sur les réseaux sociaux rempli de photos et de vidéos personnelles pour gagner sa confiance. Binance a déclaré que cette approche était plus convaincante que toutes les arnaques qu’elle avait vues auparavant.

Lors du deuxième entretien, qui s’est déroulé sur une application de messagerie avec un homme prétendant diriger une entreprise fictive, l’ingénieur a été invité à télécharger un « exercice » sur son ordinateur professionnel. Celui-ci dissimulait un logiciel malveillant inédit, que les outils de sécurité de Binance n’ont pas détecté. Il a discrètement remplacé un outil de développement habituel par un faux et ouvert une connexion vers le serveur des pirates.

Comment les pirates ont accédé aux portefeuilles

QuandCe qui s’est passéJuin 2026Un ingénieur chargé des portefeuilles installe une copie altérée d’un logiciel populaire téléchargé alors qu’il configure un outil de programmation par IA. Binance remplace son ordinateur portable, mais son équipe est désormais connue des piratesSeptembreUn faux entretien d’embauche installe un logiciel malveillant sur l’ordinateur professionnel de l’Ingénieur B20 octobreLes pirates utilisent un outil d’IA interne de Binance pour prendre le contrôle des ordinateurs de deux ingénieurs chargés des portefeuilles29 octobre, de 17 h 15 à 19 h 56 UTCLes pirates se connectent à l’ordinateur d’un ingénieur avec les identifiants volés d’un autre et lancent l’attaque29 octobre, à partir de 20 h 05 UTCLes portefeuilles chauds commencent à envoyer du XRP, du SOL, de l’OP, du Bitcoin et de l’Ether aux pirates30 octobre, 00 h 10 UTCBinance ferme la dernière porte ouverte par les pirates

Les cryptomonnaies volées comprenaient 233,46 millions de XRP, environ 970 500 SOL, 44,2 millions d’OP et 18 270 Bitcoin, selon Binance.

À lire aussi : Binance transfère 1,69 milliard de dollars en Bitcoin après le piratage attribué à la Corée du Nord : pourquoi Binance n’a pas pu l’arrêter rapidement

Suspendre les retraits n’a pas suffi. Les pirates avaient utilisé une fonctionnalité d’Ethereum appelée EIP-7702 pour donner à leur propre code un contrôle partiel sur un portefeuille chaud de Binance, et cette autorisation était inscrite sur la blockchain, hors des systèmes de Binance.

Pour des raisons de sécurité, Binance répartit les clés de ses portefeuilles entre plusieurs parties ; il n’y avait donc pas de clé unique permettant d’annuler rapidement l’autorisation. L’équipe a dû concevoir un correctif spécial, et le dernier transfert volé, de 2 961,9 Ether, a été effectué à 23 h 56 UTC, près de quatre heures après le premier.

Qui paie ?

Binance affirme que ses utilisateurs n’auront rien à payer. La plateforme a mis de côté une somme supérieure au montant total des pertes ; environ 2,85 milliards de dollars d’actifs ont été gelés ou interceptés, et 98 % des jetons concernés avaient été réintégrés dans ses réserves au 31 octobre. Elle continue de racheter les jetons les plus difficiles à trouver.

La plateforme d’échange a également déclaré avoir bloqué 57 tentatives de piratage suspectées d’être liées à la Corée du Nord cette année. Elle a reconstruit le système de portefeuilles et l’outil d’IA, remplacé les appareils concernés et engagé des sociétés de sécurité externes pour examiner ce qui n’a pas fonctionné.

À lire ensuite : le FBI attribue à la Corée du Nord le braquage de 6 milliards de dollars visant Binance et demande aux entreprises de bloquer le butin