Le 29 octobre 2026, Binance a été victime d’un incident de sécurité grave et extrêmement sophistiqué. Cela n’aurait pas dû se produire, et nous présentons nos excuses à nos utilisateurs, à nos partenaires et à l’ensemble du secteur pour l’inquiétude, les perturbations et l’incertitude occasionnées.

Notre première responsabilité est de protéger les utilisateurs. Binance assumera l’impact financier des fonds volés, et non nos utilisateurs. Nous avons déjà mis de côté plus de 100 % des fonds nécessaires pour couvrir la perte. Au 31 octobre 2026, 98 % des actifs en jetons concernés ont été reconstitués et peuvent être vérifiés sur notre page Preuve de réserves. Nous sommes en train d’acheter les actifs restants, moins liquides.

L’incident a affecté environ 6,34 milliards de dollars américains d’actifs numériques. À la date de cette mise à jour, environ 2,85 milliards de dollars américains d’actifs numériques ont été gelés ou interceptés, sous réserve de rapprochement et de la volatilité des cours du marché.

Nous avons pris des mesures immédiates pour contenir l’incident et renforcer les systèmes concernés. Les points d’entrée identifiés comme ayant été utilisés lors de l’attaque ont été fermés. Les systèmes touchés par le parcours de l’attaque ont été reconstruits ou remplacés. Nous avons également renforcé les contrôles des appareils, amélioré les contrôles des risques liés aux services de portefeuille et étendu la détection des anomalies comportementales basée sur l’IA.

Il s’agit de notre premier rapport. Il présente ce que nous savons à ce jour et les améliorations déjà apportées. L’enquête est toujours en cours et nos conclusions feront l’objet d’un examen indépendant approfondi. Certains détails techniques resteront confidentiels afin d’empêcher les acteurs malveillants de s’en servir pour planifier des attaques. Nous faisons appel à des entreprises de sécurité indépendantes pour mener cet examen.

Les dernières informations publiées par le Federal Bureau of Investigation indiquent que la République populaire démocratique de Corée est responsable de cet incident.

Nous partageons ce premier rapport parce que le secteur renforce sa sécurité lorsqu’il apprend ensemble.

Ce qui s’est passé le 29 octobre

L’attaque s’est déroulée rapidement sur plusieurs réseaux.

L’attaquant a exploité un accès non autorisé à un service interne de signature de portefeuilles pour lancer des transactions en dehors du processus normal de retrait.

Entre 20 h 05 et 20 h 09 UTC, cinq portefeuilles chauds de Binance ont envoyé 233,46 millions de XRP à une adresse contrôlée par l’attaquant.

Les portefeuilles chauds de Binance sur Solana et Optimism ont envoyé environ 970 500 SOL et 44,2 millions d’OP à des adresses contrôlées par l’attaquant.

Binance a ensuite reçu une alerte interne concernant des transferts de montants importants et a immédiatement lancé une enquête.

Un portefeuille chaud de Binance a envoyé 18 270 BTC à une adresse contrôlée par l’attaquant.

L’attaquant a ensuite utilisé le service de signature pour exploiter le mécanisme d’autorisation EIP-7702 d’Ethereum. EIP-7702 permet à un compte de déléguer certains droits d’exécution à un contrat intelligent sans exposer la clé privée. Dans ce cas, l’attaquant s’est servi de ce mécanisme pour accorder à un contrat intelligent qu’il contrôlait des droits d’exécution partiels sur un portefeuille chaud de Binance.

Binance a immédiatement lancé plusieurs mesures de confinement, notamment la suspension des retraits pour limiter les sorties supplémentaires, la coordination avec des partenaires pour geler les jetons concernés et la révocation des autorisations non autorisées. Ces efforts ont permis de geler un total de 2,85 milliards de dollars d’actifs.

Toutefois, la suspension des retraits ne pouvait, à elle seule, empêcher tous les mouvements d’actifs non autorisés. Les autorisations EIP-7702 malveillantes étaient inscrites sur la chaîne et fonctionnaient indépendamment de l’infrastructure de retrait habituelle de Binance. Les attaquants ont soumis 50 transactions de signature pour manipuler le nonce du compte et établir des autorisations de délégation malveillantes. Une fois établies, ces autorisations leur ont permis de continuer à déplacer des actifs indépendamment de l’infrastructure de retrait habituelle de Binance. Binance devait effectuer des transactions supplémentaires pour révoquer ces autorisations inscrites sur la chaîne.

Le processus de confinement comportait des complications techniques supplémentaires. Le portefeuille chaud utilisant le calcul multipartite (MPC), il n’existait pas de clé privée unique permettant de révoquer immédiatement les autorisations EIP-7702 malveillantes. L’équipe a donc mis au point et exécuté une procédure spécialisée pour révoquer ces autorisations, ce qui a nécessité davantage de temps. En outre, la suspension des retraits et la mise hors service des portefeuilles chauds n’invalidaient pas automatiquement les autorisations déjà inscrites sur la chaîne.

Ces difficultés ont prolongé le délai nécessaire pour contenir pleinement les mouvements d’actifs non autorisés. Nous examinons le processus de réponse aux incidents, la couverture des politiques de signature et les contrôles des portefeuilles chauds, et nous recherchons des moyens de renforcer encore notre capacité à répondre rapidement aux menaces à l’avenir.

Le dernier transfert non autorisé, d’un montant de 2 961,9 ETH, a été finalisé sur la chaîne à 23 h 56 UTC. La transaction avait été diffusée auparavant et était restée en attente avant d’être finalement confirmée. Aucun autre transfert non autorisé n’a été observé par la suite.

Le 30 octobre 2026 à 00 h 10 UTC, Binance a exécuté une nouvelle autorisation depuis le portefeuille chaud Binance14 vers l’adresse zéro, effaçant ainsi le code de délégation EIP-7702.

Préparation de l’attaque

Notre enquête actuelle indique qu’il s’agissait d’une campagne sophistiquée en plusieurs étapes. Ce n’était ni une intrusion isolée ni un simple incident d’hameçonnage. Les attaquants ont combiné diverses techniques, notamment l’ingénierie sociale au moyen de faux entretiens de recrutement, le téléchargement de logiciels malveillants, la compromission d’outils d’IA internes, la compromission de terminaux et une méthode avancée d’autorisation des transactions.

• Juin 2026 — Attaque de la chaîne d’approvisionnement. L’ingénieur A de l’équipe Wallet DevOps a téléchargé une installation Homebrew altérée afin d’installer un outil populaire de programmation par IA, après l’avoir recherché sur un moteur de recherche. Notre équipe de sécurité a détecté l’anomalie, remplacé l’appareil et renouvelé tous les identifiants associés à titre préventif. Toutefois, le rôle de l’ingénieur A et celui de ses collègues concernés au sein de notre équipe chargée de l’infrastructure des portefeuilles ont été exposés au pirate.

• Tout au long de l’année 2026, l’équipe de sécurité de Binance a détecté et empêché 57 cybermenaces présumées liées à la Corée du Nord. Ces tentatives témoignent de la menace persistante que représentent les acteurs soutenus par des États pour le secteur des cryptomonnaies. Les techniques employées comprennent de faux entretiens d’embauche, des logiciels malveillants déguisés en outils de développement populaires, des paquets logiciels et des extensions de navigateur compromis, de fausses applications de visioconférence et des campagnes d’ingénierie sociale visant à dérober des identifiants ou à déployer des logiciels malveillants d’accès à distance.

• Septembre — ingénierie sociale. L’ingénieur logiciel B a été contacté sur une plateforme légitime de recherche d’emploi par une personne se faisant passer pour un directeur de projet. Le profil de l’ingénieur logiciel B sur la plateforme mentionnait son expérience chez Binance. Le prétendu directeur de projet a organisé un premier entretien avec un représentant des ressources humaines, puis un second avec une personne prétendant être le PDG d’une entreprise fictive.

• Lors du premier entretien, le prétendu représentant des ressources humaines a mené un entretien vidéo en direct avec l’ingénieur logiciel B. Pour instaurer un climat de confiance, l’intervieweur lui a montré un compte de réseau social, avec des photos et des vidéos personnelles publiées sur la plateforme. Cette approche était plus sophistiquée et trompeuse que les méthodes d’ingénierie sociale observées auparavant.

• Le second entretien s’est déroulé dans une application de messagerie sociale populaire. Vers la fin de l’entretien, l’ingénieur B a reçu pour instruction de télécharger sur son ordinateur professionnel un « devoir » contenant un dépôt de code malveillant. Le dépôt contenait du code malveillant qui s’est exécuté pendant le processus d’installation et a lancé une série d’activités non autorisées.

• Le logiciel malveillant employait des techniques sophistiquées d’obfuscation et d’évasion, notamment le remplacement d’un composant légitime d’un outil de développement par une version malveillante afin d’exécuter des commandes et d’établir une communication avec un serveur externe contrôlé par l’attaquant. À l’époque, les outils de protection des terminaux n’ont pas détecté ce logiciel malveillant de type « zero-day ». L’attaquant a également pris des mesures pour dissimuler l’activité malveillante et effacer les traces de la compromission, compliquant ainsi la détection et l’enquête qui a suivi.

• Le script a exécuté les étapes ci-dessous en appliquant des techniques d’obfuscation afin d’échapper à la détection par les systèmes de sécurité.

CRÉER /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_

MODIFIER pyenv_ → 3,414 B

SUPPRIMER .../libexec/pyenv (3,344 B) ← supprimer le pyenv légitime

RENOMMER pyenv_ → pyenv (3,414 B) ← le remplacer par une version malveillante

SUPPRIMER /opt/homebrew/bin/pyenv (3,414 B)

ln (créer un nouveau lien symbolique) + lancer zsh

• 20 octobre — utilisation d’un outil d’IA interne comme tremplin. L’attaquant a exploité l’ordinateur compromis de l’ingénieur B et utilisé un outil d’IA interne pour prendre le contrôle de l’ingénieur A de l’équipe Wallet DevOps et d’un autre ingénieur logiciel Wallet, l’ingénieur C. L’attaquant a rapidement découvert que l’ingénieur A de l’équipe Wallet DevOps disposait sur son ordinateur d’un jeton lui permettant de déployer des conteneurs.

• 29 octobre — accès aux opérations de signature des portefeuilles. Le 29 octobre, entre 17 h 15 et 19 h 56, l’attaquant s’est connecté à l’ordinateur de l’ingénieur logiciel C, a utilisé les identifiants dérobés à l’ingénieur A de l’équipe Wallet DevOps, a déployé un conteneur et déclenché un script malveillant pour lancer l’attaque.

Mesures prises

Au 3 novembre 2026, nous avons pris les mesures suivantes :

• Nous avons reconstruit le système de portefeuille touché dans un nouvel environnement.

• Nous avons reconstruit l’outil d’IA interne concerné et revu les contrôles d’accès.

• Nous avons remplacé les appareils concernés.

• Nous avons désactivé les identifiants et les jetons associés aux ingénieurs concernés.

• Nous avons effectué des analyses de sécurité renforcées sur tous les appareils des employés.

• Nous avons renforcé la détection des anomalies comportementales basée sur l’IA.

• Nous avons renforcé les contrôles des risques liés aux services de portefeuille.

• Nous avons collaboré avec les forces de l’ordre, des entreprises spécialisées dans le renseignement sur la blockchain et des partenaires du secteur pour tracer et geler les actifs concernés.

Nous continuerons à renforcer nos mesures au fil de l’enquête. Nous avons mis en place et continuons de mettre en place plusieurs mesures de sécurité qui resteront confidentielles afin d’empêcher les acteurs malveillants de compromettre notre sécurité.

Mesures supplémentaires

Nous prenons immédiatement les mesures suivantes.

Examen indépendant de la cybersécurité

Nous faisons appel à des experts indépendants en cybersécurité afin qu’ils réalisent un examen approfondi de l’incident, valident nos conclusions et recommandent des mesures supplémentaires. La portée et les conclusions de cet examen orienteront nos travaux de remédiation en cours. Investissements accrus dans la sécurité de l’IA et la prévention

Nous augmentons nos investissements dans la détection reposant sur l’IA, la protection des terminaux, la sécurité des environnements de développement et la surveillance des anomalies comportementales. Fonds pour la recherche en sécurité et initiatives sectorielles

Nous travaillons à la création d’un fonds de recherche en sécurité et d’initiatives ciblées avec des entreprises d’IA de premier plan, des acteurs du secteur et des sociétés de sécurité, en mettant l’accent sur la sécurité de l’IA dans les environnements blockchain.

Nous continuerons à communiquer de manière proactive les informations dès que nous en disposerons.

Source : compte X officiel de Binance (@binance)

#safu #BinanceIncidentReport #BinanceReopensWithdrawalsForMoreAssets