Security Alliance (SEAL), une organisation à but non lucratif spécialisée en cybersécurité, affirme que TraderTraitor, un acteur malveillant lié à la Corée du Nord, a probablement obtenu un accès aux systèmes de Binance en septembre, soit environ huit semaines avant que Binance ne révèle avoir subi un exploit de 6,3 milliards de dollars le 29 octobre. Dans une analyse publiée jeudi, SEAL soutient que l’intrusion a commencé plusieurs mois plus tôt que ne le laisserait penser la période de l’incident rendue publique, donnant ainsi aux attaquants le temps d’opérer discrètement et de cartographier les contrôles internes.

SEAL établit également un lien entre TraderTraitor et un réseau de sociétés écrans utilisées dans le cadre d’escroqueries de type recrutement en 2026, et recense au moins quatre domaines associés à la campagne. Les conclusions de l’organisation soulignent aussi un schéma récurrent observé dans les grandes brèches touchant les cryptomonnaies : un accès en plusieurs étapes qui peut persister pendant des semaines avant que les fonds ne soient finalement siphonnés.

Points clés à retenir

• SEAL estime que TraderTraitor a accédé aux systèmes de Binance en septembre, environ huit semaines avant l’exploitation du 29 octobre, qui a entraîné le vol de 6,3 milliards de dollars.

• Le rapport laisse entendre que les attaquants ont maintenu un « haut degré de discrétion » après l’intrusion initiale, ce qui leur a permis de naviguer longuement au sein du réseau.

• SEAL a identifié au moins quatre « sociétés-écrans » de 2026 liées aux campagnes de recrutement de TraderTraitor : citalab.net, citalab.com, bitfit.io et oddium.io.

• SEAL relève des calendriers similaires dans d’autres piratages de cryptomonnaies, ce qui laisse penser que les attaquants conservent souvent leur accès pendant plusieurs semaines avant de passer à l’exploitation.

• Binance a attribué le piratage à un faux entretien d’embauche qui a compromis l’appareil d’un employé et entraîné le vol d’identifiants. Binance a indiqué que la campagne remontait à juin.

L’accès initial pourrait remonter bien avant la faille qui a fait la une

L’affirmation centrale de SEAL est que la compromission opérationnelle de Binance n’a pas commencé au moment de l’exploitation rendue publique. Dans son rapport de jeudi, le groupe a écrit que l’intrusion de TraderTraitor dans les systèmes de Binance avait probablement commencé en septembre et que les acteurs malveillants avaient pu rester à l’intérieur pendant une période prolongée en faisant preuve d’une grande discrétion.

Cela importe pour les équipes de défense et les acteurs du marché, car la « date de l’incident » devient souvent le seul jalon visible du public. Si les attaquants peuvent rester dans les systèmes pendant des semaines avant de mener une attaque lourde de conséquences, la véritable période d’exposition peut impliquer des lacunes en matière de surveillance interne, d’hygiène des identifiants et de contrôle des accès, qui risquent de ne devenir évidentes qu’une fois les dégâts causés.

Liens avec les arnaques au recrutement et les infrastructures

SEAL a également déclaré avoir identifié au moins quatre « sociétés-écrans » liées aux fausses campagnes de recrutement de TraderTraitor en 2026. Les domaines cités dans l’analyse — citalab.net, citalab.com, bitfit.io et oddium.io — sont présentés comme faisant partie d’un effort plus vaste visant à établir sa crédibilité, à attirer des victimes et à créer des voies d’accès aux organisations ciblées.

Cette analyse concorde avec les déclarations publiques de Binance. Selon des informations antérieures citées par SEAL, Binance a attribué le piratage de 6,3 milliards de dollars à un faux entretien d’embauche, qui a permis aux attaquants de compromettre l’appareil d’un employé et de voler des identifiants utilisés pour pénétrer dans l’infrastructure de portefeuilles de la plateforme d’échange.

Comment SEAL établit un parallèle avec d’autres piratages majeurs de cryptomonnaies

Au-delà de Binance, SEAL s’est appuyé sur d’autres incidents très médiatisés pour avancer que les intrusions en plusieurs étapes sont une caractéristique récurrente des attaques de grande ampleur visant les cryptomonnaies. L’organisation a estimé la durée approximative de l’accès avant l’exploitation dans plusieurs cas, notamment :

• Environ six semaines d’accès avant le piratage de Bitget, qui a coûté 388 millions de dollars.

• Environ six semaines d’accès à LayerZero avant la vulnérabilité à l’origine de l’exploitation de Kelp DAO, qui a coûté 293 millions de dollars.

• Environ trois semaines avant l’exécution de l’exploitation d’AFX, qui a coûté 24 millions de dollars.

Même si les délais varient d’un incident à l’autre, le point commun est que la compromission peut précéder l’exploitation de plusieurs semaines. Dans les faits, cela déplace le débat sur la sécurité : au lieu de se concentrer uniquement sur la préparation à la réponse aux incidents, il faut miser sur une détection plus précoce, par exemple en repérant une présence prolongée d’attaquants, des schémas d’accès anormaux et l’exposition d’identifiants bien avant le transfert des actifs.

La version de Binance et le débat plus large sur l’attribution

Les estimations de SEAL ont soulevé des questions sur le moment et les modalités du début de l’intrusion. Cointelegraph a tenté de vérifier cette analyse en contactant Binance pour obtenir un commentaire. Cointelegraph a indiqué que Binance n’avait pas répondu avant la publication de l’article.

Binance a précédemment décrit une chronologie différente. Selon Binance, la campagne d’attaque remontait à juin, lorsqu’un autre appareil appartenant à un employé avait été compromis. Binance a déclaré avoir détecté cette intrusion antérieure et remplacé l’appareil, tout en ajoutant que les attaquants avaient peut-être déjà recueilli des informations sur le personnel et l’infrastructure de portefeuilles de Binance. Binance a également évoqué le faux entretien d’embauche comme le moyen ayant finalement permis l’exploitation, détaillée publiquement après l’incident du 29 octobre.

L’attribution de l’attaque a également été contestée sur le plan géopolitique. Dans un rapport publié samedi, le Bureau fédéral d’enquête des États-Unis (FBI) a attribué l’attaque au groupe TraderTraitor, lié à la Corée du Nord. Kim Yo Jong, sœur du dirigeant nord-coréen Kim Jong Un, a rejeté ces accusations, selon des informations antérieures citées par Cointelegraph.

Dans l’ensemble, ce différend met en lumière une asymétrie bien connue des cyberincidents : les enquêteurs et les organisations touchées peuvent mettre l’accent sur différentes étapes d’une même chaîne d’attaque (premier point d’accès, vol d’identifiants ou piratage final des portefeuilles). SEAL, pour sa part, s’intéresse au moment probable de l’accès aux systèmes et à la durée pendant laquelle les attaquants ont pu s’y trouver avant la date de l’exploitation rendue publique.

Pour suivre la suite de cette affaire, les lecteurs devraient s’intéresser à l’émergence d’éventuels détails techniques permettant de concilier la chronologie de la compromission en juin décrite par Binance avec l’estimation de SEAL d’un accès aux systèmes à partir de septembre, ainsi qu’à la visibilité croissante de schémas d’accès durant « plusieurs semaines » dans les futurs articles consacrés à d’autres incidents touchant des plateformes d’échange et des protocoles.

Cet article a d’abord été publié sous le titre « Les pirates de Binance ont eu accès aux systèmes pendant 8 semaines avant l’exploitation de 6,3 milliards de dollars, selon Alliance » sur Crypto Breaking News — votre source de confiance pour l’actualité des cryptomonnaies, du Bitcoin et de la blockchain.