Binance affirme qu’un faux entretien d’embauche et le téléchargement d’un logiciel malveillant ont aidé les attaquants à accéder à ses systèmes avant que 6,34 milliards de dollars ne soient dérobés dans les portefeuilles de la plateforme d’échange. Dans une mise à jour de sécurité publiée mardi, l’entreprise a déclaré que le vol avait eu lieu le 29 octobre et que les attaquants avaient transféré les fonds en environ 20 minutes.

Selon l’enquête préliminaire de Binance, les attaquants se sont servis de leur accès aux ordinateurs d’ingénieurs pour se déplacer dans le réseau de l’entreprise et exploiter un outil d’IA interne. Ils ont finalement accédé à un service de signature de portefeuilles, qui leur a permis d’initier des transactions en dehors de la procédure normale de retrait de Binance.

L’entreprise a fait remonter des activités suspectes jusqu’au mois de juin, lorsqu’un ingénieur qu’elle a désigné sous le nom d’Ingénieur A a téléchargé en ligne une installation modifiée de Homebrew. Binance a déclaré avoir détecté et traité cet incident, mais que des informations sur l’employé avaient ensuite été divulguées aux attaquants.

Début septembre, un autre ingénieur, l’Ingénieur B, a été contacté sur une plateforme de recherche d’emploi et invité à passer un entretien vidéo par une personne se faisant passer pour un recruteur. Lors d’un entretien ultérieur mené par messagerie en ligne, l’ingénieur a été invité à télécharger sur son ordinateur professionnel un exercice contenant un dépôt de code malveillant, a indiqué Binance. Le logiciel malveillant était conçu pour se faire passer pour un outil de développement légitime et communiquer avec un serveur contrôlé par les attaquants.

Binance affirme que, vers la fin du mois d’octobre, les attaquants ont utilisé leur accès à l’ordinateur de l’Ingénieur B pour prendre le contrôle de portefeuilles associés à l’Ingénieur A et à un autre ingénieur logiciel. Le jour du vol, ils se sont également servis d’identifiants de connexion volés pour accéder à l’ordinateur d’un membre du personnel, avant de s’en prendre au service de signature de portefeuilles.

La plateforme d’échange a déclaré avoir mis des fonds de côté pour couvrir les pertes et avoir reconstruit ou remplacé les systèmes internes touchés par l’attaque. Elle a présenté ses excuses pour les perturbations et l’incertitude, tout en soulignant que l’incident ne se résumait pas à une seule faille ni à une simple tentative d’hameçonnage.

Près de la moitié des cryptomonnaies volées ont été gelées par différents acteurs du secteur lorsque cela était possible, a déclaré Binance. Les fonds restants sont transférés dans le cadre d’un processus de blanchiment complexe. Tom Robinson, d’Elliptic, a indiqué que l’opération avait impliqué environ 12 000 portefeuilles répartis sur 11 chaînes de blocs au cours de ses trois premiers jours et demi, avec plus de 40 000 transactions.

Binance n’a pas directement identifié les attaquants, mais a noté que le FBI avait attribué le piratage à la Corée du Nord le 31 octobre. Plusieurs sociétés spécialisées dans le traçage l’ont également lié à des pirates nord-coréens, notamment au groupe TraderTraitor. Rafe Pilling, de l’entreprise de sécurité Sophos, a déclaré que la méthode rapportée était conforme aux tactiques du groupe, qui consistent à compromettre des ingénieurs et à comprendre comment les systèmes de la victime gèrent les transactions.

Binance a déclaré que son équipe de sécurité avait détecté et empêché 57 cyberattaques présumées liées à la Corée du Nord au cours de l’année 2026. Son enquête sur le vol est toujours en cours.

Sources: WIRED.