Chez Binance, un faux entretien d’embauche a ouvert la voie au vol de 6,34 milliards de dollars du 29 octobre. La plateforme l’a révélé le mardi 3 novembre 2026 dans son rapport initial sur l’incident. Il retrace une campagne de cinq mois que le FBI impute à la Corée du Nord.
Une première brèche repérée dès juin
En juin, un ingénieur de l’équipe chargée des portefeuilles veut installer un outil de codage par IA. Il télécharge une version piégée de Homebrew, un gestionnaire de logiciels très utilisé par les développeurs. La sécurité de Binance repère l’anomalie, remplace son ordinateur et change les identifiants associés. Les pirates connaissent pourtant désormais son rôle et l’identité de ses collègues.
Binance faux entretien d’embauche : deux rendez-vous, un piège
En septembre, un autre ingénieur est contacté sur une plateforme d’emploi reconnue. Son profil mentionnait son expérience chez Binance. Un prétendu directeur de projet lui organise deux entretiens. Le premier se déroule en vidéo avec un faux recruteur. Pour gagner sa confiance, celui-ci partage un compte garni de photos personnelles. Le second a lieu sur une messagerie, avec le dirigeant d’une société qui n’existe pas. À la fin, on lui demande de télécharger un exercice de programmation sur son ordinateur de travail.
Un logiciel malveillant inconnu des antivirus
L’exercice contient un logiciel malveillant inédit, dit « zero-day » car aucun éditeur de sécurité ne le connaît encore. À l’installation, il remplace un composant d’outil de développement par une version piégée. Aucune protection installée sur le poste ne le détecte.
Le profil professionnel de l’ingénieur a suffi à le désigner comme cible. La fuite de données Keystone, révélée le 24 octobre, montrait déjà qu’un fichier de noms sert à choisir des victimes.
Un outil d’IA interne détourné le 20 octobre
Le 20 octobre, les pirates passent à l’étape suivante depuis ce poste compromis. Un outil d’IA interne leur donne la main sur deux machines de l’équipe, dont celle de l’ingénieur piégé en juin. Sur cet ordinateur, ils trouvent un jeton qui autorise le déploiement de logiciels. Binance ne nomme pas l’outil d’IA, qu’elle dit avoir reconstruit avec ses contrôles d’accès.
Le 29 octobre au soir, les pirates se connectent à la seconde machine avec les identifiants volés. Ils lancent un script qui leur ouvre le service interne chargé de signer les transactions. Les fonds sortent dès 21 h 05, heure de Paris, selon le calendrier présenté à CoinDesk. En quatre minutes, 233,46 millions de XRP quittent cinq portefeuilles chauds, reliés à Internet pour servir les retraits. Suivent du SOL, de l’OP et 18 270 bitcoins.
Une autorisation inscrite sur Ethereum
La suspension des retraits n’a pas tout arrêté. Sur Ethereum, les pirates ont exploité EIP-7702. Ce mécanisme permet à un compte de déléguer certains droits à un programme sans livrer sa clé privée. En 50 transactions signées, les pirates ont confié une partie des droits d’un portefeuille de Binance à leur programme. Inscrites sur la blockchain, ces autorisations fonctionnaient sans passer par le système de retrait de la plateforme.
Le calcul multipartite a ralenti la riposte
Le portefeuille reposait sur le calcul multipartite (MPC). Cette technique répartit la clé entre plusieurs parties, pour qu’un seul vol ne suffise pas. Aucune clé unique ne permettait donc d’annuler aussitôt la délégation. Binance a dû concevoir une procédure spéciale. Le dernier transfert non autorisé, 2 961,9 ETH, a été validé le 30 octobre à 0 h 56. La délégation a été effacée quatorze minutes plus tard. Plus de quatre heures ont séparé la première sortie de fonds de ce verrouillage. La protection censée bloquer les voleurs a d’abord gêné Binance.
57 tentatives déjouées, une campagne réussie
Binance affirme avoir déjoué en 2026 57 tentatives d’attaque soupçonnées d’être liées à la Corée du Nord. Le FBI attribue le vol du 29 octobre au groupe nord-coréen TraderTraitor. Il lui imputait déjà le vol de 1,5 milliard de dollars chez Bybit, le plus lourd des piratages de plateformes de 2025. Pyongyang rejette l’accusation.
Les pirates n’ont pas eu besoin de dérober une clé privée. Ils ont contourné les protections des portefeuilles en visant des salariés, puis un outil interne doté d’accès étendus.
Un coût absorbé par la plateforme
Sur les 6,34 milliards de dollars touchés, 2,85 milliards ont été gelés ou interceptés. Les émetteurs de stablecoins peuvent bloquer leurs jetons à distance. La BCE fixait le 29 octobre son cours de référence à 1,1130 dollar pour un euro. À ce cours, le vol atteint 5,70 milliards d’euros, dont 2,56 milliards gelés. Binance dit avoir reconstitué 98 % des jetons sur ses propres fonds au 31 octobre. Elle rachète encore les plus illiquides.
La plateforme supporte ainsi environ 3,5 milliards de dollars non récupérés à ce stade, soit 3,1 milliards d’euros. Le coût pèse sur son bilan plutôt que sur le marché. Ses rachats ont créé une demande face aux ventes des pirates, qui écoulent leur butin par étapes.
DORA impose formation et notification rapide
Dans l’Union, le règlement DORA s’applique depuis le 17 janvier 2025 aux prestataires sur cryptoactifs agréés sous MiCA. Son article 13 impose de former tous les salariés à la sécurité informatique, rappelle l’autorité européenne EIOPA. Un incident majeur doit être signalé à l’autorité au plus tard 24 heures après sa détection, précise le régulateur autrichien. Binance a retiré le 24 juin 2026 sa demande d’agrément MiCA et n’est donc pas soumise à ces règles dans l’Union.
Le rapport reste la version de Binance, publiée avant la revue confiée à des cabinets de cybersécurité indépendants. La sécurité d’une plateforme dépend désormais autant du recrutement et des droits confiés à l’IA que de ses coffres numériques. La garde des cryptomonnaies par un tiers lie aussi le client à cette sécurité interne, qu’il ne voit pas.