Sécurité · 8 novembre 2026
Binance subit un vol de 6,34 milliards de dollars par des pirates nord-coréens
La plateforme d'échanges Binance a subi une cyberattaque majeure le 29 octobre 2026, entraînant le vol d'actifs chiffrés d'une valeur de 6,34 milliards de dollars. Les autorités américaines ont confirmé que les auteurs de ce braquage numérique sont des pirates nord-coréens, identifiés sous le nom de TraderTraitor. Cette organisation est également associée par les chercheurs aux groupes Lazarus Group, Jade Sleet et APT38. Le rapport détaillé publié par la société révèle que la préparation de cette intrusion a duré plusieurs mois et a mobilisé diverses méthodes d'infiltration sophistiquées.
Les premières traces de l'attaque remontent à juin 2026, lorsque l'un des ingénieurs DevOps de la société a téléchargé un installateur Homebrew contrefait. Cette action visait à installer un outil d'intelligence artificielle pour la programmation, mais elle a introduit un logiciel malveillant. Bien que les équipes de sécurité aient rapidement détecté l'infection et remplacé l'ordinateur portable ainsi que les identifiants de l'employé, les attaquants avaient déjà collecté des informations sur lui et sur ses collègues. Cette phase initiale a permis aux pirates de cartographier l'environnement interne de la plateforme.
En septembre 2026, la stratégie des attaquants a évolué vers une ingénierie sociale ciblée. Ils ont contacté un autre ingénieur via une plateforme de recrutement légitime pour l'inviter à un entretien dans une entreprise fictive. Un faux responsable des ressources humaines a d'abord établi la confiance en présentant un profil social crédible, suivi d'un second entretien avec un prétendu directeur général. À l'issue de cet échange, la victime a été invitée à télécharger une tâche de test depuis un dépôt contenant du code malveillant. L'exécution de ce projet sur son Mac professionnel a déclenché un logiciel malveillant qui a modifié un fichier système et a établi une connexion avec les serveurs des pirates, tout en effaçant ses traces.
Le 20 octobre, les attaquants ont exploité cet ordinateur compromis ainsi qu'un outil interne d'intelligence artificielle de Binance pour accéder aux machines de deux autres ingénieurs. Sur l'un de ces appareils, ils ont découvert un jeton autorisant le déploiement de conteneurs. Neuf jours plus tard, le 29 octobre, ils ont utilisé les identifiants volés pour accéder au système, déployer un conteneur et exécuter un script malveillant. Cette action leur a donné accès au service interne de signature des transactions, leur permettant d'organiser le transfert de fonds en contournant les procédures de retrait habituelles.
Les pirates ont également abusé du mécanisme Ethereum EIP-7702 en envoyant cinquante transactions pour configurer des délégations malveillantes. Cela a permis à un contrat intelligent sous leur contrôle de continuer à extraire des actifs même après la suspension des opérations par les équipes de Binance. Au 3 novembre, la société a réussi à geler ou à intercepter environ 2,85 milliards de dollars des fonds volés. L'infrastructure des portefeuilles et l'outil d'intelligence artificielle ont été restructurés, et tous les jetons compromis ont été révoqués. L'enquête se poursuit avec l'aide d'experts indépendants en cybersécurité.