Piratage de Binance : l’attaque a commencé par un faux entretien d’embauche

Le plus grand vol de l’histoire du marché des cryptomonnaies a commencé par un entretien d’embauche. Le 3 novembre 2026, Binance a publié un premier rapport d’incident sur le piratage du 29 octobre. Selon ce document, les attaquants n’ont pas atteint les hot wallets de la plateforme grâce à une clé volée, mais au terme de plusieurs mois de préparation : un paquet logiciel piégé en juin, une fausse procédure de recrutement en septembre et un outil d’intelligence artificielle interne en octobre. Binance chiffre le préjudice à plus de 6,3 milliards de dollars.

Pour les clients de la plateforme, le rapport ne change guère la situation. Binance affirme avoir remplacé environ 98 % des avoirs concernés par des fonds propres et rouvre progressivement les retraits. La méthode compte davantage. Le même stratagème, fait de fausses offres d’emploi et de tests empoisonnés, vise depuis des années les développeurs, les indépendants et les investisseurs particuliers, et quelques réflexes suffisent à s’en prémunir.

Rapport d’incident de Binance : comment a commencé le piratage de 6,3 milliards

Binance a diffusé le rapport mardi sur son propre compte X, complété par un point presse avec son directeur de la sécurité, Jimmy Su, dont rend compte CoinDesk. Dans sa synthèse du rapport, The Block avance un montant de 6,34 milliards de dollars. Les deux médias décrivent la même séquence en quatre étapes, étalée sur cinq mois.

Le 30 octobre, Binance avait encore résumé la cause à un ordinateur portable compromis au sein de l’équipe DevOps. Le nouveau rapport explique comment les attaquants se sont procuré cet appareil et pourquoi un seul ordinateur a suffi. Le co-directeur général Richard Teng l’a résumé ainsi sur X, en substance : il ne s’agissait ni d’une erreur isolée ni d’une intrusion unique, les auteurs avaient mené une campagne pendant des mois.

Les quatre étapes en bref

• Juin 2026 : un ingénieur de l’équipe DevOps chargée des portefeuilles installe un paquet Homebrew piégé.
• Septembre 2026 : un deuxième salarié télécharge sur son ordinateur professionnel un exercice de programmation trafiqué, dans le cadre d’une fausse procédure de recrutement.
• 20 octobre 2026 : grâce à cet ordinateur et à un outil d’IA interne, les attaquants prennent le contrôle des postes de deux ingénieurs chargés des portefeuilles.
• 29 octobre 2026, 20 h 05 UTC : munis d’identifiants dérobés, ils lancent un conteneur exécutant un script malveillant, et les fonds s’écoulent.

Faux recrutement : l’exercice de programmation et son logiciel malveillant zero-day

L’accès décisif a été obtenu en septembre. Selon Jimmy Su, un ingénieur logiciel a été contacté via une véritable plateforme d’emploi. L’expéditeur se présentait comme chef de projet. Suivit un entretien en visioconférence avec une prétendue responsable des ressources humaines, qui a partagé un profil de réseau social garni de photos personnelles pour gagner sa confiance. Lors d’un second entretien est apparu un prétendu dirigeant de l’entreprise.

Au bout du processus figurait un exercice de programmation, comme il est d’usage dans les recrutements techniques. L’ingénieur l’a téléchargé sur son poste de travail. Selon Jimmy Su, le fichier contenait un logiciel malveillant zero-day qui a contourné la protection de l’appareil. Une faille zero-day est une vulnérabilité encore inconnue de l’éditeur du logiciel de sécurité ; au moment de l’attaque, aucune détection n’existe donc.

Le procédé n’a rien de nouveau. L’avertissement du FBI du 3 septembre 2024 décrit précisément ce mode opératoire : les auteurs étudient les réseaux professionnels, instaurent la confiance au fil de longues conversations, se présentent à plusieurs et finissent par faire exécuter du code à leurs victimes, par exemple sous forme de test d’embauche ou de débogage avec des paquets inconnus.

Paquet Homebrew piégé : la première intrusion en juin

Homebrew est un gestionnaire de paquets répandu sur macOS, qui permet aux développeurs d’installer des programmes en ligne de commande. Selon le rapport tel que le rapporte The Block, un ingénieur de l’équipe DevOps chargée des portefeuilles cherchait en juin un outil d’IA d’aide à la programmation et est tombé sur une installation piégée.

Binance dit avoir repéré l’anomalie, remplacé l’appareil et renouvelé les identifiants concernés. Les attaquants savaient néanmoins qui travaillait dans l’équipe des portefeuilles et quel rôle tenait cet ingénieur. Cette connaissance des personnes ne pouvait pas être réinitialisée. L’incident de juin n’a donc pas été un échec pour les auteurs : il leur a fourni la carte de leur seconde tentative.

Outil d’IA interne : le passage d’un ordinateur à l’autre

Le 20 octobre, les attaquants ont exploité l’ordinateur infecté en septembre. Par le biais d’un outil d’IA interne de Binance, ils ont atteint les postes de deux ingénieurs de l’équipe des portefeuilles. Sur l’un d’eux, ils ont trouvé une autorisation de lancer des conteneurs dans l’environnement de production. Un conteneur est un environnement logiciel cloisonné, dans lequel un programme s’exécute avec exactement les droits qui lui sont attribués.

Neuf jours plus tard, le 29 octobre, ils ont fait usage de cette autorisation. Ils ont lancé un conteneur et y ont exécuté un script qui a déclenché l’attaque contre l’infrastructure des portefeuilles. Selon le rapport, l’outil d’IA a servi aussi bien au passage d’un ordinateur à l’autre qu’à l’accès à l’environnement de signature des portefeuilles.

EIP-7702 et portefeuille MPC : un endiguement au bout de quatre heures

Selon CoinDesk, les fonds ont commencé à quitter la plateforme à 20 h 05 UTC. L’attaque n’a été endiguée que le 30 octobre à 0 h 10 UTC. Jimmy Su en a donné la raison lors du point presse : les attaquants ont exploité EIP-7702, une extension d’Ethereum issue de la mise à niveau Pectra, qui permet à un compte ordinaire d’adopter temporairement la logique d’un smart contract. Ils se sont ainsi arrogé des droits d’exécution sur un hot wallet.

Binance sécurise ses hot wallets par calcul multipartite (MPC). La clé privée n’existe jamais en un seul endroit : plusieurs participants produisent ensemble chaque signature. Cela protège contre le vol d’une clé unique. Dans le cas de Binance, le revers a été net : selon Jimmy Su, aucune clé ne pouvait à elle seule révoquer l’autorisation accordée, d’où un endiguement prolongé jusqu’après minuit.

Corée du Nord et TraderTraitor : ce que le FBI affirme et ce que Pyongyang dément

Le FBI attribue l’attaque au groupe nord-coréen TraderTraitor. Dans son rapport, Binance évoque pour sa part de l’ingénierie sociale, des logiciels malveillants et des outils d’IA compromis, et indique avoir déjà repoussé en 2026 cinquante-sept tentatives d’attaque présumées nord-coréennes recourant à des méthodes similaires.

La Corée du Nord rejette cette attribution. Selon The Block, la sœur du dirigeant Kim Jong-un a qualifié lundi les affirmations du FBI de « grave provocation politique ». Aucun élément solide ne désigne à ce jour un autre auteur ; l’attribution reste une appréciation des autorités américaines.

Gelés, remplacés, SAFU divisé par deux : où en sont les fonds des clients de Binance

Selon ses propres chiffres, Binance a gelé ou intercepté environ 2,85 milliards de dollars et reconstitué quelque 98 % des avoirs concernés avec ses fonds propres. Richard Teng souligne que les utilisateurs ne subissent aucun préjudice. Depuis le 3 novembre à 4 h 00 UTC, la plateforme rouvre les retraits par phases pour des dizaines de jetons sur BNB Smart Chain, Ethereum, Solana, XRP Ledger, Sui, Arbitrum, Optimism, TRON et Base. Les jetons les plus demandés de la semaine écoulée sont passés en premier. Ensuite, les dépôts horaires ont dépassé les retraits, selon Binance.

Pour indemniser ses clients, Binance puise aussi dans le fonds SAFU, son fonds d’urgence destiné à couvrir les pertes des utilisateurs. Selon CoinDesk, qui s’appuie sur les données de mempool.space, ses réserves en bitcoins sont passées de 15 000 à un peu plus de 7 500 BTC en quatre transactions le 31 octobre. Au cours du bitcoin d’environ 77 600 dollars mardi après-midi, selon CoinGecko, cela représente quelque 580 millions de dollars. Binance s’est engagé à reconstituer le fonds à environ un milliard de dollars, sans fixer d’échéance. Le jeton de la plateforme, le BNB, s’échangeait au même moment autour de 700 dollars, en repli de 0,4 % sur la veille.

Parmi les mesures prises, le rapport cite la fermeture des points d’entrée, des systèmes reconstruits ou remplacés, des contrôles plus stricts des appareils et une détection élargie des comportements suspects, assistée par l’IA. Binance commande en outre un audit indépendant de sa cybersécurité.

Se protéger des faux recruteurs et des logiciels malveillants dans les tests

Ce qui s’est passé : en septembre 2026, des attaquants ont contacté un ingénieur de Binance via une plateforme d’emploi, mené des entretiens vidéo sous de fausses identités et l’ont amené à ouvrir sur son poste de travail un exercice de programmation infecté. Le 29 octobre, plus de 6,3 milliards de dollars ont fui par cette brèche (rapport d’incident de Binance, au 3 novembre 2026).

Êtes-vous concerné ? En tant que client de Binance, vous ne supportez aucune perte selon la plateforme ; votre solde est reconstitué et les retraits reviennent par phases. Le même stratagème peut en revanche vous viser si vous travaillez dans le secteur des cryptomonnaies, si vous écrivez du code ou si vous postulez à des offres liées aux cryptos. Un signal d’alerte : une offre inhabituellement rapide et bien rémunérée, qui débouche sur une tâche exigeant de télécharger et d’exécuter des fichiers inconnus.

1. Vérifier l’identité par un autre canal : appelez l’entreprise à un numéro ou une adresse que vous avez trouvés vous-même avant d’accepter une invitation à un second entretien, et ne vous fiez jamais aux coordonnées figurant dans le message du recruteur.
2. Des tests uniquement en environnement isolé : n’ouvrez les exercices de programmation issus d’un recrutement que dans une machine virtuelle sans accès à vos portefeuilles, mots de passe et comptes professionnels, comme le recommande le FBI.
3. Pas de phrase de récupération sur un appareil connecté : ne conservez jamais phrases de récupération ni clés privées sur un ordinateur, un téléphone ou dans le cloud ; un logiciel malveillant fouille ces emplacements en priorité.
4. Des logiciels uniquement depuis la source d’origine : installez outils de développement, assistants d’IA et extensions de navigateur uniquement via le lien du site de l’éditeur, et vérifiez attentivement le nom et l’éditeur dans les gestionnaires de paquets.
5. Les montants importants hors ligne : conservez ce que vous ne négociez pas sur un portefeuille matériel et utilisez, pour les tests, la DeFi et les airdrops, un portefeuille distinct doté d’un faible montant.

Notre guide conserver ses cryptos en sécurité expose les bases d’une conservation sûre, et le comparatif des portefeuilles matériels présente les appareils adaptés.

Ingénierie sociale contre les particuliers : un stratagème qui dépasse largement les plateformes

L’ingénierie sociale désigne les attaques qui visent l’humain plutôt que la technique : les auteurs gagnent la confiance de leur victime et l’amènent à accomplir elle-même le geste décisif. Chez Binance, ce fut le téléchargement d’un test. Chez les investisseurs particuliers, il s’agit le plus souvent de valider une transaction, de saisir sa phrase de récupération ou d’installer une application prétendument utile.

Les fausses offres d’emploi constituent une voie récurrente. Outre les tests d’embauche, le FBI cite de prétendues offres d’investissement et des sollicitations de figures connues du secteur, qui s’appuient sur des photos volées et des sites d’entreprise copiés. Quiconque gère des cryptoactifs sur l’ordinateur où il ouvre aussi des fichiers inconnus court, à petite échelle, le même risque que Binance à grande échelle.

L’affaire montre aussi qu’une bonne gestion des clés ne suffit pas. Binance utilisait le MPC et avait remplacé l’appareil après le premier incident de juin. Cela n’a pas arrêté l’attaque, car les auteurs ont dérobé des autorisations plutôt que des clés et conservé leur connaissance de l’équipe. Pour les investisseurs, la conséquence est claire : séparez les appareils avec lesquels vous travaillez et naviguez de celui avec lequel vous signez.

Piratage de Binance : un entretien d’embauche a ouvert la voie à 6,3 milliards

Le rapport d’incident fait du piratage record une affaire de sécurité du personnel. Trois étapes vous aident à en appliquer la leçon à vos propres avoirs :

1. Un portefeuille distinct pour les tests : créez un portefeuille logiciel dédié, doté d’un faible montant, pour la DeFi, les airdrops et les nouvelles applications. Vous trouverez des applications adaptées dans le comparatif des portefeuilles logiciels.
2. Garder hors ligne les avoirs de long terme : ce que vous ne négociez pas doit résider sur un appareil qui n’exécute jamais de code tiers. Modèles et prix figurent dans le comparatif des portefeuilles matériels.
3. Choisir sa plateforme selon son agrément : pour le solde laissé sur une plateforme de négociation, comptent l’agrément européen, la preuve de réserves et des règles d’indemnisation claires. Les prestataires disposant d’une licence MiCA figurent dans le comparatif des plateformes crypto réglementées.

(Au 3 novembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)