Binance détaille de faux entretiens d’embauche et la compromission d’un outil d’IA lors d’un piratage

Dans ses premières conclusions publiées le 3 novembre 2026, Binance a indiqué que de faux entretiens de recrutement, des logiciels malveillants destinés aux développeurs et la compromission d’un outil d’IA interne avaient précédé le vol d’environ 6,34 milliards de dollars d’actifs numériques, survenu le 29 octobre 2026.

La plateforme d’échange assumera les conséquences financières de l’incident au lieu de les répercuter sur ses utilisateurs. Binance a déclaré avoir mis de côté plus de 100 % des fonds nécessaires pour couvrir la perte, avoir reconstitué 98 % des actifs en jetons touchés au 31 octobre 2026 et avoir gelé ou intercepté environ 2,85 milliards de dollars, sous réserve de rapprochement des comptes et de la volatilité des cours. Elle achète les actifs restants, moins liquides.

La page Preuve de réserves citée à propos de la reconstitution des fonds indique que les actifs des utilisateurs détenus en garde sont couverts à hauteur de 1 pour 1. Elle s’appuie sur des enregistrements fondés sur des arbres de Merkle et des preuves zk-SNARK afin que les utilisateurs puissent vérifier que leurs soldes figurent dans le rapport des passifs.

Ces conclusions restent préliminaires. L’enquête se poursuit, un examen indépendant est en attente et Binance s’abstient de divulguer certains détails techniques afin d’éviter d’aider des acteurs malveillants à préparer des attaques.

Des mois d’accès avant l’attaque des portefeuilles

En juin 2026, un ingénieur DevOps spécialisé dans les portefeuilles a téléchargé une installation Homebrew altérée alors qu’il tentait d’installer un outil populaire de programmation par IA découvert via un moteur de recherche. Binance a détecté l’anomalie, remplacé l’appareil et renouvelé les identifiants associés, mais le rôle de l’ingénieur et les collègues de son équipe chargée de l’infrastructure des portefeuilles étaient déjà exposés à l’attaquant.

En septembre 2026, une autre ingénieure logicielle a été contactée sur une plateforme légitime de recherche d’emploi par une personne se faisant passer pour un directeur de projet. Un entretien en visioconférence avec une personne présentée comme une représentante des ressources humaines a été suivi d’un deuxième entretien, sur une application de messagerie sociale populaire, avec quelqu’un prétendant être le PDG d’une entreprise fictive. Vers la fin de cet entretien, l’ingénieure a reçu pour consigne de télécharger sur son ordinateur professionnel un exercice contenant un dépôt de code malveillant. Le code s’est exécuté lors de l’installation.

Le logiciel malveillant a remplacé un composant légitime de pyenv par une version malveillante et a communiqué avec un serveur contrôlé par l’attaquant. Binance a déclaré que la protection des terminaux n’avait pas détecté le maliciel zero-day à ce moment-là, tandis que l’attaquant prenait des mesures pour dissimuler son activité et effacer les traces de la compromission.

Le 20 octobre 2026, l’attaquant s’est servi de l’ordinateur compromis de la deuxième ingénieure et d’un outil d’IA interne pour étendre son contrôle à l’ingénieur DevOps initial et à un autre ingénieur logiciel spécialisé dans les portefeuilles. Un jeton autorisant le déploiement de conteneurs a ensuite été découvert sur l’ordinateur de l’ingénieur DevOps. Entre 17 h 15 et 19 h 56 UTC, le 29 octobre, l’attaquant s’est connecté à l’ordinateur du troisième ingénieur, a utilisé des identifiants volés à l’ingénieur DevOps, a déployé un conteneur et déclenché le script malveillant qui a lancé l’attaque contre les portefeuilles.

Les autorisations sur la chaîne ont compliqué le confinement de l’attaque

L’attaquant a exploité un accès non autorisé à un service interne de signature de transactions pour lancer des opérations en dehors du processus normal de retrait de Binance. Entre 20 h 05 et 20 h 09 UTC, cinq portefeuilles chauds de Binance ont envoyé 233,46 millions de XRP à une adresse contrôlée par l’attaquant. D’autres sorties de fonds ont ensuite eu lieu depuis des portefeuilles chauds de Solana et d’Optimism, et un portefeuille chaud de Binance a envoyé 18 270 Bitcoin à une adresse contrôlée par l’attaquant.

L’attaquant a également exploité le mécanisme d’autorisation EIP-7702 d’Ethereum, qui permet à un compte de déléguer certains droits d’exécution à un contrat intelligent sans exposer sa clé privée. Cinquante transactions de signature ont manipulé le nonce du compte et établi des autorisations de délégation malveillantes, accordant à un contrat contrôlé par l’attaquant des droits d’exécution partiels sur un portefeuille chaud de Binance. Ces autorisations ont permis aux actifs de continuer à circuler indépendamment de l’infrastructure de retrait de la plateforme d’échange.

Par conséquent, la suspension des retraits et la fermeture des services de portefeuilles chauds n’ont pas invalidé les autorisations déjà inscrites sur la chaîne. Comme le portefeuille utilisait le calcul multipartite, aucune clé privée unique ne permettait de révoquer immédiatement ces autorisations, ce qui a nécessité une procédure spécialisée et pris davantage de temps. Le dernier transfert non autorisé, de 2 961,9 Ether, a été confirmé sur la chaîne à 23 h 56 UTC après être resté en attente ; aucun autre transfert non autorisé n’a été observé par la suite. Le 30 octobre 2026 à 00 h 10 UTC, Binance a exécuté une nouvelle autorisation depuis son portefeuille chaud Binance14 vers l’adresse zéro, supprimant le code de délégation malveillant.

Systèmes reconstruits et attribution distincte au FBI

Au 3 novembre, Binance avait reconstruit le système de portefeuilles touché dans un nouvel environnement, ainsi que l’outil d’IA interne concerné et ses contrôles d’accès. La plateforme avait également remplacé les appareils touchés, désactivé les identifiants et jetons associés, terminé des analyses renforcées sur les appareils des employés, étendu la détection des anomalies comportementales fondée sur l’IA et renforcé les contrôles des risques liés aux services de portefeuilles.

Des experts indépendants en cybersécurité issus de tierces parties sont sollicités afin de valider les conclusions et de recommander des mesures supplémentaires. Binance accroît ses investissements dans la détection assistée par l’IA, la protection des terminaux, la sécurité des environnements de développement et la surveillance comportementale. L’entreprise travaille également à la création d’un fonds de recherche en sécurité et d’initiatives ciblées avec des entreprises spécialisées en IA, des acteurs du secteur et des sociétés de sécurité, axées sur la sécurité de l’IA dans les environnements blockchain.

Dans un avis distinct daté du 31 octobre 2026, le FBI a déclaré que les acteurs nord-coréens de TraderTraitor étaient responsables, que le Bureau et ses partenaires de l’USSS et de l’IRS-CI les avaient observés convertir les actifs volés principalement en ether, et que d’autres opérations de blanchiment étaient attendues par l’intermédiaire de services de finance décentralisée (DeFi) et d’échange instantané. Les agences ont exhorté les opérateurs de nœuds, les plateformes d’échange, les services DeFi, les sociétés d’analyse de la blockchain et les autres fournisseurs d’actifs virtuels à bloquer les transactions impliquant les adresses répertoriées ou provenant de celles-ci.

Ce récit met en évidence un problème de confinement qui dépasse la détection des logiciels malveillants : le remplacement du premier appareil compromis n’a pas mis fin à l’exposition de l’équipe chargée des portefeuilles aux agissements de l’attaquant, et la suspension des retraits n’a pas supprimé son autorité sur la chaîne. L’examen indépendant doit désormais vérifier à la fois la reconstitution de cette chaîne par Binance et la capacité des contrôles mis en place à y remédier.