Binance a publié le 3 novembre 2026 un premier récit de l’attaque qui lui a coûté l’équivalent de 6,43 milliards de dollars le 29 octobre : faux installateur, faux recrutement, abus d’un outil interne d’IA, vol d’un jeton de déploiement. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité. Elle repose sur la reprise détaillée de The Hacker News, qui cite Binance ; nous n’avons pas pu lire directement la publication d’origine, et plusieurs étapes restent peu documentées.
Pour une lecture orientée dirigeant, voir notre décryptage « Vol record chez Binance : un faux entretien d’embauche et un faux logiciel au cœur de l’attaque ».
Contexte
- Sources : The Hacker News, 3 novembre 2026, qui cite la publication de Binance du même jour ; premier bilan dans The Hacker News, 30 octobre 2026.
- Victime : Binance, plateforme d’échange de cryptomonnaies ; trois ingénieurs de l’équipe portefeuilles (A : Wallet DevOps ; B : cible du faux recrutement ; C : Wallet Software).
- Montant : 6,43 milliards de dollars selon The Hacker News (environ 6,3 milliards au premier bilan) ; près de 3 milliards gelés selon le premier bilan.
- Attribution : le FBI attribue le vol au groupe nord-coréen qu’il nomme TraderTraitor (31 octobre). Binance dit avoir déjoué 57 tentatives liées à la Corée du Nord depuis le début de l’année.
- Chronologie selon Binance : juin 2026, compromission de A ; septembre 2026, approche de B ; 20 octobre, prise de contrôle des postes de A et de C ; 29 octobre, entre 17 h 15 et 19 h 56 (fuseau non précisé), déploiement d’un conteneur et retraits frauduleux.
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce qui est rapporté | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| Accès initial n° 1 (juin) | A recherche un outil d’IA sur un moteur de recherche et télécharge un installateur de Homebrew piégé | T1608.006 SEO Poisoning ; T1204.002 User Execution: Malicious File |
| Reconnaissance | Malgré la rotation des identifiants, des informations sur le rôle de A et sur ses collègues ont été exposées | T1589 Gather Victim Identity Information ; T1591.004 Identify Roles |
| Préparation | Persona de « directeur de projet » sur une plateforme d’emploi légitime ; fausse RH qui partage un compte de réseau social avec photos et vidéos ; faux PDG d’une entreprise inexistante | T1585.001 Establish Accounts: Social Media Accounts |
| Accès initial n° 2 (septembre) | Contact via la plateforme d’emploi, entretien vidéo puis second entretien sur une messagerie grand public, « exercice » à télécharger sur le poste de travail | T1566.003 Spearphishing via Service |
| Exécution | Le dépôt de code exécute du code malveillant pendant l’installation | T1204.002 User Execution: Malicious File |
| Persistance et furtivité | Remplacement d’un composant d’un outil de développement légitime par une version piégée ; obfuscation ; suppression d’artefacts | T1574 Hijack Execution Flow ; T1027 Obfuscated Files or Information ; T1070 Indicator Removal |
| Commande et contrôle | Communication avec un serveur externe contrôlé par l’attaquant | T1071 Application Layer Protocol |
| Mouvement latéral (20 octobre) | Abus d’un outil interne d’IA, depuis le poste de B, pour prendre le contrôle des postes de A et de C | Pas de correspondance exacte ; au plus près T1072 Software Deployment Tools |
| Accès aux identifiants | Jeton autorisant le déploiement de conteneurs trouvé sur le poste de A | T1552.001 Unsecured Credentials: Credentials In Files (mode de stockage non précisé) |
| Impact (29 octobre) | Depuis le poste de C, avec le jeton de A : déploiement d’un conteneur, script lancé, abus du service interne de signature pour des transactions hors du processus de retrait | T1610 Deploy Container ; T1078 Valid Accounts ; T1657 Financial Theft |
Faits techniques connus
- Deux vecteurs d’entrée distincts, à trois mois d’écart, visant la même équipe : le premier a surtout servi à la reconnaissance, le second à l’implantation durable.
- Le faux recrutement suit le schéma déjà documenté des campagnes de « faux entretiens » attribuées à des acteurs nord-coréens : persona crédible, plusieurs tours d’entretien, exécution de code présentée comme un test technique.
- Le dernier maillon n’est pas une faille logicielle : c’est un jeton à fort privilège présent sur un poste, utilisable depuis un autre poste, et un service de signature qui a accepté des transactions hors processus.
- Réponse annoncée : reconstruction du système de portefeuilles dans un nouvel environnement, reconstruction de l’outil interne d’IA et des contrôles d’accès, remplacement des postes touchés, révocation des identifiants et jetons, analyse de tous les postes, renforcement des contrôles de risque et de la détection comportementale.
Ce qu’on ne sait pas
- L’outil d’IA recherché en juin et le composant d’outil de développement remplacé en septembre.
- Le mécanisme exact par lequel l’outil interne d’IA a permis la prise de contrôle d’autres postes (droits d’exécution trop larges, absence de validation humaine, autre).
- Pourquoi le service de signature a accepté des transactions hors processus (absence de double contrôle, contrôle contourné, droits du conteneur).
- Comment le vol a été détecté, et si des indicateurs techniques seront publiés.
Détection : une alerte en juin, puis plus rien jusqu’au vol
- Ce qui a fonctionné : la compromission de juin a été détectée et les identifiants liés ont été changés.
- Ce qui a manqué : l’analyse d’impact de juin n’a pas traité l’exposition d’informations sur les personnes, réutilisées pour cibler B ; le code de septembre n’a pas été détecté ; le mouvement latéral du 20 octobre via l’outil interne d’IA est passé inaperçu ; neuf jours séparent la prise de contrôle des postes et le vol.
- Signaux exploitables : exécution de scripts d’installation depuis un dépôt récent sur un poste de développeur ; modification de binaires d’outils de développement ; actions de l’outil interne d’IA sur un poste autre que celui de l’utilisateur ; usage d’un jeton de déploiement depuis un poste qui n’est pas celui de son titulaire ; déploiement de conteneur hors chaîne d’intégration ; demande de signature hors du flux de retrait habituel.
Questions d’audit ISO 27001:2022
- A.6.3 (sensibilisation, enseignement et formation) et A.5.7 (renseignement sur les menaces) : « Les équipes techniques sont-elles formées aux faux recrutements et aux faux outils trouvés par moteur de recherche ? Montrez-moi la règle écrite qui interdit d’exécuter un code reçu d’un tiers sur un poste de l’entreprise, et la dernière action de sensibilisation sur ce thème. »
- A.8.19 (installation de logiciels sur des systèmes en exploitation), A.8.7 (protection contre les programmes malveillants) et A.8.1 (terminaux utilisateurs) : « Comment contrôlez-vous l’origine des logiciels installés sur les postes des développeurs ? Où un développeur peut-il tester un code externe sans risque pour son poste (machine isolée, environnement jetable) ? »
- A.5.17 (informations d’authentification), A.8.2 (droits d’accès privilégiés) et A.8.5 (authentification sécurisée) : « Où sont stockés les jetons qui permettent de déployer en production ? Quelle est leur durée de vie ? Un jeton volé peut-il être utilisé depuis un autre poste sans seconde authentification ? »
- A.5.26 et A.5.27 (réponse aux incidents ; enseignements tirés des incidents) et A.8.16 (activités de surveillance) : « Après un incident sur un poste, l’analyse d’impact couvre-t-elle les informations qui ont pu fuiter sur les personnes et les équipes ? Quelles alertes surveillent un déploiement ou une opération sensible lancés hors du circuit normal ? »
- A.5.3 (séparation des tâches) et A.8.32 (gestion des changements) : « Une opération à fort impact financier peut-elle être déclenchée par un seul compte, humain ou technique ? Montrez-moi la double validation et sa dernière preuve de fonctionnement. »
Pistes de sensibilisation
- Pour tous les salariés : « Le recruteur trop pressé » (10 minutes). Dérouler le scénario en quatre étapes (contact sur une plateforme d’emploi, entretien convivial, faux patron, exercice à télécharger) et les signaux d’alerte : entreprise introuvable, entretien qui bascule sur une messagerie, demande d’installer ou d’exécuter quelque chose. Règle : un exercice de recrutement ne s’exécute jamais sur un poste de l’entreprise. Support : la fiche réflexe de Cybermalveillance.gouv.fr « Propositions d’emploi non sollicitées ».
- Pour les équipes techniques et les prestataires : atelier « Où dorment nos clés ? » (30 minutes). Chaque développeur liste les jetons, clés et mots de passe présents sur son poste (fichiers de configuration, variables d’environnement, historique de commandes) et ceux qui donnent accès à la production. Conclure sur trois actions : coffre-fort de secrets, durée de vie courte, installation de logiciels uniquement depuis les sources officielles. Support : « Les 10 mesures essentielles pour assurer votre sécurité numérique » de Cybermalveillance.gouv.fr.
À lire aussi : notre décryptage « Vol record chez Binance : un faux entretien d’embauche et un faux logiciel au cœur de l’attaque » et notre bulletin de veille du 4 novembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.