Binance a publié le 3 novembre 2026 le premier récit détaillé du vol qu’elle a subi fin octobre. Pas de faille spectaculaire : un faux logiciel trouvé sur un moteur de recherche, un faux recruteur, et un accès oublié sur un ordinateur portable. Une leçon qui vaut pour toutes les entreprises, bien au-delà des cryptomonnaies.
Ce qui s’est passé
Le 29 octobre 2026, Binance, la plus grande plateforme d’échange de cryptomonnaies au monde, a vu sortir de ses portefeuilles l’équivalent de 6,43 milliards de dollars, selon le dernier chiffre cité par The Hacker News. C’est le plus gros vol de cryptomonnaies connu. Près de 3 milliards avaient été gelés dans les jours suivants, et le FBI a attribué l’attaque à un groupe lié à la Corée du Nord.
Le 3 novembre, Binance a raconté comment les attaquants sont entrés. Selon l’entreprise, il ne s’agit pas d’une intrusion isolée, mais d’une campagne en plusieurs étapes, préparée pendant des mois.
Comment l’attaque a fonctionné
Juin : un faux logiciel. Un ingénieur de l’équipe qui gère les portefeuilles cherche un outil d’intelligence artificielle sur un moteur de recherche. Il tombe sur une version piégée de Homebrew, un outil très utilisé pour installer des logiciels sur Mac. Binance détecte l’incident et change les mots de passe et accès concernés. Mais les attaquants ont eu le temps d’apprendre qui travaille dans cette équipe.
Septembre : un faux recrutement. Un deuxième ingénieur est contacté sur une vraie plateforme d’emploi par un faux « directeur de projet ». Suivent deux entretiens : l’un avec une fausse responsable des ressources humaines, qui montre ses photos personnelles pour inspirer confiance, l’autre avec le faux patron d’une entreprise qui n’existe pas. À la fin, on lui demande de télécharger un « exercice » sur son ordinateur de travail. En l’installant, il lance sans le savoir un programme espion, qui n’est pas détecté.
Octobre : le passage à l’acte. Le 20 octobre, depuis ce poste, les attaquants détournent un outil interne d’IA pour prendre la main sur deux autres ordinateurs. Sur l’un d’eux traîne un « jeton », une sorte de clé numérique qui permet de déployer des programmes sur les serveurs. Le 29 octobre, en moins de trois heures, ils s’en servent pour lancer un programme qui fait valider des retraits en dehors du circuit normal.
Ce qu’on ne sait pas encore
Binance ne dit pas comment l’outil interne d’IA a pu prendre la main sur d’autres postes, ni pourquoi le service qui valide les retraits a accepté des opérations hors procédure. Nous n’avons pas pu lire directement la publication de Binance : nous nous appuyons sur la reprise détaillée de The Hacker News.
Ce que ça change pour une PME
- Une seule source pour installer un logiciel : le site de l’éditeur. Pas le premier lien d’un moteur de recherche, qui peut être une publicité ou un faux site. Le mieux est que seul le prestataire ou le référent informatique installe.
- Aucun fichier d’un inconnu sur un poste de l’entreprise, même pour un recrutement. Un vrai recruteur ne demande pas d’exécuter un programme sur l’ordinateur de son employeur actuel. La fiche réflexe de Cybermalveillance.gouv.fr sur les propositions d’emploi non sollicitées liste les signaux d’alerte.
- Les accès qui touchent à l’argent ou à la production ne restent pas dans un fichier. Ils se rangent dans un coffre-fort de mots de passe, avec une double authentification, et les opérations sensibles demandent la validation de deux personnes.
- Après un incident, posez-vous la question de la suite. Changer les mots de passe ne suffit pas : qu’est-ce que l’attaquant a appris sur nos équipes, et qui risque d’être visé ensuite ?
Le regard de l’auditeur
Quatre questions à vous poser, ou à poser à votre prestataire. Elles s’inspirent de ce que vérifie un auditeur ISO 27001 :
- Avons-nous une règle claire, connue de tous, qui interdit d’exécuter sur un poste de l’entreprise un fichier reçu d’un inconnu, y compris dans le cadre d’un recrutement ?
- Qui peut installer un logiciel sur nos ordinateurs, et depuis quelles sources ?
- Où sont rangés les accès qui permettent de déplacer de l’argent ou de modifier nos serveurs, et une seule personne peut-elle s’en servir sans contrôle ?
- Après notre dernier incident, avons-nous vérifié ce que l’attaquant avait pu apprendre sur nos équipes, et prévenu les personnes exposées ?
Pour les pros : notre analyse technique (mode opératoire, MITRE ATT&CK, questions d’audit ISO 27001).
Dossiers : Pièges tendus aux utilisateurs · Mots de passe et accès volés
Cet article prolonge notre bulletin de veille du 4 novembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.