Piratage de Binance : des appareils des employés au vol de cryptos

Chainalysis a mesuré environ $6.4 milliards de transferts non autorisés depuis les hot wallets de Binance sur plusieurs blockchains, à partir d’environ 4:20 p.m., heure de l’Est, le 29 octobre. Chainalysis a attribué le vol au groupe nord-coréen TraderTraitor après avoir observé que les fonds dérobés à Binance se mélangeaient on-chain à ceux provenant du vol de Bitget, déjà attribué au même groupe.

Les informations publiques disponibles distinguent pour l’instant la présence générale des attaquants de leur accès aux opérations liées aux wallets. Security Alliance estime que l’intrusion associée à la compromission d’appareils d’employés de Binance en septembre a duré environ huit semaines avant le vol. Cointelegraph a rapporté que Binance distinguait cette période de compromission des appareils de l’accès aux opérations liées aux wallets, que la plateforme affirme n’avoir été obtenu que le 20 octobre.

• Juin 2026 : Binance affirme qu’un ingénieur Wallet DevOps a téléchargé un programme d’installation Homebrew falsifié alors qu’il cherchait à installer un outil d’IA pour le développement.
• Septembre : Selon Binance, un deuxième ingénieur a été compromis après qu’un faux processus de recrutement lui a transmis un exercice d’entretien malveillant.
• 20 octobre : D’après Binance, les attaquants ont utilisé l’ordinateur compromis du deuxième ingénieur et un outil d’IA interne pour prendre le contrôle des appareils de deux autres ingénieurs wallet.
• Avant le 29 octobre : Binance indique que les attaquants ont découvert, sur l’ordinateur compromis d’un ingénieur, un token d’autorisation permettant le déploiement de conteneurs.
• 29 octobre : Selon Binance, les attaquants ont atteint les opérations de signature des wallets ; Chainalysis a mesuré des transferts non autorisés à partir d’environ 4:20 p.m., heure de l’Est.
• 3 novembre : Selon Chainalysis, environ $2.8 milliards d’actifs volés avaient été gelés à 11:30 a.m., heure de l’Est.

Pour un utilisateur d’exchange centralisé qui compare différents modèles de conservation, la distinction essentielle dans la chronologie publiée se situe entre la compromission prolongée d’appareils d’employés et l’accès ultérieur aux opérations liées aux wallets. Selon le récit de Binance, les attaquants sont passés des appareils compromis à un outil d’IA interne, puis aux appareils d’autres ingénieurs wallet, à un token de déploiement et enfin aux opérations de signature des wallets.

Cette séquence aide à déterminer où se concentre le risque opérationnel : l’incident décrit par Binance ne repose pas sur une étape isolée, mais implique les postes de travail des employés, les outils internes, les identifiants et l’infrastructure des wallets. Il s’agit d’une déduction tirée de la chronologie publiée par Binance, et non d’une conclusion issue de l’audit indépendant annoncé.

Binance affirme avoir reconstruit le système de wallets et l’outil d’IA interne concernés, remplacé les appareils affectés, révoqué les identifiants et tokens associés, et renforcé les contrôles de risque de ses services de wallets.

Plusieurs questions restent sans réponse dans les recherches fournies :

• Quelle faille technique de l’outil d’IA interne de Binance a permis le déplacement latéral ?
• Quels contrôles n’ont pas détecté la compromission de septembre pendant la période estimée à huit semaines ?
• Quelle part des cryptomonnaies gelées sera finalement récupérée ?
• L’audit indépendant annoncé par Binance modifiera-t-il la chronologie initiale ou l’analyse des causes profondes ?
• Pourquoi les estimations publiques évaluent-elles l’impact à environ $6.3 milliards ou $6.4 milliards ?

Servez-vous de la séquence rapportée par Binance comme d’une liste de questions à poser, et non comme d’une preuve que toutes les plateformes présentent le même profil de risque. Avant de modifier votre façon de trader, vérifiez :

• Qui contrôle les retraits ou les signatures des wallets.
• Quels appareils et identifiants peuvent autoriser des opérations sensibles.
• Si un wallet en auto-garde vous oblige à sécuriser vous-même vos seed phrases, vos appareils de signature et vos autorisations.
• Si la plateforme a publié une chronologie de l’incident, les mesures prises en réponse et un audit indépendant.
• Si les fonds annoncés comme gelés sont clairement distingués des fonds effectivement récupérés.

Les deux premiers points découlent du vecteur d’attaque décrit par Binance. La distinction entre fonds gelés et fonds récupérés reste une question ouverte dans les recherches fournies.