Un faux entretien et un Homebrew piégé : voici les dessous du vol de 6,3 milliards de dollars chez Binance

Ingénieur A, ingénieur B et ingénieur C. Voici les trois principaux protagonistes du billet de blog publié par Binance le 3 novembre 2026.

Dans ce rapport, la plateforme d’échange revient sur le piratage au cours duquel l’équivalent de 6,34 milliards de dollars d’actifs numériques lui a été dérobé.

Selon l’entreprise, ce vol est le résultat d’une campagne lancée dès le mois de juin, mêlant faux entretiens de recrutement, téléchargements malveillants et compromission d’ordinateurs d’employés.

L’entretien d’embauche a donné aux attaquants leur point d’entrée vers Binance

L’ingénieur A apparaît le premier dans la chronologie. En juin, ce spécialiste de l’infrastructure des portefeuilles aurait cherché en ligne un outil de programmation par IA et téléchargé une version piégée de l’installateur de logiciels Homebrew. Si Binance souligne que son équipe de sécurité a repéré l’anomalie, remplacé son appareil et renouvelé ses identifiants, cette compromission initiale aurait permis au pirate d’identifier le rôle de la victime, mais aussi celui de ses collègues.

Et votre vie numérique devient sereine

Bitdefender Premium Security est une solution de cybersécurité européenne qui vous protège automatiquement contre les pirates et toutes les menaces du web. Profitez de vos activités en ligne en toute tranquillité

Sponsorisé

La cybersécurité est en promo

Trois mois plus tard, l’ingénieur B, développeur logiciel, a été contacté à son tour sur une plateforme de recherche d’emploi par un individu se présentant comme directeur de projet. Un prétendu représentant des ressources humaines l’a reçu en visio et a cherché à gagner sa confiance.

Un second entretien a suivi, avec le supposé PDG de l’entreprise fictive, qui a demandé à l’ingénieur B de télécharger un « exercice » sur son ordinateur professionnel. Le code contenait un logiciel malveillant qui s’est exécuté pendant l’installation, cette fois sans être détecté par les outils de sécurité de Binance.

Selon le rapport, c’est cet ordinateur qui a permis aux attaquants d’atteindre l’équipe portefeuilles. Le 20 octobre, les hackers s’en sont ainsi servis, avec un outil d’IA interne à Binance, pour prendre le contrôle des machines de l’ingénieur A, de nouveau visé malgré le remplacement de son appareil, et de l’ingénieur C, qui travaillait lui aussi sur les portefeuilles. Sur le poste de A, ils ont trouvé un jeton permettant de déployer des environnements logiciels prêts à l’emploi.

L’assaut final a été lancé le 29 octobre. Les hackers se sont alors connectés à l’ordinateur de C, puis ont utilisé les identifiants volés à A pour déployer l’un de ces environnements et lancer un script malveillant. Ils ont ensuite détourné le service interne de signature pour émettre des transactions en dehors du processus normal de retrait.

À partir de 20h05 UTC, plusieurs cryptomonnaies, dont 18 270 bitcoins, ont été envoyées vers des adresses contrôlées par les attaquants. Le dernier transfert a été finalisé à 23h56 UTC.

Un rapport incomplet

Plusieurs questions restent ouvertes. Binance présente ce document comme un rapport initial et explique que certains détails techniques resteront confidentiels. Le rapport ne précise pas quel était l’outil d’IA interne, ni comment il a permis aux attaquants de passer de l’ordinateur d’un ingénieur à celui d’un autre.

Quelques jours avant la publication du rapport, le FBI avait attribué le vol à TraderTraitor, un groupe nord-coréen lié à Lazarus et connu pour se faire passer pour des employeurs afin de piéger des ingénieurs.

Binance rappelle par ailleurs que 2,85 milliards de dollars ont depuis été gelés ou interceptés et affirme qu’elle assumera seule la perte.

Toute l'actu tech en un clin d'œil

Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !

Installer Numerama