Binance déjoue 57 cyberattaques liées à la Corée du Nord avant une intrusion

Binance a indiqué avoir repéré et bloqué 57 cas de cybermenaces soupçonnées d'être liées à la Corée du Nord en 2026, avant qu'une intrusion ne parvienne à franchir ses protections, selon Technext. Cette attaque, menée via un faux entretien d'embauche, a permis aux pirates de vider les portefeuilles chauds de la plateforme.

L'échange a détaillé ces éléments dans un premier rapport publié sur X. Il évoque environ 6,34 milliards de dollars d'actifs numériques affectés, dont près de 2,85 milliards ont été gelés ou interceptés. Binance précise qu'elle assumera la perte à la place de ses utilisateurs et que 98 % des actifs concernés ont été reconstitués, avec vérification possible sur sa page Proof of Reserves.

Un mode opératoire en plusieurs étapes

S'appuyant sur les dernières informations du Federal Bureau of Investigation (FBI), Binance attribue l'incident à la Corée du Nord. La plateforme souligne que ces 57 cas traduisent la menace persistante d'acteurs étatiques visant le secteur des cryptomonnaies.

Les techniques recensées incluent de faux entretiens d'embauche, des logiciels malveillants déguisés en outils de développement répandus, des paquets logiciels et extensions de navigateur compromis, de fausses applications de visioconférence, ainsi que des campagnes d'ingénierie sociale destinées à dérober des identifiants ou à installer des logiciels d'accès à distance.

De juin à septembre, deux ingénieurs ciblés

Binance décrit l'intrusion comme une campagne à plusieurs étapes, et non comme une brèche isolée ou une simple tentative d'hameçonnage. Le premier signal d'alerte remonte à juin : un ingénieur DevOps de l'équipe portefeuilles a téléchargé une installation Homebrew altérée en cherchant un outil de codage assisté par IA. L'échange affirme avoir détecté l'anomalie, remplacé l'appareil et changé les identifiants associés. Le rôle de l'ingénieur et de ses collègues de l'équipe portefeuilles avait toutefois déjà été exposé aux pirates.

En septembre, un second ingénieur a été contacté sur une plateforme de recherche d'emploi par une personne se présentant comme directrice de projet. Son profil mentionnait son expérience chez Binance. Un premier entretien vidéo a suivi avec une prétendue responsable RH, qui a partagé un compte de réseau social contenant photos et vidéos personnelles pour instaurer la confiance. Binance qualifie cette approche de plus trompeuse que les précédentes techniques d'ingénierie sociale.

Le second entretien s'est déroulé sur une messagerie grand public avec une personne se disant PDG d'une société fictive. Vers la fin, l'ingénieur a été invité à télécharger un « devoir » sur son ordinateur professionnel. Le code qu'il contenait s'est exécuté pendant l'installation et a ouvert un canal vers un serveur contrôlé par l'attaquant. Binance précise que ce logiciel malveillant de type zero-day n'a pas été détecté par ses outils de sécurité des terminaux à ce moment-là.

Des portefeuilles reconstruits et un audit annoncé

L'attaquant a ensuite utilisé l'ordinateur compromis et un outil d'IA interne pour prendre le contrôle de deux autres ingénieurs de l'équipe portefeuilles. Selon Binance, un jeton d'autorisation de déploiement de conteneur trouvé sur la machine de l'un d'eux a servi, le jour de l'attaque, à déployer un conteneur et à déclencher le script malveillant.

La plateforme indique que les attaquants ont exploité le mécanisme d'autorisation EIP-7702 d'Ethereum via le service de signature, ce qui a permis de continuer à déplacer des actifs même après la suspension des retraits. Le portefeuille chaud reposant sur du calcul multipartite (MPC), il n'existait pas de clé privée unique à révoquer pour annuler les autorisations malveillantes : l'équipe a donc dû mettre au point une procédure spécifique, plus longue à appliquer.

Depuis, Binance affirme avoir reconstruit le système de portefeuilles touché ainsi que son outil d'IA interne, remplacé les appareils concernés, désactivé les identifiants liés et renforcé sa détection d'anomalies. Un audit de sécurité indépendant est prévu, et certains détails techniques resteront confidentiels. La plateforme qualifie son rapport de préliminaire : ses conclusions restent soumises à une revue indépendante.