La plateforme d’échange de cryptomonnaies Binance a révélé comment les attaquants ont utilisé des entretiens de recrutement frauduleux et des logiciels infectés par des logiciels malveillants pour infiltrer ses systèmes internes avant de voler environ 6,34 milliards de dollars d’actifs numériques. L’enquête de l’entreprise montre que l’attaque du 29 octobre 2026 a résulté d’une série de compromissions impliquant plusieurs employés sur plusieurs mois.
Selon Binance du 3 incident report novembre, les attaquants ont commencé à préparer l’opération dès juin, lorsqu’un ingénieur logiciel a téléchargé une installation Homebrew modifiée en cherchant un outil de développement IA. Bien que Binance ait détecté le logiciel suspect et remplacé l’appareil affecté, les attaquants avaient déjà obtenu des informations pouvant aider à d’autres intrusions.
Une attaque distincte a commencé en septembre lorsqu’un autre ingénieur a obtenu une opportunité d’emploi via une plateforme de recrutement légitime. L’employeur supposé était une entreprise fictive, et l’individu se présentant comme directeur de projet faisait partie de la tromperie.
L’ingénieur a participé à deux entretiens. Lors du premier, quelqu’un se faisant passer pour un représentant des ressources humaines a effectué un appel vidéo et partagé un profil sur les réseaux sociaux contenant des photos et vidéos personnelles pour établir sa crédibilité.
Lors du second entretien, réalisé via une application de messagerie, l’employeur supposé a demandé à l’ingénieur de télécharger un devoir de codage depuis un dépôt en ligne. Le devoir contenait des malwares non identifiés auparavant qui contournaient les protections de sécurité des points d’accès de l’entreprise.
Les enquêteurs de Binance ont découvert que le logiciel malveillant remplaçait un composant légitime de l’outil de développement sur l’ordinateur macOS de l’employé. Plus précisément, il a remplacé l’exécutable pyenv par une version modifiée capable d’exécuter les commandes reçues d’un serveur contrôlé par l’attaquant.
Au 20 octobre, les attaquants avaient combiné l’accès à l’ordinateur compromis avec un outil d’IA interne pour accéder aux systèmes appartenant à deux employés supplémentaires impliqués dans l’infrastructure du portefeuille cryptographique de Binance. Ils ont ensuite obtenu des identifiants et un jeton de déploiement de conteneur.
Le 29 octobre, cet accès volé a permis aux attaquants de déployer un code malveillant et de compromettre le service de signature de portefeuille de Binance. Cela a permis des transferts non autorisés de cryptomonnaies sur plusieurs blockchains sans suivre les procédures normales de retrait de la plateforme.
Les attaquants ont également exploité le mécanisme d’autorisation EIP-7702 d’Ethereum, ce qui a compliqué les efforts de Binance pour stopper les transferts. Les activités non autorisées ont continué même après que l’échange ait suspendu les retraits.
Le FBI a attribué le vol à TraderTraitor, un groupe de piratage parrainé par l’État nord-coréen également associé au groupe Lazarus. La Corée du Nord a nié toute implication, tandis que Binance n’a pas confirmé de manière indépendante l’identité des attaquants.
Binance a rapporté qu’environ 2,85 milliards de dollars d’actifs volés avaient été gelés ou interceptés d’ici le 3 novembre. La société a également déclaré avoir réapprovisionné environ 98 % des actifs de jetons affectés avec ses propres fonds.