Binance et Deribit désactivent les clés API de SignalPlus après une attaque d'ingénierie sociale de 82 000 $

Binance et Deribit coupent l’accès à SignalPlus

Les deux plateformes ont indiqué n’avoir constaté aucun problème de leur côté. Binance a précisé qu’aucun fonds de ses utilisateurs n’avait été perdu, tandis que Deribit a dit n’avoir relevé aucun signe de compromission de ses systèmes ou de ses données.

SignalPlus a expliqué que l’incident avait commencé le 4 novembre au petit matin et qu’il avait touché un petit nombre de comptes ne disposant pas de whitelisting IP, c’est-à-dire une restriction qui limite l’accès à certaines adresses IP autorisées. La société a indiqué avoir détecté et contenu rapidement l’intrusion.

Par précaution, elle a demandé à ses partenaires d’échange centralisés de révoquer toutes les clés API liées à SignalPlus et a temporairement suspendu ses services de terminal. Elle a aussi déclaré que le système avait arrêté l’activité de trading dans le cadre d’un audit de sécurité complet.

Dans un message publié le 5 novembre 2026, SignalPlus a résumé la situation : « Les pertes totales sont inférieures à 82 000 dollars américains, et tous les utilisateurs affectés seront remboursés intégralement. » La société a ajouté qu’elle s’attendait à remettre ses services complètement en ligne « au cours des prochains jours ».

Une attaque partie d’un faux message Telegram

SignalPlus a identifié l’attaque comme provenant du compte Telegram compromis d’un contact chez l’un de ses prestataires technologiques externes. L’attaquant s’est fait passer pour ce contact et a envoyé une fausse invitation à un ingénieur de SignalPlus.

Après avoir infecté l’ordinateur du salarié, l’intrus est resté silencieux jusqu’à pouvoir exploiter son accès au réseau interne de l’entreprise. SignalPlus affirme avoir détecté l’activité, l’avoir bloquée et avoir fermé les vulnérabilités identifiées.

La société a également reconnu que l’accès à l’API des exchanges ne reposait pas sur un whitelisting d’adresses IP. Elle a indiqué qu’elle allait modifier l’accès API, la sécurité des terminaux, les permissions internes et l’accès à la gestion des clés.

Le PDG de Binance, Changpeng Zhao, a conseillé à tous les utilisateurs connectés à SignalPlus d’annuler aussi leurs autres identifiants API. De son côté, Yi He, cofondatrice de Binance, a appelé les plateformes tierces intégrées à Binance à revoir leurs contrôles de sécurité et à signaler toute activité inhabituelle.

Services suspendus pendant les vérifications

SignalPlus a indiqué que ses services redémarreraient progressivement une fois les examens de sécurité et les correctifs appliqués. Pendant cette période, les utilisateurs peuvent toujours gérer leurs positions et leurs ordres ouverts directement via les exchanges, alors que le terminal SignalPlus reste suspendu.

L’incident intervient après un autre piratage de 6,3 milliards de dollars chez Binance le 29 octobre. Binance avait ensuite indiqué que l’attaque avait été menée via des ordinateurs d’employés piratés, dont celui d’un ingénieur ciblé par une fausse interview d’embauche.