Binance et Deribit révoquent les clés API de SignalPlus après une attaque via une fausse invitation Teams

L'épisode illustre une tendance qui se répète dans les incidents de sécurité liés aux exchanges : des attaquants passent par des terminaux compromis, souvent via de l'ingénierie sociale, plutôt que d'attaquer directement les systèmes des plateformes. Binance a, de son côté, demandé aux services tiers intégrés à l'exchange d'auditer leurs contrôles de sécurité et de surveiller tout comportement suspect.

SignalPlus dit avoir identifié l'origine de l'attaque

Dans une mise à jour publiée jeudi, Binance et Deribit ont indiqué avoir coupé l'accès via les API connectées à la plateforme de trading sur produits dérivés SignalPlus. Deribit a surtout averti que les fonctions de trading, de surveillance et d'automatisation reposant sur SignalPlus avaient cessé de fonctionner pour ses clients.

Selon SignalPlus, l'attaque serait partie d'un compte Telegram compromis appartenant à un contact d'un fournisseur technologique tiers. D'après la publication de la société sur X, l'attaquant se serait fait passer pour ce contact afin d'envoyer à un ingénieur SignalPlus une fausse invitation à une réunion Microsoft Teams.

SignalPlus a indiqué que l'ordinateur de l'employé avait été compromis à la suite de cet échange. L'entreprise ajoute que l'attaquant est resté inactif sur la machine infectée avant d'utiliser les accès de l'ingénieur pour viser le réseau interne de SignalPlus en début de mercredi.

Des pertes limitées, mais des contrôles renforcés

SignalPlus dit avoir détecté et contenu l'intrusion. La société évoque des pertes totales inférieures à 82 000 dollars et précise avoir commencé à rembourser intégralement les utilisateurs affectés. Elle a aussi suspendu temporairement ses services et prévoit de les rétablir dans les prochains jours, après des vérifications de sécurité et l'application de correctifs.

Dans son propre bilan, SignalPlus reconnaît ne pas avoir imposé de whitelisting IP pour l'accès aux API des exchanges, une mesure qui limite cet accès à des adresses Internet prédéfinies. L'entreprise dit assumer cette lacune et promet de renforcer ses exigences d'accès API ainsi que ses contrôles internes. Yi He, cofondatrice de Binance, a aussi appelé les plateformes tierces intégrées à l'exchange à revoir leurs contrôles de sécurité.

Un nouvel épisode après un autre hack chez Binance

L'incident survient quelques jours après des révélations de Binance sur un piratage distinct, évalué à 6,3 milliards de dollars selon une couverture précédente liée à ce dossier. Là encore, l'affaire impliquait des ordinateurs d'employés compromis.

Dans son postmortem, Binance a expliqué que des attaquants s'étaient fait passer pour des recruteurs et avaient piégé un ingénieur avec un fichier malveillant présenté comme un exercice de codage. Après avoir compromis le poste de travail, ils auraient ensuite progressé latéralement avant d'accéder à l'infrastructure de portefeuille de l'exchange.

Yi He avait aussi déclaré auparavant que l'exchange avait détecté et empêché 57 cybermenaces suspectées d'être liées à la Corée du Nord en 2026, notamment des entretiens d'embauche frauduleux, des packages logiciels malveillants et des tentatives de vol d'identifiants employés.