Binance : un faux entretien d'embauche et un logiciel truqué ont mené à un vol de 6,3 milliards de dollars en cryptos

L'échange précise qu'il rembourse les clients dont les fonds ont été volés. Le rapport remonte l'incident à juin et décrit une opération menée en plusieurs étapes sur plusieurs mois.

Une intrusion préparée pendant des mois

Le piratage de Binance a commencé, selon l'entreprise, lorsqu'un employé de l'équipe de développement des portefeuilles a téléchargé un outil modifié par des hackers. Binance a ensuite détecté le problème, remplacé l'appareil et changé les identifiants, mais le rôle de cet employé et ceux d'autres membres de l'équipe sont restés exposés.

Un témoin familier de l'incident a indiqué que la version malveillante se trouvait dans une publicité, ce qui lui permettait d'apparaître plus haut dans les résultats de recherche que l'outil réel. Michael Barnhart, chercheur chez DTEX, a de son côté rappelé que les faux entretiens d'embauche sont une technique de piratage bien connue.

En septembre, un second ingénieur logiciel a téléchargé un dépôt de code malveillant après un entretien. Le candidat pensait que le poste était réel. L'échange comprenait une réunion virtuelle avec le PDG d'une société fictive.

Le transfert de 233,46 millions de XRP en quatre minutes

Le 20 octobre, l'attaquant a utilisé l'ordinateur compromis et un outil d'IA interne. Cela lui a donné le contrôle du système du développeur de portefeuille et de celui d'un deuxième développeur. Neuf jours plus tard, il s'est servi de l'ordinateur de ce deuxième développeur, tandis que des identifiants volés au premier permettaient d'activer un script malveillant.

Le 29 octobre, l'attaque s'est accélérée. Les assaillants ont transféré 233,46 millions de XRP depuis cinq hot wallets vers une adresse contrôlée par l'attaquant en quatre minutes. Ils ont ensuite retiré d'autres cryptomonnaies, dont du bitcoin. Binance a indiqué que les attaquants avaient utilisé 50 transactions de signature pour manipuler le compte.

La réponse de Binance

Binance a reçu une alerte interne concernant de gros transferts et a lancé une enquête. La plateforme a suspendu les retraits, gelé les tokens concernés et supprimé les autorisations non autorisées. Ces mesures ont permis de bloquer environ 2,85 milliards de dollars d'actifs, mais elles n'ont pas suffi à empêcher tous les mouvements.

L'échange a aussi dû mettre en place de nouvelles procédures pour révoquer les autorisations, ce qui a ralenti sa réponse. Le dernier transfert non autorisé a eu lieu à 2356 GMT, près de quatre heures après le début de l'attaque. Binance a présenté ses excuses aux utilisateurs, aux partenaires et à l'ensemble du secteur, en écrivant dans son rapport : "This should not have happened."

La société a enfin indiqué avoir empêché 57 cybermenaces soupçonnées d'être liées à la Corée du Nord en 2026. Elle a aussi annoncé renforcer ses investissements dans la détection assistée par IA, ainsi qu'un fonds de recherche en sécurité et des initiatives ciblées avec de grandes entreprises d'IA.