Binance : des hackers ont utilisé de faux entretiens d'embauche et des outils d'IA
Un cyberattaque sophistiquée visant Binance a mêlé faux entretiens de recrutement, logiciel malveillant et outil d'IA interne, selon des éléments communiqués par la plateforme. L'opération, attribuée par le FBI à des hackers nord-coréens, a fini par toucher les hot wallets de l'exchange, ces portefeuilles connectés à Internet utilisés pour les transactions courantes.
Une intrusion commencée par un faux processus de recrutement
Selon The Guardian, l'intrusion a débuté en juin lorsqu'un ingénieur de la société a téléchargé par inadvertance un malware. Ce programme aurait permis d'identifier les rôles des équipes chargées de l'infrastructure de wallets.
En septembre, l'attaque a pris une nouvelle dimension avec une technique d'ingénierie sociale. Un faux directeur de projet a contacté un autre ingénieur sur une plateforme de recherche d'emploi, ce qui a conduit à des entretiens vidéo avec un faux représentant des ressources humaines, puis à un second entretien avec un faux directeur général.
Lors de cette seconde réunion, l'ingénieur a été piégé et amené à installer un logiciel malveillant. L'accès obtenu a ensuite servi à poursuivre l'opération contre les systèmes de Binance.
Des systèmes compromis jusqu'au vol sur les hot wallets
Au 20 octobre, l'attaquant a utilisé l'ordinateur compromis et un outil d'IA interne pour prendre le contrôle de systèmes appartenant à deux développeurs de wallets. Le 29 octobre, il a ensuite exploité des identifiants volés pour exécuter un script malveillant ayant permis de siphonner des actifs numériques depuis les hot wallets de la plateforme.
Binance a indiqué qu'environ 2,85 milliards de dollars sur les 6,34 milliards de dollars visés par l'attaque ont été gelés ou interceptés.
Attribution à la Corée du Nord et réponse de Pyongyang
Le FBI a attribué l'opération à des hackers nord-coréens. De leur côté, des responsables nord-coréens ont rejeté l'accusation par l'intermédiaire de l'agence de presse d'État KCNA, qualifiant cette déclaration de "absurd rhetoric".
L'affaire intervient dans un contexte où Binance a détaillé une chaîne d'attaque combinant tromperie au recrutement, accès technique après compromission d'un poste de travail et utilisation d'un outil interne pour atteindre des systèmes sensibles. Les éléments rendus publics par l'entreprise décrivent une progression en plusieurs étapes, du premier téléchargement du malware en juin jusqu'au script malveillant exécuté fin octobre.
