Les premières conclusions de l’enquête interne ouverte par Binance pour faire la lumière sur le « piratage » qui a causé un préjudice de 6,3 milliards de dollars (5,65 milliards d’euros) à la plateforme de cryptomonnaies indiquent que les responsables de l’attaque ont préparé pendant des mois une opération complexe dans laquelle ils ont combiné plusieurs techniques et ont même organisé de fausses entrevues d’embauche.
Selon la chronologie diffusée par la société, l’incident a commencé en juin, lorsqu’un ingénieur du service d’infrastructure des portefeuilles (wallets) a téléchargé une installation manipulée en cherchant un outil de programmation d’IA. L’équipe de sécurité a détecté l’anomalie, a remplacé l’appareil concerné et a fait une rotation des identifiants, mais le poste de l’ingénieur et celui de ses collègues ont été exposés à l’attaquant.
En septembre, un second ingénieur a été contacté via une plateforme officielle de recherche d’emploi par un prétendu directeur de projet, qui a organisé deux entretiens : l’un par visioconférence avec un faux responsable des Ressources humaines et l’autre par chat avec un prétendu directeur général d’une entreprise fictive. À la fin de ce dernier, on lui a demandé de télécharger sur son ordinateur de travail une « tâche », un dépôt qui, lors de l’installation, a exécuté du code malveillant.
Le « malware » a remplacé un composant légitime d’un outil de développement par une variante malveillante capable d’exécuter des commandes, de se connecter à un serveur contrôlé par l’attaquant et d’effacer les traces de son activité. Les solutions de protection installées sur les équipements n’ont pas identifié ce malware de « jour zéro ».
Le 20 octobre, l’attaquant a utilisé l’équipement compromis et un outil interne d’IA pour prendre le contrôle des machines d’un ingénieur DevOps et d’un autre ingénieur logiciel, et a trouvé sur l’une d’elles un token disposant de privilèges pour déployer des conteneurs.
Le 29 octobre, entre 17 h 15 et 19 h 56, l’attaquant a accédé à l’ordinateur du second ingénieur, a utilisé les identifiants dérobés, a lancé un conteneur et a activé un script malveillant avec lequel il a mené l’attaque sur les opérations de signature de portefeuilles (wallets).
Binance, qui affirme avoir détecté et bloqué 57 tentatives de cyberattaque prétendument liées à la Corée du Nord depuis le début de 2026, a reconstruit le système de portefeuilles et l’outil d’IA touchés, remplacé les dispositifs compromis, révoqué les identifiants et les tokens, et renforcé à la fois l’analyse de sécurité ainsi que la détection d’anomalies et les contrôles de risque.
La société a indiqué qu’elle gardera en réserve une partie des contre-mesures mises en place afin de ne pas fournir d’indices à d’éventuels attaquants et que l’enquête reste ouverte.