Une intrusion commencée bien avant le vol
Selon le rapport publié par Binance, la phase préparatoire a débuté en juin 2026. Un ingénieur, désigné « ingénieur A », aurait installé une version altérée de Homebrew alors qu’il configurait un outil de programmation assisté par intelligence artificielle. L’appareil a ensuite été remplacé et les identifiants renouvelés, mais l’attaquant aurait déjà collecté des informations sur les rôles et les collègues.
En septembre, un second ingénieur aurait été approché sur une plateforme de recrutement légitime. Après un premier entretien vidéo, la fausse société lui aurait demandé d’exécuter un dépôt de code présenté comme un exercice technique. Binance affirme que ce dépôt contenait un malware exploitant une vulnérabilité alors inconnue et remplaçant un composant de l’environnement Python.
| Période | Étape | Statut |
|---|---|---|
| Juin | Installateur Homebrew altéré sur le poste de l’ingénieur A. | Déclaration de Binance |
| Septembre | Faux recrutement et dépôt de code malveillant visant l’ingénieur B. | Déclaration de Binance |
| 20 octobre | Pivot via un outil d’IA interne et recherche d’accès de déploiement. | Conclusion de l’enquête interne |
| 29–30 octobre | Déploiement du script malveillant et sorties d’actifs. | Fait confirmé par les flux et l’incident |
L’IA, accélérateur plutôt que point d’entrée unique
Le rapport ne décrit pas une intelligence artificielle ayant piraté seule l’exchange. L’accès initial repose sur des techniques classiques : logiciel piégé, ingénierie sociale et exécution de code. L’outil interne aurait ensuite aidé l’attaquant à comprendre l’architecture et à repérer des ressources utiles.
Confirmé : Binance a subi des sorties massives d’actifs et a publié un rapport d’incident. Déclaré : la chronologie fine, les postes compromis et le rôle exact de l’outil d’IA proviennent de Binance. Attribué : le FBI relie l’attaque à la Corée du Nord. Aucun rapport technique indépendant complet n’a encore été rendu public.
Un jeton de déploiement au centre de la compromission
Après ses mouvements latéraux, le groupe aurait découvert un jeton permettant de déployer des conteneurs. Ce type de secret donne un pouvoir important : il permet d’introduire du code dans une infrastructure sans nécessairement prendre le contrôle direct de tous les systèmes.
Binance indique que les assaillants ont utilisé ce mécanisme pour lancer un conteneur et exécuter un script malveillant lié au processus de signature. La plateforme n’a pas publié l’ensemble des journaux ni le détail des contrôles contournés.
6,34 milliards de dollars affectés
Binance évalue à 6,34 milliards de dollars la valeur des actifs touchés. L’entreprise assure disposer de réserves suffisantes et affirme qu’au 31 octobre, 98 % des jetons affectés avaient été reconstitués. Elle indique aussi qu’environ 2,85 milliards de dollars avaient été gelés ou interceptés avec l’aide de partenaires.
Ces chiffres sont ceux de Binance et peuvent évoluer avec la récupération, la réémission ou la variation du prix des actifs. Ils ne signifient pas nécessairement que l’intégralité du montant demeure définitivement perdue.
Les enseignements pour les entreprises crypto
Traiter le recrutement comme une surface d’attaque
Les équipes techniques sont ciblées en dehors des canaux habituels de sécurité. Un entretien crédible et un dépôt Git apparemment professionnel peuvent contourner la vigilance accordée aux pièces jointes classiques.
Isoler les assistants de développement
Un assistant d’IA connecté à la documentation, au code et aux outils internes peut accélérer le travail légitime, mais aussi amplifier les capacités d’un intrus. Les droits doivent être limités, les requêtes journalisées et les secrets exclus des contextes accessibles.
Réduire la durée de vie des jetons
Les secrets de déploiement devraient être éphémères, liés à une identité et à un environnement précis. Un second facteur ou une approbation indépendante peut empêcher qu’un seul poste compromis suffise à modifier une infrastructure sensible.
Une attribution nord-coréenne aux enjeux géopolitiques
Le FBI a attribué l’opération à la Corée du Nord. Binance affirme avoir bloqué 57 incidents suspects associés à des acteurs nord-coréens en 2026. L’attribution étatique repose généralement sur un faisceau d’indices techniques, opérationnels et financiers ; tous ne sont pas publics.
La publication du rapport transforme donc l’affaire en cas d’école : la sophistication ne réside pas dans une unique faille spectaculaire, mais dans l’enchaînement patient de plusieurs accès faibles jusqu’à une ressource critique.
