Le piratage de Binance, révélé le 29 octobre 2026, est le plus important vol de cryptoactifs jamais documenté. Derrière le montant, un enchaînement de plusieurs mois : un outil de développement piégé, un faux recrutement, un assistant d'intelligence artificielle interne détourné et une faiblesse de conception dans le mécanisme d'autorisation des portefeuilles. Binance a publié le 3 novembre 2026 un rapport préliminaire qui décrit cette campagne. Les éléments ci-dessous s'appuient sur ce rapport, sur l'alerte du FBI du 31 octobre et sur les analyses de sociétés spécialisées. Les estimations de montant varient légèrement selon la date de valorisation retenue.
Une précision liminaire s'impose. Le piratage de Binance ne se résume pas à un salarié trompé. Le rapport de l'entreprise, comme les déclarations de son co-directeur général Richard Teng, situe la responsabilité au niveau du dispositif technique et organisationnel, et non sur une personne. Cette lecture est essentielle pour tirer des enseignements utiles.
Chronologie : cinq mois de préparation
Le rapport décrit une progression lente, poste par poste, sur environ cinq mois. Chaque étape prépare la suivante.
Juin 2026 : un outil de codage assisté par IA piégé
Un ingénieur de l'équipe chargée de l'exploitation des portefeuilles cherche à installer un outil de programmation assisté par intelligence artificielle. Via une campagne publicitaire, il télécharge un installateur Homebrew modifié. Le composant est malveillant. L'équipe de sécurité de Binance détecte l'anomalie, remplace l'appareil et renouvelle les identifiants. L'incident est contenu, mais il a déjà livré aux attaquants une information précieuse : le rôle de cet ingénieur et de ses collègues au sein de l'infrastructure des portefeuilles. Ce type de piège s'inscrit dans une tendance plus large, analysée dans notre article sur l'IA générative comme nouveau vecteur de menaces pour les entreprises.
Septembre 2026 : le faux entretien d'embauche
Un second ingénieur, dont le profil sur une plateforme d'emploi légitime mentionne son expérience chez Binance, est contacté par une personne se présentant comme directrice de projet. Le processus de recrutement est soigné. Un premier entretien se tient en visioconférence avec une prétendue responsable des ressources humaines, qui partage un compte de réseau social garni de photos et de vidéos personnelles pour instaurer la confiance. Un second entretien se déroule sur une messagerie, avec une personne se faisant passer pour le dirigeant d'une société fictive. Ce schéma de recrutement fictif rejoint les campagnes de phishing ciblé décrites dans notre décryptage de la campagne Boeing RFQ et Cobalt Strike.
À l'issue de ce processus, l'ingénieur est invité à télécharger un exercice de codage sur son ordinateur professionnel. Le dépôt de code exécute un programme malveillant pendant l'installation. Ce programme remplace un composant légitime de l'outil de gestion de versions Python, pyenv, par une version piégée. Il recourt à des techniques d'obscurcissement et d'évasion, et n'est pas détecté par les protections du poste. Binance qualifie cette approche d'ingénierie sociale plus avancée et plus trompeuse que ce qu'elle avait observé jusque-là.
20 octobre 2026 : l'outil d'IA interne comme relais
Depuis le poste compromis en septembre, les attaquants utilisent un outil d'intelligence artificielle interne à Binance pour prendre la main sur les ordinateurs de deux autres ingénieurs de l'équipe portefeuilles, dont celui de juin. Le rapport ne détaille pas le mode opératoire exact de ce relais, et l'entreprise indique que certains éléments techniques resteront confidentiels. Les informations publiées décrivent un outil légitime, détourné par quelqu'un qui contrôlait déjà un poste de l'entreprise.
29 octobre 2026 : le passage à l'acte
Entre 17 h 15 et 19 h 56, heure UTC, l'attaquant se connecte à l'ordinateur d'un troisième ingénieur. Il utilise des identifiants volés, déploie un conteneur et lance un script malveillant. Il atteint ensuite un service interne de signature des portefeuilles, ce qui lui permet d'initier des transactions hors de la procédure normale de retrait.
Le mécanisme central repose sur une délégation inscrite directement sur la blockchain Ethereum, via le dispositif EIP-7702. Les attaquants ont délégué des droits d'exécution à un contrat qu'ils contrôlaient, sans exposer de clé privée. Une cinquantaine de transactions de signature a servi à mettre ce dispositif en place. À partir de 20 h 05, cinq portefeuilles chauds de Binance envoient 233,46 millions de XRP vers une adresse contrôlée par l'attaquant. L'essentiel des fonds quitte les portefeuilles en une vingtaine de minutes, sur une dizaine de blockchains, Ethereum et Bitcoin en tête.
La suite illustre une difficulté technique propre aux portefeuilles modernes. Binance suspend les dépôts et les retraits, mais l'autorisation malveillante existe déjà sur la blockchain et fonctionne indépendamment de son infrastructure de retrait. Comme les portefeuilles reposent sur un calcul multipartite, il n'existe pas de clé privée unique permettant de révoquer immédiatement cette délégation. Une procédure spécifique doit être conçue puis exécutée, ce qui prend du temps. La délégation est levée à 00 h 10, heure UTC, le 30 octobre.
Pourquoi le piratage de Binance dépasse le cas d'un salarié trompé
Il est tentant de réduire l'affaire à une erreur humaine lors d'un entretien. Cette lecture manque l'essentiel. Trois facteurs techniques ont rendu le vol possible et coûteux.
Trois facteurs qui ont rendu le piratage de Binance possible
- Le premier tient aux droits attachés aux postes de travail. Un ordinateur d'ingénieur donnait accès à des fonctions aussi sensibles que la signature de transactions.
- Le deuxième tient au modèle d'autorisation. Une délégation inscrite sur la blockchain survit à la suspension des retraits et échappe au circuit applicatif.
- Le troisième tient à l'architecture des portefeuilles en calcul multipartite, qui ne laisse aucune clé unique à révoquer en urgence.
À cela s'ajoute la durée. Cinq mois séparent la première intrusion du vol. Une campagne aussi lente suppose un renseignement préalable sur les cibles et une capacité à patienter.
Le rôle réel de l'intelligence artificielle
Deux usages distincts de l'IA apparaissent dans le dossier, et il faut les séparer.
Le premier concerne le point d'entrée de juin. L'ingénieur cherchait un outil de codage assisté par IA. Le prétexte de l'IA a servi d'appât, mais l'attaque reposait sur un installateur falsifié, une technique classique de compromission de chaîne d'approvisionnement logicielle.
Le second concerne le relais du 20 octobre. Un outil d'IA interne, légitime, a été détourné pour rebondir d'un poste déjà compromis vers deux autres machines. Rien n'indique, dans les éléments publiés, que l'IA ait agi de façon autonome ni qu'une faille du modèle soit en cause. L'outil a servi de moyen de déplacement, pas de cerveau de l'attaque.
Cette distinction est développée dans un second article consacré au rôle de l'IA dans les cyberattaques et aux limites d'une explication qui ferait d'elle la cause unique.
Les enseignements pour les entreprises
Le rapport et les déclarations de Binance permettent de dégager plusieurs pistes concrètes.
- Traiter les postes des équipes sensibles comme des interfaces à haut risque. L'accès à la signature de transactions ne devrait jamais dépendre uniquement de la machine d'un ingénieur.
- Réduire la portée des autorisations. Une délégation ou un mandat doit pouvoir être révoqué rapidement, sans dépendre d'une procédure exceptionnelle.
- Renforcer la vérification des recrutements à distance. Un processus qui combine visioconférence crédible, faux dirigeant et exercice de code piégé vise précisément les développeurs.
- Surveiller la chaîne d'approvisionnement des outils de développement. Les installateurs, les paquets et les extensions restent des vecteurs efficaces.
- Segmenter et journaliser. La progression de poste en poste sur plusieurs semaines suppose un cloisonnement insuffisant ou une détection trop tardive.
Binance indique avoir reconstruit le système de portefeuilles touché et l'outil d'IA interne, remplacé les appareils concernés, révoqué les identifiants des ingénieurs visés et renforcé sa détection d'anomalies. L'entreprise affirme avoir reconstitué l'essentiel des actifs impactés sur ses fonds propres et avoir gelé ou intercepté environ 2,85 milliards de dollars. Elle précise aussi avoir bloqué 57 menaces présumées liées à la Corée du Nord depuis le début de l'année 2026.
Conclusion
Le piratage de Binance est un cas d'école de campagne hybride. Il combine ingénierie sociale de haut niveau, compromission de la chaîne logicielle, détournement d'un outil interne et exploitation d'une faiblesse d'architecture blockchain. Le montant, environ 6,3 milliards de dollars, en fait le plus grand vol de cryptoactifs connu, loin devant le piratage de Bybit de février 2025, estimé à environ 1,5 milliard de dollars. L'épisode rappelle que la sécurité ne se joue pas sur un seul contrôle, mais sur l'articulation entre les personnes, les permissions et les infrastructures. À une autre échelle, elle rappelle les leçons d'une intrusion récente visant le ministère de l'Intérieur.
Sources & pour aller plus loin
- Récit détaillé de l'attaque et des trois phases : ZDNet.fr
- Chronologie technique et estimations de montants : DPO-Partage
- Description du faux entretien et du malware pyenv : ITdaily
- Analyse des mécanismes EIP-7702 et du gel des fonds : FinanceFeeds
- Synthèse du rapport Binance et du mode opératoire : Journal du Geek
- Contexte de l'attribution au groupe TraderTraitor : Decrypt
0 commentaire