Comment Binance s'est fait voler plusieurs milliards

Un groupe de hackers nord-coréen a extrait environ 6,36 milliards de dollars des portefeuilles Binance.

Selon TRM, les crypto-pépettes étaient détenues sur 10 blockchains, et le transfert a été achevé en 20 minutes, juste après 20 heures GMT le 29 octobre : « cela en fait le plus grand vol de crypto à ce jour, environ quatre fois supérieur au piratage de Bybit de 1,5 milliard de dollars en février 2025. Binance a confirmé un incident de sécurité et a suspendu les retraits sur plusieurs réseaux ».

TRM a attribué l'attaque à TraderTraitor, décrit comme une « unité de hackers d'élite » basée en Corée du Nord. Il semble qu'un ordinateur portable d'un ingénieur de Binance ait été compromis, donnant aux pirates accès aux systèmes internes de l'entreprise.

Selon le FBI, TraderTraitor était responsable du piratage de Bybit. Pour TRM, plusieurs caractéristiques de cette attaque correspondent à des brèches antérieures liées à la Corée du Nord, y compris l'incident de Bybit et le piratage de KelpDAO en avril 2026, qui, selon elle, impliquait de petits retraits de Tornado Cash finançant un portefeuille d'opérateur : « le blanchiment observé jusqu'à présent s'est appuyé sur de grands échanges via des teneurs de marché et des protocoles de prêt, ce qui diffère du schéma fortement axé sur les ponts qui a suivi Bybit ».

Commentant l'attaque, Raghu Nandakumara, vice-président de la stratégie sectorielle chez Illumio, qui a précédemment travaillé dans la sécurité des réseaux et chez Citibank, relève que, « en mettant de côté le chiffre record, l'attaque elle-même semble tristement familière. Selon les premiers rapports, un ingénieur a été incité à effectuer un "test", et un logiciel malveillant a atterri sur son ordinateur portable pendant qu'il le faisait. Cet ordinateur portable était déjà authentifié et déjà privilégié, il est donc devenu la voie de l'attaquant directement dans la production, puis vers les portefeuilles ».

« Aucune de ces étapes n'est nouvelle », souligne-t-il. Pour lui, « ce qui devrait inquiéter tout leader en matière de sécurité, c'est la rareté avec laquelle l'attaquant a dû prouver qui il était. Une fois qu'il avait l'ordinateur portable, chaque étape après cela reposait sur une confiance qui était supposée plutôt que vérifiée ».

Arrêter chaque attaque d'ingénierie sociale est difficile, voire impossible. Las, rappelle Raghu Nandakumara, « il n'est pas nécessaire d'empêcher le premier clic pour limiter ce que cela coûte. La portée qu'un appareil compromis peut atteindre est une décision architecturale, et elle a été prise bien avant l'attaque ».

Dès lors, Raghu Nandakumara exhorte toutes les organisations préoccupées par de telles attaques à s'assurer qu'elles intègrent le principe de « zéro confiance » au cœur de leur programme de sécurité : il faut ainsi « supprimer agressivement les accès implicites et excessifs à travers les identités, les réseaux et les données, en commençant par leurs utilisateurs les plus privilégiés ».

Clive Summerfield, PDG de la société de sécurité par biométrie et IA, FARx, ne dit pas autre chose : « vous pouvez construire un coffre-fort avec des pare-feu mathématiques, mais si l'individu détenant les clés peut être dupé, le coffre-fort est ouvert. La Corée du Nord a une longue histoire d'ingénierie sociale. Ils ne cassent pas la cryptographie. Ils cassent les gens ».