Selon Binance, l’opération a commencé par des sondages discrets en juin, lorsque les attaquants ont ciblé son équipe chargée des portefeuilles et qu’un ingénieur a téléchargé une version falsifiée d’un outil logiciel populaire. Le stratagème de recrutement ultérieur était conçu pour être crédible : un prétendu directeur de projet a approché un ingénieur logiciel via une plateforme d’emploi en septembre, suivi de deux entretiens, dont un appel vidéo avec un faux représentant des ressources humaines. La dernière « mission » contenait un logiciel malveillant que les systèmes de sécurité de Binance n’ont pas détecté.¹

Le 20 octobre, les attaquants ont utilisé cet ordinateur compromis et un outil d’IA interne de Binance pour prendre le contrôle des postes de travail de deux ingénieurs de l’équipe des portefeuilles. L’un des ingénieurs était habilité à déployer des logiciels. Neuf jours plus tard, cet accès a permis d’ouvrir un service de signature de transactions ; les attaquants ont alors vidé des portefeuilles actifs — des fonds conservés prêts pour les retraits des clients — pendant près de quatre heures. Le constat sans détour de Binance : « Cela n’aurait pas dû se produire. »¹

La plateforme affirme que l’arrêt des retraits à lui seul ne pouvait empêcher le vol, car les attaquants avaient obtenu un contrôle partiel d’un compte Binance sur Ethereum, où cet accès était enregistré en dehors des propres systèmes de Binance. Le contrôle étant réparti entre plusieurs systèmes, les ingénieurs ont dû concevoir une solution de contournement plutôt que de simplement révoquer l’accès.²

L’intrusion dépasse le précédent record de vol de cryptomonnaies, soit environ 1,5 milliard de dollars dérobés à Bybit en février 2025. Le FBI a attribué l’attaque contre Binance à TraderTraitor, une unité de piratage nord-coréenne ; la Corée du Nord nie cette accusation. Binance affirme avoir bloqué 57 autres tentatives présumées nord-coréennes cette année.¹

Binance affirme qu’environ 2,85 milliards de dollars ont été gelés ou interceptés, que 98 % des jetons concernés ont été reconstitués et que les clients seront intégralement indemnisés. La plateforme a reconstruit les systèmes compromis, remplacé les ordinateurs concernés et prévoit un examen de sécurité externe — des mesures qui répondent aux conséquences, mais non à l’embarras central : un faux processus de recrutement a atteint le cœur de la plus grande plateforme d’échange au monde.²