Selon Binance, l’attaque n’a pas commencé par une intrusion spectaculaire dans ses portefeuilles. Elle a débuté des mois plus tôt par des opérations de reconnaissance — et un leurre visant un employé.

En juin, les attaquants auraient commencé à sonder l’équipe chargée des portefeuilles de la plateforme, notamment au moyen d’une version altérée d’un outil logiciel populaire. Puis, en septembre, une personne se faisant passer pour un directeur de projet a contacté un ingénieur logiciel de Binance par l’intermédiaire d’une plateforme de recherche d’emploi. Deux entretiens ont suivi, dont un appel vidéo avec un prétendu représentant des ressources humaines. La dernière « mission » consistait en un fichier à télécharger sur l’ordinateur professionnel de l’ingénieur ; il contenait du code malveillant que les outils de sécurité de Binance n’ont pas détecté.¹

La tromperie était conçue pour paraître ordinaire. Binance a déclaré que le faux recruteur utilisait un compte sur les réseaux sociaux rempli de photos et de vidéos personnelles afin de renforcer sa crédibilité — un niveau de finition que l’entreprise a décrit comme plus sophistiqué et trompeur que les tactiques qu’elle avait précédemment rencontrées.²

Le 20 octobre, environ une semaine avant le vol, les attaquants ont utilisé la machine compromise et un outil d’IA interne de Binance pour prendre le contrôle des ordinateurs de deux ingénieurs de l’équipe chargée des portefeuilles. L’un des ingénieurs était habilité à déployer des logiciels. Neuf jours plus tard, cet accès a permis d’ouvrir un service de signature de transactions, permettant aux attaquants de vider des portefeuilles chauds — des fonds détenus pour permettre des retraits rapides — pendant près de quatre heures. « Cela n’aurait pas dû se produire », a déclaré Binance.¹

Selon Binance, arrêter les retraits ne suffisait pas. Les attaquants avaient pris le contrôle partiel d’un compte Ethereum d’une manière enregistrée sur la blockchain plutôt que uniquement dans les systèmes de Binance, obligeant les ingénieurs à concevoir une solution de contournement pendant que le vol se poursuivait.²

Le FBI a déclaré samedi que l’unité de piratage nord-coréenne TraderTraitor avait mené l’opération ; la Corée du Nord a nié cette accusation. Binance affirme avoir bloqué 57 autres tentatives de piratage présumées nord-coréennes cette année. L’entreprise indique qu’environ 2,85 milliards de dollars ont été gelés ou interceptés et qu’elle a reconstitué 98 % des jetons touchés, tout en reconstruisant ses systèmes et en faisant appel à des auditeurs de sécurité externes.¹