Selon le récit de Binance, l’attaque a commencé bien avant le transfert des fonds. En juin, les pirates sondaient déjà l’équipe chargée des portefeuilles ; en septembre, une personne se faisant passer pour un directeur de projet a contacté un ingénieur logiciel via une plateforme d’emploi.¹

L’offre de recrutement était conçue pour paraître authentique. Après deux entretiens — dont un appel vidéo avec une prétendue représentante des ressources humaines — l’ingénieur a téléchargé un « exercice » sur un ordinateur de travail. Il contenait un code malveillant que les outils de sécurité de Binance n’ont pas détecté.¹ L’entreprise a ensuite déclaré sans détour : « Cela n’aurait pas dû arriver. »¹

Le 20 octobre, les attaquants ont utilisé cette machine compromise et un outil d’IA interne de Binance pour prendre le contrôle des ordinateurs de deux ingénieurs de l’équipe chargée des portefeuilles. L’un des ingénieurs pouvait déployer des logiciels. Neuf jours plus tard, les intrus ont utilisé cet accès pour atteindre un service de signature des transactions et vider des portefeuilles chauds — des fonds maintenus disponibles pour des retraits rapides — pendant près de quatre heures.¹

Le récit plus détaillé de Binance indique que le simple arrêt des retraits ne pouvait pas immédiatement stopper le vol : les attaquants avaient acquis un contrôle partiel d’un compte Ethereum, dont l’accès était enregistré sur la blockchain plutôt que seulement dans les systèmes de Binance. Les ingénieurs ont dû élaborer une solution de contournement, car la configuration de sécurité distribuée du compte rendait une révocation rapide difficile.²

Le FBI a déclaré samedi que TraderTraitor, une unité de piratage nord-coréenne, avait mené l’attaque. La Corée du Nord a nié cette accusation. Binance affirme avoir bloqué cette année 57 autres tentatives présumées de piratage nord-coréen, présentant l’intrusion comme une pression soutenue plutôt que comme une défaillance isolée.¹

La plateforme affirme qu’environ 2,85 milliards de dollars ont été gelés ou interceptés, que les clients seront intégralement remboursés et que 98 % des jetons affectés ont été réapprovisionnés. Elle a reconstruit les systèmes compromis, remplacé les ordinateurs concernés et prévoit un audit de sécurité externe — un test coûteux pour déterminer si sa solution peut égaler la patience de ses attaquants.²