L’opération, selon Binance, n’a pas commencé par une effraction spectaculaire. Elle a débuté par une exploration méthodique de son équipe chargée des portefeuilles en juin, lorsqu’un ingénieur a téléchargé une version falsifiée d’un outil logiciel largement utilisé. La plateforme d’échange affirme que la campagne était plus sophistiquée et plus trompeuse que tout ce à quoi elle avait été confrontée auparavant.¹

En septembre, les attaquants sont passés à l’ingénierie sociale. Une personne se faisant passer pour un directeur de projet a contacté un ingénieur logiciel de Binance par l’intermédiaire d’une plateforme d’emploi, puis a organisé deux entretiens, dont un appel vidéo avec une prétendue représentante des ressources humaines. La dernière « mission » envoyée à l’ordinateur professionnel de l’employé contenait du code malveillant que les outils de sécurité de Binance n’ont pas détecté.¹

Le 20 octobre, selon le récit de Binance, les pirates ont utilisé la machine compromise et un outil d’IA interne pour prendre le contrôle des ordinateurs de deux ingénieurs de l’équipe des portefeuilles. L’un d’eux détenait l’autorisation de déployer des logiciels. Neuf jours plus tard, cet accès a ouvert un service de signature de transactions, permettant aux attaquants de vider des portefeuilles chauds — des fonds conservés pour des retraits rapides — pendant près de quatre heures.¹

Le verdict de Binance était sans détour : « Cela n’aurait pas dû se produire. »¹ L’entreprise affirme que le simple arrêt des retraits ne pouvait pas immédiatement stopper le vol, car les attaquants avaient obtenu un accès enregistré sur Ethereum même, au-delà des systèmes internes de Binance. Les ingénieurs ont dû concevoir une solution de contournement alors que les actifs étaient transférés.¹

Le FBI a déclaré samedi que TraderTraitor, une unité de piratage nord-coréenne, avait mené l’attaque ; la Corée du Nord a nié cette accusation. Binance affirme avoir bloqué 57 autres tentatives présumées de piratage nord-coréen cette année, présentant cet épisode comme une menace persistante plutôt que comme une défaillance isolée.¹

Mardi, Binance a déclaré qu’environ 2,85 milliards de dollars avaient été gelés ou interceptés, que 98 % des jetons affectés avaient été réapprovisionnés et que les clients seraient indemnisés. La plateforme a reconstruit les systèmes touchés, remplacé les ordinateurs compromis et prévoit un audit de sécurité externe — des mesures qui pourraient rassurer les utilisateurs, mais qui ne peuvent effacer le fait qu’un seul entretien d’embauche frauduleux a contribué à ouvrir la voie à une perte de 6,3 milliards de dollars.¹