Les pirates nord-coréens se sont appuyés sur de faux entretiens d'embauche et l'IA pour pénétrer les systèmes informatiques de Binance,

Et dérober 6,3 milliards de dollars en cryptomonnaies

Binance a été victime du plus grand casse de l'histoire des cryptomonnaies. Environ 6,3 milliards de dollars ont été dérobés lors d'une cyberattaque majeure après qu'un ingénieur de la plateforme a été piégé lors d'un faux processus de recrutement. Cet employé a été incité à télécharger des logiciels malveillants sur son ordinateur, ce qui a permis à des pirates nord-coréens de s’introduire dans les systèmes de l’entreprise. En réaction, Binance a immédiatement reconstruit son système informatique, révoqué toutes les informations d'identification compromises et fait appel à des experts en cybersécurité pour auditer l'incident et renforcer ses défenses cybernétiques.

Le 29 octobre 2026, un piratage informatique d'une ampleur inédite a ciblé la plateforme d'échange de cryptomonnaies Binance. Selon le rapport d'incident publié par la société, le piratage est le résultat d'une opération sophistiquée s'étalant sur plusieurs mois et combinant ingénierie sociale, compromission d'outils d'IA internes et cyberattaque sur la chaîne d'approvisionnement. Les attaquants auraient siphonné environ 6,3 milliards de dollars.

L'incident a été attribué par le FBI au groupe de pirates informatiques nord-coréens TraderTraitor, lié au groupe « Lazarus », reconnu comme étant affilié à l'État nord-coréen. Dans son rapport, la bourse mondiale de cryptomonnaies livre ses premières conclusions : « notre enquête en cours indique qu’il s’agit d’une campagne sophistiquée, menée en plusieurs étapes. Il ne s’agissait ni d’une intrusion isolée ni d’un simple incident d’hameçonnage ».

Selon les autorités, les membres de ces groupes se font passer soit pour des informaticiens, qui sont ensuite embauchés par des entreprises occidentales, soit pour des employeurs potentiels, afin d’inciter des ingénieurs en informatique à télécharger des logiciels malveillants et à infecter les appareils de l’entreprise.

Les étapes de la cyberattaque et de l'ingénierie sociale

Selon le rapport d'incident, la phase de préparation de l'attaque a démarré en juin 2026 avec une intrusion dans la chaîne d'approvisionnement, lorsqu'un ingénieur de la plateforme a téléchargé une installation Homebrew contenant un logiciel malveillant. Bien que cette menace ait très vite été détectée à l'époque et l'appareil remplacé, cette première phase a exposé l'identité et le rôle des ingénieurs travaillant sur l'infrastructure des portefeuilles.


En septembre, les pirates ont contacté un autre ingénieur logiciel via un site légitime d'offres d'emploi. Lors d'un entretien en visioconférence avec un faux responsable des ressources humaines, l'interlocuteur a partagé un compte personnel sur les réseaux sociaux pour instaurer un climat de confiance. La plateforme a qualifié cette tactique de méthode « plus avancée et plus trompeuse que les approches d’ingénierie sociale observées jusqu’ici ».

Au cours d'un second entretien mené via une application de messagerie avec un soi-disant directeur général, l'ingénieur de Binance impliqué dans l'incident a été invité à télécharger un exercice technique contenant du code malveillant. L'exécution du fichier a remplacé un composant légitime de l'outil de développement « pyenv » par une version infectée, établissant ainsi une connexion avec un serveur externe contrôlé par les acteurs malveillants.

Le 20 octobre, les pirates ont utilisé cet ordinateur compromis ainsi qu'un outil d'IA interne pour s'introduire sur les postes d'autres ingénieurs, dont un ingénieur A qui possédait des tokens d'autorisation de déploiement. Le 29 octobre, les attaquants ont accédé au poste d'un autre développeur, utilisé les identifiants dérobés quelques jours auparavant pour déployer un conteneur et déclenché le script qui a permis d'exfiltrer les cryptomonnaies.

Réponse de Binance à l'incident et mesures de sécurité

À la suite de cette intrusion majeure, Binance a reconstruit le système de portefeuilles compromis ainsi que l'outil d'IA interne, remplacé l'ensemble des équipements informatiques concernés et révoqué l'intégralité des identifiants et tokens d'accès. La bourse de cryptomonnaies collabore actuellement avec les forces de l'ordre, des experts en analyse de la blockchain et des chercheurs en cybersécurité afin d'identifier et de geler les fonds dérobés.

L'entreprise poursuit ses investigations pour identifier d'autres faiblesses potentielles. De plus, un examen indépendant de la cybersécurité a été commandé et Binance prévoit de participer à la création d'un fonds de recherche axé sur la sécurité des systèmes d'IA dans les environnements basés sur la blockchain.

Binance affirme avoir reconstitué la majorité des fonds

Selon un porte-parole de Binance, « les employés occupant des postes ne nécessitant pas un contact avec le public ne sont pas autorisés à avoir un profil LinkedIn ». Il n’a pas souhaité préciser si l’ingénieur impliqué dans l'incident avait enfreint cette politique ni si l’un ou l’autre des ingénieurs allait être licencié. Cependant, Binance n'est pas la première grande entreprise ciblée par de faux recruteurs ou de faux candidats ces dernières années.

Dans le cas de Binance, la société a indiqué avoir signalé des tentatives antérieures de pirates visant ses employés sur LinkedIn et avoir, en 2026, détecté et empêché 57 tentatives de piratage liées à la Corée du Nord. Toutefois, les pirates ont fini par trouver une faille pour infiltrer les systèmes de l'entreprise.

En réponse à cette attaque, Binance a suspendu les retraits pendant environ 48 heures, avant de les réactiver. La société a affirmé à plusieurs reprises que tous les fonds de ses clients étaient en sécurité et qu’elle avait reconstitué 98 % des cryptomonnaies volées à partir de ses fonds de réserve et d’autres sources. Elle est actuellement en train de se procurer les 2 % restants, qui concernent des cryptomonnaies moins couramment utilisées.

« Cela n'aurait pas dû se produire, et nous présentons nos excuses pour l'inquiétude, les perturbations et l'incertitude que cela a causées à nos utilisateurs, à nos partenaires et à l'ensemble du secteur », a déclaré Binance dans un communiqué. La plateforme s'est également engagée à rembourser les utilisateurs.

L’essor inquiétant des pirates déguisés en recruteurs

Le phénomène des pirates nord-coréens se faisant passer pour des recruteurs est devenu un problème préoccupant pour les entreprises du monde entier. Selon un rapport publié en septembre 2026, un groupe de pirates nord-coréens serait à l’origine d’une cyberattaque touchant plus de 100 pays, dont le Japon, et ayant entraîné le vol de cryptomonnaies d’une valeur d’environ 10 millions de dollars. Il s'agirait du groupe de pirates WaterPlum.

Le groupe aurait infecté plus de 30 000 appareils avec des logiciels malveillants entre décembre 2025 et juillet 2026, dérobant les identifiants d’environ 7 000 comptes de cryptomonnaies. Le rapport indique également que des informaticiens nord-coréens résidant en Corée du Nord, en Chine et en Russie gagnaient des devises étrangères en effectuant à distance des missions de programmation et d’autres tâches sous de fausses identités.

Selon les experts en cybersécurité et les autorités, WaterPlum fait partie d’un écosystème plus large de pirates informatiques nord-coréens qui mènent des attaques à motivation financière afin de générer des revenus pour le régime de Pyongyang et de contribuer au financement de ses programmes d’armement.

Source : Binance

Et vous ?

Quel est votre avis sur le sujet ?
Que pensez-vous de cette cyberattaque et des méthodes des pirates nord-coréens ?
Comment les entreprises peuvent-elles se protéger contre cette nouvelle menace croissante ?

Voir aussi

Le secteur des cryptos victime du plus grand casse de l'histoire humaine. Des milliards en bitcoins ont été volé lors du piratage de Binance via la compromission du laptop d'un ingénieur DevOps de la plateforme

La plateforme de cryptomonnaie Binance a récupéré 90 % des 6,3 milliards $ volés et s'engage à tout rembourser, après avoir subi le plus grand vol d'actifs numériques de l'histoire

Des pirates nord-coréens de WaterPlum se sont fait passer pour des recruteurs et ont infecté 30 000 PC, en utilisant de faux tests de codage pour piller leurs victimes