Comment le piratage de Binance a commencé : un faux téléchargement et un faux entretien d’embauche

Lorsque nous avons relaté le piratage de Binance du 29 octobre, une question restait ouverte : comment les attaquants sont-ils entrés ? Le 3 novembre, Binance a publié son premier récit détaillé. Selon ce récit, l’attaque n’a pas commencé par du code défaillant, mais par un faux téléchargement et un faux entretien d’embauche. Voici ce qui s’est passé d’après Binance, et ce que chacun peut en retenir.

L’essentiel : comment le piratage de Binance a-t-il commencé ?

• Binance parle d’une « campagne de plusieurs mois », et non d’une erreur d’une seule personne.
• En juin, un ingénieur qui cherchait un outil de programmation par IA populaire a téléchargé une version trafiquée.
• En septembre, de faux recruteurs ont donné à un autre ingénieur un test de programmation contenant un logiciel malveillant caché.
• Les attaquants ont ensuite circulé d’un ordinateur d’employé à l’autre jusqu’au système qui approuvait les transactions des portefeuilles.
• Il s’agit surtout du récit de Binance elle-même. Une société de sécurité externe l’examine.
• Les mêmes ruses visent les particuliers : faux téléchargements, fausses offres et confiance mal placée.

Comment les attaquants sont-ils entrés ?

Au départ, Binance a indiqué que l’incident « pourrait impliquer l’ordinateur portable compromis d’un ingénieur DevOps ». Son codirecteur général, Richard Teng, rejette désormais l’idée d’un point faible unique et affirme que les attaquants ont « passé des mois à se frayer un chemin ». Selon CNBC et The Record, Binance décrit quatre étapes :

• Juin : un faux téléchargement. Un ingénieur de Binance a téléchargé un installateur trafiqué « pour installer un outil de programmation par IA populaire après l’avoir cherché sur un moteur de recherche ». Binance l’a repéré, a remplacé l’ordinateur et changé les identifiants. Mais elle affirme que les attaquants avaient déjà appris le rôle de l’ingénieur et l’identité de ses collègues de l’équipe des portefeuilles.
• Septembre : un faux entretien d’embauche. Les attaquants « se sont fait passer pour des recruteurs et ont mené une série d’entretiens avec un autre ingénieur », a déclaré Richard Teng à CNBC. Le tout s’est terminé par un exercice de programmation contenant un « logiciel malveillant caché, conçu pour échapper à la sécurité ».
• Jusqu’au 20 octobre : la progression interne. Les attaquants se sont étendus à d’autres ordinateurs d’employés, a rapporté The Record. Richard Teng indique qu’ils sont passés par des outils d’IA internes pour atteindre « le système qui autorisait nos transactions de portefeuille ».
• 29 octobre : le vol. Un service interne de signature des transactions a servi aux premiers transferts, a rapporté The Record, suivi d’un transfert de bitcoins d’une valeur de 1,4 milliard de dollars et de 50 autres transactions. Binance chiffre le total à 6,34 milliards de dollars.

Binance avait déjà déclaré n’avoir trouvé aucune preuve de fuite de clés privées de portefeuilles. Une clé privée est le code secret qui contrôle un portefeuille. Selon ce récit, les attaquants n’ont donc pas eu besoin de voler les clés. Ils sont entrés dans le système autorisé à les utiliser.

Que reste-t-il à savoir ?

L’essentiel provient de Binance elle-même. L’entreprise dit avoir reconstruit les systèmes touchés et engagé une société de sécurité pour examiner l’incident ; cet examen n’a pas été publié. Le FBI affirme que la Corée du Nord est responsable. La Corée du Nord le nie, et Richard Teng n’a lui-même nommé aucun attaquant. Binance dit avoir remplacé 98 % des actifs touchés avec ses propres fonds.

Pourquoi est-ce important si vous n’êtes pas ingénieur ?

Vous ne gérez pas de système de portefeuilles. Mais les premières étapes de cette attaque fonctionneraient sur presque tout le monde, car elles visent les habitudes plutôt que la technologie :

• Faire confiance à un résultat de recherche. La Commission fédérale du commerce américaine (FTC) prévient que les escrocs « placent de fausses publicités pour des logiciels sur les réseaux sociaux et les moteurs de recherche ».
• Faire confiance à une opportunité. Une offre d’emploi, un test ou un outil d’investissement peuvent vous pousser à ouvrir un fichier que vous auriez ignoré.
• Faire confiance avec le temps. Toutes les arnaques ne vous pressent pas. Ces attaquants ont d’abord mené une série d’entretiens.

Comment repérer un e-mail ou un message d’hameçonnage ?

L’hameçonnage (phishing) est un message qui se fait passer pour quelqu’un de confiance afin de vous faire cliquer, payer ou partager un secret. Les conseils de la FTC et de l’agence américaine de cybersécurité CISA se résument à ces signes :

• La pression : un ton urgent, ou de graves conséquences si vous ne répondez pas immédiatement.
• Une demande de secrets : vos identifiants, vos données de paiement, vos données personnelles ou un code.
• Une adresse étrange : un expéditeur ou un lien avec une lettre modifiée, ou un lien raccourci.
• Une surprise : un problème de compte, une facture, un remboursement ou un prix inattendu.
• Une pièce jointe que vous n’avez pas demandée : la FTC prévient qu’elle peut installer un logiciel malveillant, conçu pour nuire.

Une bonne orthographe ne prouve rien : la CISA rappelle que l’IA peut rédiger des messages soignés. Et, selon les mots de la FTC, « les entreprises légitimes n’envoient pas d’e-mail ou de SMS contenant un lien pour mettre à jour vos informations de paiement ».

Que faire, et que ne pas faire ?

• Téléchargez à la source. Utilisez la boutique d’applications officielle ou saisissez vous-même l’adresse du site. Ne cliquez pas sur les publicités pour des logiciels.
• N’ouvrez et ne lancez pas de fichiers d’inconnus, même pour un test d’embauche, un « outil pratique » ou un tableur d’investissement partagé.
• Vérifiez par un autre moyen. Si un message peut être authentique, ignorez ses liens et ses numéros. Ouvrez l’application officielle ou cherchez les coordonnées sur le site officiel.
• Tenez vos appareils à jour et réglez votre logiciel de sécurité sur la mise à jour automatique.
• Utilisez un mot de passe différent par compte et activez l’authentification à deux facteurs (2FA), une seconde vérification en plus du mot de passe. La CISA recommande les versions « résistantes à l’hameçonnage ».
• Ne partagez jamais votre phrase de récupération, vos clés privées ou vos codes à usage unique. Personne d’honnête n’en a besoin.

Et si vous avez déjà cliqué ?

Agissez vite et n’ayez pas honte : ces ruses ont trompé des professionnels. Les conseils de la FTC sur les logiciels malveillants sont les suivants :

1. Cessez de vous connecter à vos comptes en ligne.
2. Mettez à jour votre logiciel de sécurité, ou installez-en un.
3. Lancez une analyse et supprimez ce qu’elle trouve.
4. Changez vos mots de passe et activez la 2FA.

Si un compte crypto est peut-être touché, contactez le prestataire via son application ou son site officiel. Méfiez-vous de quiconque propose de récupérer votre argent : l’IC3 du FBI qualifie ces offres de « ruse pour léser à nouveau ceux qui ont déjà perdu de l’argent ».

Que demander à tout prestataire crypto ?

Que vous passiez par une entreprise ou que vous gardiez vos propres clés, les attaques visent les personnes et les systèmes qui entourent les clés. Avant de faire confiance à un prestataire, demandez :

• Qui détient les clés : cette entreprise ou un dépositaire distinct ?
• Quelle part reste en ligne, et qui peut approuver un retrait ?
• Est-il agréé là où vous vivez, et par qui ?
• Qu’advient-il de votre argent après un piratage ou une faillite ?

Aucune réponse ne supprime le risque. Lors du piratage de Bybit en 2025, les attaquants sont entrés par l’ordinateur d’un développeur chez un fournisseur externe de logiciels de portefeuille. Passer par une autre entreprise déplace le risque, sans le supprimer. Pour aller plus loin, lisez notre article sur l’endroit où une plateforme garde vos cryptos.

Ce qu’il faut retenir

La société d’analyse TRM Labs y voit le plus grand vol de cryptos jamais enregistré. D’après Binance, il a commencé par un résultat de recherche et une offre d’emploi. La défense est rarement compliquée : ralentissez, vérifiez par un autre moyen, et ne lancez ni ne partagez jamais ce qu’un inconnu vous envoie.

Ce que vous pouvez faire maintenant

• Prenez de bonnes habitudes avec notre introduction à la sécurité.
• Entraînez-vous sur des exemples réels dans repérer l’arnaque.
• Découvrez le fonctionnement des portefeuilles et des clés dans conserver ses cryptomonnaies.

Les questions des lecteurs

Le piratage de Binance a-t-il été causé par un seul employé ?

Binance dit que non. Elle décrit des mois de travail à travers les ordinateurs de plusieurs ingénieurs et des outils internes, et n’a accusé personne.

Les arnaques à l’emploi sont-elles un risque pour les particuliers ?

Oui. Si l’on vous demande d’installer un logiciel ou d’ouvrir un fichier pour un « test », vérifiez d’abord l’entreprise par vous-même.

Une bonne orthographe prouve-t-elle qu’un message est authentique ?

Non. La CISA prévient que l’IA peut rédiger des messages soignés. Vérifiez plutôt l’expéditeur et ce qu’il demande.

Les prix des cryptomonnaies peuvent monter et baisser fortement, et vous pourriez perdre tout ou partie de l’argent investi. Les cryptomonnaies ne sont pas couvertes par la garantie des dépôts. Cet article a une vocation éducative et ne constitue pas un conseil financier.