Binance explique comment elle a été piratée : des paquets manipulés, un faux entretien d’embauche et un outil interne d’IA

C’est le premier récit officiel de l’attaque du 29 octobre. Binance chiffre l’impact à environ 6,34 milliards de dollars et affirme qu’environ 2,85 milliards sont gelés ou interceptés, « sous réserve de rapprochement et de la volatilité des prix ».

La chaîne a commencé en juin, lorsqu’un ingénieur chargé des opérations de portefeuilles a installé un paquet Homebrew manipulé.

En septembre, un autre ingénieur est tombé dans le piège d’un faux entretien d’embauche avec un dépôt malveillant.

Le 20 octobre, l’attaquant a utilisé un outil interne d’IA pour atteindre d’autres ingénieurs, et le 29 octobre, il a lancé le script depuis l’ordinateur de l’un d’eux.

Disposant d’un accès au service interne de signature des portefeuilles, il a utilisé EIP-7702 pour accorder à l’un de ses contrats des permissions partielles sur un hot wallet. Binance cite l’alerte du FBI qui attribue l’attaque à la Corée du Nord et affirme avoir détecté 57 cas suspects liés à ce pays en 2026.

Selon le rapport, au 31 octobre, elle avait reconstitué 98 % des tokens concernés. Elle annonce un audit de cybersécurité indépendant, davantage de détection par IA et un fonds de recherche en sécurité.

Le 29 octobre 2026, Binance a subi un incident de sécurité grave et hautement sophistiqué. Cela n’aurait pas dû se produire, et nous présentons nos excuses pour l’inquiétude, les désagréments et l’incertitude causés à nos utilisateurs, à nos partenaires et au secteur dans son ensemble.

Notre principale responsabilité est de protéger les utilisateurs. C’est Binance qui assumera l’impact financier des fonds volés, et non nos utilisateurs. Nous avons déjà réservé plus de 100 % des fonds nécessaires pour couvrir la perte. Au 31 octobre 2026, 98 % des tokens concernés ont été reconstitués et peuvent être vérifiés sur notre page de Preuve de Réserves . Nous sommes en train d’acquérir les tokens restants, qui sont moins liquides.

L’incident a touché des actifs numériques d’une valeur d’environ 6,34 milliards de dollars. À la date de cette mise à jour, des actifs numériques d’une valeur d’environ 2,85 milliards de dollars ont été gelés ou interceptés, sous réserve de rapprochement et de la volatilité des prix du marché.

Nous avons pris des mesures immédiates pour contenir l’incident et renforcer les systèmes concernés. Les points d’entrée identifiés comme ayant été utilisés lors de l’attaque ont été bloqués. Les systèmes touchés par l’attaque ont été reconstruits ou remplacés. Nous avons également mis en place des contrôles plus stricts des appareils, amélioré les contrôles des risques du service de portefeuille et étendu la détection des anomalies comportementales basée sur l’IA.

Ceci est notre rapport initial. Il présente les informations actuelles et les améliorations que nous avons déjà mises en œuvre. L’enquête se poursuit et nos conclusions seront soumises à un examen indépendant. Certains détails techniques resteront confidentiels afin d’éviter que des acteurs malveillants ne les utilisent pour planifier des attaques. Nous collaborons avec des sociétés de sécurité indépendantes pour un examen plus approfondi. 

Les informations les plus récentes publiées par le Federal Bureau of Investigation (FBI) indiquent que la République populaire démocratique de Corée est responsable de cet incident.

Nous partageons ce rapport initial parce que la sécurité progresse lorsque le secteur apprend collectivement.

Que s’est-il passé le 29 octobre ?

L’attaque s’est rapidement propagée sur plusieurs réseaux.

L’attaquant a exploité un accès non autorisé à un service interne de signature de portefeuille pour initier des transactions en dehors du processus normal de retrait.

Entre 20 h 05 UTC et 20 h 09 UTC , cinq portefeuilles actifs de Binance ont envoyé 233,46 millions de XRP vers une adresse contrôlée par l’attaquant.

Les hot wallets de Binance sur Solana et Optimism ont envoyé environ 970 500 SOL et 44,2 millions d’OP vers des adresses contrôlées par les attaquants.

Binance a ensuite reçu une alerte interne concernant des transferts de grand volume et a immédiatement ouvert une enquête.

Le portefeuille numérique de Binance a envoyé 18 270 BTC vers une adresse contrôlée par un attaquant. 

L’attaquant a utilisé le service de signature pour exploiter le mécanisme d’autorisation EIP-7702 d’Ethereum. EIP-7702 permet à un compte de déléguer certains droits d’exécution à un smart contract sans exposer la clé privée. Dans ce cas, l’attaquant a utilisé ce mécanisme pour accorder à un smart contract sous son contrôle des droits d’exécution partiels sur un portefeuille actif de Binance. 

Binance a immédiatement mis en œuvre diverses mesures de confinement, notamment la suspension des retraits pour limiter les sorties de fonds, la coordination avec des partenaires pour geler les tokens concernés et la révocation des permissions non autorisées. Ces mesures ont permis de geler un total de 2,85 milliards de dollars d’actifs.

Toutefois, la suspension des retraits ne suffisait pas à elle seule à stopper tous les mouvements d’actifs non autorisés. Les autorisations malveillantes EIP-7702 existaient sur la blockchain et fonctionnaient indépendamment de l’infrastructure de retrait habituelle de Binance. Les attaquants ont envoyé 50 transactions de signature pour manipuler le nonce du compte et établir des autorisations de délégation malveillantes. Une fois établies, ces autorisations leur ont permis de continuer à déplacer des actifs indépendamment de l’infrastructure de retrait habituelle de Binance. Binance a eu besoin de transactions supplémentaires pour révoquer ces autorisations sur la blockchain.

Le processus de confinement a impliqué des complexités techniques supplémentaires. Le hot wallet utilisant le calcul multipartite (MPC), il n’existait pas de clé privée unique pouvant être utilisée pour révoquer immédiatement les autorisations malveillantes EIP-7702. L’équipe a donc développé et exécuté une procédure spécialisée pour révoquer ces autorisations, ce qui a nécessité du temps supplémentaire. En outre, la suspension des retraits et l’arrêt des services du hot wallet n’ont pas automatiquement invalidé les autorisations existantes sur la blockchain.

Ces difficultés ont prolongé le temps nécessaire pour contenir entièrement les mouvements d’actifs non autorisés. Nous examinons le processus de réponse aux incidents, la couverture des polices d’assurance, les contrôles des portefeuilles numériques, et identifions des pistes pour renforcer encore notre capacité de réponse rapide face aux menaces futures.

Le dernier transfert non autorisé de 2 961,9 ETH a été finalisé sur la blockchain à 23 h 56 UTC . La transaction avait été diffusée auparavant et était restée en attente avant d’être finalisée. Aucun autre transfert non autorisé n’a été observé par la suite.

À 00 h 10 UTC le 30 octobre 2026 , Binance a exécuté une nouvelle autorisation depuis le hot wallet Binance14 vers l’adresse zéro, effaçant le code de délégation EIP-7702.

Préparation de l’attaque 

Notre enquête actuelle indique qu’il s’agissait d’une campagne sophistiquée en plusieurs phases. Ce n’était ni une brèche isolée ni un simple incident de phishing. Les attaquants ont combiné diverses techniques, notamment l’ingénierie sociale au moyen de faux entretiens d’embauche, des téléchargements de logiciels malveillants, des outils internes d’IA compromis, la compromission de terminaux et une méthode avancée d’autorisation des transactions.

• Juin 2026 : attaque de la chaîne d’approvisionnement. L’ingénieur A de l’équipe Développement et Opérations du portefeuille a téléchargé une installation manipulée de Homebrew pour installer un outil de programmation IA populaire après l’avoir recherché sur un moteur de recherche. Notre équipe de sécurité a détecté l’anomalie, remplacé l’appareil et modifié tous les identifiants associés à titre préventif. Cependant, le rôle de l’ingénieur A et celui de ses collègues de notre équipe d’infrastructure de portefeuilles ont été exposés au hacker.
• Tout au long de 2026, l’équipe de sécurité de Binance a détecté et déjoué 57 cas de cybermenaces présumées liées à la Corée du Nord. Ces tentatives reflètent la menace persistante que représentent les acteurs soutenus par des États qui ciblent le secteur des cryptomonnaies. Les techniques employées comprennent de faux entretiens d’embauche, des logiciels malveillants déguisés en outils populaires pour développeurs, des paquets logiciels et des extensions de navigateur compromis, de fausses applications de visioconférence et des campagnes d’ingénierie sociale conçues pour voler des identifiants ou déployer des malwares d’accès à distance.
• Septembre 2026 : ingénierie sociale. L’ingénieur logiciel B a été contacté via une plateforme légitime de recherche d’emploi par une personne se faisant passer pour un chef de projet. L’ingénieur logiciel B avait un profil sur la plateforme mentionnant son expérience chez Binance. Le prétendu chef de projet a organisé un premier entretien avec un représentant des ressources humaines, suivi d’un second entretien avec une personne se présentant comme le directeur général d’une entreprise fictive.
  • Lors du premier tour, le prétendu représentant des Ressources humaines a mené un entretien vidéo en direct avec l’ingénieur logiciel B. Pour gagner sa confiance, l’intervieweur a partagé avec lui son compte de réseau social, y compris des photos et vidéos personnelles publiées sur la plateforme. Cette tactique s’est révélée plus sophistiquée et trompeuse que les techniques d’ingénierie sociale observées auparavant.
  • Le second entretien s’est déroulé via une application de messagerie populaire. Vers la fin de l’entretien, on a demandé à l’ingénieur B de télécharger sur son ordinateur de travail un « exercice » contenant un dépôt de code malveillant. Le dépôt contenait du code malveillant qui s’exécutait pendant le processus d’installation, déclenchant une série d’activités non autorisées.
  • Le malware a employé des techniques sophistiquées d’obfuscation et d’évasion, notamment le remplacement d’un composant légitime d’un outil de développement par une version malveillante afin d’exécuter des commandes et d’établir une communication avec un serveur externe contrôlé par l’attaquant. À ce moment-là, les outils de protection des terminaux n’ont pas détecté le malware zero-day. L’attaquant a également pris des mesures pour dissimuler l’activité malveillante et effacer les traces de l’intrusion, ce qui a compliqué sa détection et l’enquête ultérieure.
  • Le script a exécuté les étapes suivantes en appliquant des techniques d’obfuscation pour échapper à la détection de sécurité.

CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_  

MODIFIER pyenv_ → 3 414 o  

SUPPRIMER …/libexec/pyenv (3 344 o) ← supprimer le pyenv valide

RENOMMER pyenv_ → pyenv (3 414 o) ← le remplacer par une version malveillante

SUPPRIMER /opt/homebrew/bin/pyenv (3 414 o)

ln (créer un nouveau lien symbolique) + spawn zsh

• 20 octobre 2026 : utilisation d’un outil interne d’IA comme point de départ. L’attaquant a exploité l’ordinateur compromis de l’ingénieur B et utilisé un outil interne d’IA pour prendre le contrôle de l’ingénieur DevOps portefeuille A et d’un autre ingénieur logiciel portefeuille C. L’attaquant a rapidement découvert que l’ingénieur DevOps portefeuille A disposait sur son ordinateur d’un token d’autorisation de déploiement de conteneurs.
• 29 octobre 2026 : accès non autorisé aux opérations de signature des portefeuilles. Le 29 octobre, entre 17 h 15 et 19 h 56, l’attaquant a accédé à l’ordinateur de l’ingénieur logiciel C, utilisé les identifiants volés à l’ingénieur de développement de portefeuilles A, déployé un conteneur et activé un script malveillant pour lancer l’attaque.

Ce que nous avons fait

Au 3 novembre 2026, nous avons pris les mesures suivantes :

• Reconstruction du système de portefeuille concerné dans un nouvel environnement.
• Reconstruction de l’outil interne d’IA concerné et des contrôles d’accès.
• Remplacement des appareils concernés.
• Désactivation des identifiants et tokens liés aux ingénieurs concernés.
• Réalisation d’analyses de sécurité renforcées sur tous les appareils des employés.
• Amélioration de la détection des anomalies comportementales basée sur l’IA.
• Renforcement des contrôles des risques du service de portefeuille électronique.
• Collaboration avec les forces de l’ordre, des sociétés d’analyse blockchain et des partenaires du secteur pour tracer et geler les actifs concernés.

Nous continuerons à renforcer nos mesures à mesure que l’enquête progresse. Nous avons mis en œuvre et mettons en œuvre diverses mesures de sécurité qui resteront confidentielles afin d’empêcher des acteurs malveillants de compromettre notre sécurité.

Actions supplémentaires

Nous prendrons immédiatement les mesures suivantes.

1. Examen indépendant de cybersécurité

Nous avons mandaté des experts indépendants en cybersécurité pour mener un examen approfondi de l’incident, valider nos conclusions et recommander des mesures supplémentaires. Le périmètre et les conclusions de cet examen serviront de base aux travaux d’atténuation que nous continuerons de mener.

2. Investissement accru dans la sécurité et la prévention par l’IA.

Nous augmentons nos investissements dans la détection basée sur l’IA, la protection des terminaux, la sécurité de l’environnement de développement et la surveillance des anomalies comportementales.

3. Fonds de recherche en sécurité et initiatives sectorielles.

Nous travaillons à la création d’un fonds de recherche en sécurité et d’initiatives spécifiques avec des entreprises leaders de l’IA, des acteurs du secteur et des sociétés de sécurité axées sur la sécurité de l’IA dans les environnements blockchain