Un faux entretien et un Homebrew piégé : voici les dessous du vol de 6,3 milliards de dollars chez Binance

Binance a publié le 3 novembre 2026 son premier rapport sur le piratage du 29 octobre. Il retrace la préparation de l’attaque, qui a notamment reposé sur un faux entretien d’embauche.

Ingénieur A, ingénieur B et ingénieur C. Voici les trois principaux protagonistes du billet de blog publié par Binance le 3 novembre 2026.

Dans ce rapport, la plateforme d’échange revient sur le piratage au cours duquel l’équivalent de 6,34 milliards de dollars d’actifs numériques lui a été dérobé.

Selon l’entreprise, ce vol est le résultat d’une campagne lancée dès le mois de juin, mêlant faux entretiens de recrutement, téléchargements malveillants et compromission d’ordinateurs d’employés.

Ce contenu est bloqué car vous n’avez pas accepté les cookies et autres traceurs. Ce contenu est fourni par Twitter.
Pour pouvoir le visualiser, vous devez accepter l’usage étant opéré par Twitter avec vos données qui pourront être utilisées pour les finalités suivantes : vous permettre de visualiser et de partager des contenus avec des médias sociaux, favoriser le développement et l’amélioration des produits d’Humanoid et de ses partenaires, vous afficher des publicités personnalisées par rapport à votre profil et activité, vous définir un profil publicitaire personnalisé, mesurer la performance des publicités et du contenu de ce site et mesurer l’audience de ce site (en savoir plus)

En cliquant sur « J’accepte tout », vous consentez aux finalités susmentionnées pour l’ensemble des cookies et autres traceurs déposés par Humanoid et .

Vous gardez la possibilité de retirer votre consentement à tout moment. Pour plus d’informations, nous vous invitons à prendre connaissance de notre Politique cookies.

L’entretien d’embauche a donné aux attaquants leur point d’entrée vers Binance

L’ingénieur A apparaît le premier dans la chronologie. En juin, ce spécialiste de l’infrastructure des portefeuilles aurait cherché en ligne un outil de programmation par IA et téléchargé une version piégée de l’installateur de logiciels Homebrew. Si Binance souligne que son équipe de sécurité a repéré l’anomalie, remplacé son appareil et renouvelé ses identifiants, cette compromission initiale aurait permis au pirate d’identifier le rôle de la victime, mais aussi celui de ses collègues.

Et votre vie numérique devient sereine

Bitdefender Premium Security est une solution de cybersécurité européenne qui vous protège automatiquement contre les pirates et toutes les menaces du web. Profitez de vos activités en ligne en toute tranquillité

Trois mois plus tard, l’ingénieur B, développeur logiciel, a été contacté à son tour sur une plateforme de recherche d’emploi par un individu se présentant comme directeur de projet. Un prétendu représentant des ressources humaines l’a reçu en visio et a cherché à gagner sa confiance.

Un second entretien a suivi, avec le supposé PDG de l’entreprise fictive, qui a demandé à l’ingénieur B de télécharger un « exercice » sur son ordinateur professionnel. Le code contenait un logiciel malveillant qui s’est exécuté pendant l’installation, cette fois sans être détecté par les outils de sécurité de Binance.

Selon le rapport, c’est cet ordinateur qui a permis aux attaquants d’atteindre l’équipe portefeuilles. Le 20 octobre, les hackers s’en sont ainsi servis, avec un outil d’IA interne à Binance, pour prendre le contrôle des machines de l’ingénieur A, de nouveau visé malgré le remplacement de son appareil, et de l’ingénieur C, qui travaillait lui aussi sur les portefeuilles. Sur le poste de A, ils ont trouvé un jeton permettant de déployer des environnements logiciels prêts à l’emploi.

L’assaut final a été lancé le 29 octobre. Les hackers se sont alors connectés à l’ordinateur de C, puis ont utilisé les identifiants volés à A pour déployer l’un de ces environnements et lancer un script malveillant. Ils ont ensuite détourné le service interne de signature pour émettre des transactions en dehors du processus normal de retrait.

À partir de 20h05 UTC, plusieurs cryptomonnaies, dont 18 270 bitcoins, ont été envoyées vers des adresses contrôlées par les attaquants. Le dernier transfert a été finalisé à 23h56 UTC.

Un rapport incomplet

Plusieurs questions restent ouvertes. Binance présente ce document comme un rapport initial et explique que certains détails techniques resteront confidentiels. Le rapport ne précise pas quel était l’outil d’IA interne, ni comment il a permis aux attaquants de passer de l’ordinateur d’un ingénieur à celui d’un autre.

Quelques jours avant la publication du rapport, le FBI avait attribué le vol à TraderTraitor, un groupe nord-coréen lié à Lazarus et connu pour se faire passer pour des employeurs afin de piéger des ingénieurs.

Binance rappelle par ailleurs que 2,85 milliards de dollars ont depuis été gelés ou interceptés et affirme qu’elle assumera seule la perte.

Toute l'actu tech en un clin d'œil

Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !