Le 29 octobre 2026 a eu lieu le plus gros piratage crypto de l’histoire. Des pirates ont attaqué la plateforme d’échange de cryptomonnaies Binance, dérobant un butin d’une valeur de 6,3 milliards de dollars. Le FBI attribue l’attaque à la Corée du Nord, qui s’est imposée comme une puissance majeure sur la scène internationale du cybercrime. Ses agents ont infiltré des entreprises dans le monde entier, et tenaient déjà le record du plus grand vol de cryptomonnaies, avec 1,4 milliard de dollars dérobés à la plateforme Bybit en février 2025.
Selon le FBI, les auteurs de l’attaque contre Binance seraient le groupe TraderTraitor, associé au groupe nord-coréen Lazarus. Pyongyang a évidemment nié toute implication, mais l’entreprise affirme avoir bloqué 57 attaques liées à la Corée du Nord en 2026. Binance a depuis publié un récit détaillant le déroulement de l’attaque, qui montre comment deux ingénieurs ont manqué de prudence.
Le piège de l’ingénierie sociale et des faux entretiens
La première étape se passe en juin 2026. Un ingénieur de Binance télécharge Homebrew, un gestionnaire de paquets pour macOS, afin d’installer un outil de codage IA. Toutefois, la version de Homebrew est infectée. L’intrusion est détectée, l’appareil remplacé, et ses identifiants changés, mais les hackers savent désormais qui fait partie de l’équipe qui travaille sur l’infrastructure du portefeuille de la firme.
Les hackers ciblent ensuite un autre ingénieur en septembre 2026 avec une offre de recrutement, se faisant passer pour un directeur de projet et un responsable de ressources humaines, ainsi que le PDG d’une entreprise fictive. Ils organisent un premier entretien pour le mettre en confiance, lui montrant même un compte Instagram personnel du RH. Lors du second entretien, ils lui demandent de réaliser un exercice en téléchargeant du code, ce qu’il effectue sur son ordinateur professionnel, qui contient un malware.
Le malware était particulièrement sophistiqué et est passé inaperçu. Les hackers ont ensuite attendu le bon moment pour agir. Le 20 octobre, ils ont utilisé un outil IA interne pour accéder aux ordinateurs de deux autres ingénieurs, dont le premier. Celui-ci dispose d’un accès au code de Binance, ce qui leur permet de lancer leur attaque le 29 octobre. Ils ont pu accéder à des portefeuilles en ligne (« hot wallets ») afin de transférer rapidement 233,46 millions de XRP, 970 500 SOL et 44,2 millions d’OP, en terminant par 2 961,9 ETH. Binance a rapidement été alertée, mais a mis près de quatre heures à bloquer toutes les transactions.
Voici pourquoi les hackers de Corée du Nord vont devenir encore plus dangereux
Le Centre de recherche 227 est l’une des nouvelles armes cyber de la Corée du Nord. Ses experts sont recrutés pour mettre au point de nouvelles technologies sophistiquées de piratage à base d’IA. Ces outils sur mesure sont conçus à la demande des hackers nord-coréens qui mènent leurs cyberattaques à l’étranger. Explications…. Lire la suite
Binance promet d’indemniser ses clients
Cette cyberattaque historique est donc le résultat de deux ingénieurs qui ne respectent pas les procédures de sécurité de base. Pour le premier, il aurait cliqué sur une publicité sur Google qui renvoie vers la version infectée de Homebrew contenant le malware MacSync Stealer, hébergé sur Google Sites. Cela montre que Google ne vérifie pas correctement les contenus sur sa propre plateforme, et laisse passer des publicités malveillantes. Le second ingénieur a été victime d’ingénierie sociale. Toutefois, il n’aurait jamais dû télécharger le code d’une autre entreprise sur son ordinateur professionnel…
Les cybercriminels nord-coréens ont l’habitude de recourir aux deepfakes pendant les entretiens d’embauche, mais ce sont généralement eux qui postulent à des postes bien réels, en se faisant passer pour des habitants d’autres pays.
La firme a réussi à geler environ 2,85 milliards de dollars d’actifs, et s’est engagée à couvrir le reste. « Binance absorbera l’impact financier des fonds volés, pas nos utilisateurs », a-t-elle déclaré.