Une fausse offre d’emploi, un exercice de programmation infecté et un outil d’intelligence artificielle interne compromis. Binance révèle les coulisses d’une cyberattaque majeure attribuée à des pirates nord-coréens. L’affaire met en lumière une nouvelle réalité : les systèmes les mieux protégés peuvent être compromis en exploitant les employés et les outils qu’ils utilisent quotidiennement.
Tout commence par un entretien d’embauche apparemment ordinaire. En septembre 2026, un ingénieur logiciel de Binance est contacté sur une plateforme professionnelle par un individu prétendant représenter une entreprise à la recherche de nouveaux talents. Deux entretiens sont organisés, dont un avec une prétendue responsable des ressources humaines et un autre avec un faux PDG. Les profils semblent crédibles, avec des photographies et des publications personnelles. Mais l’entreprise est fictive. À la fin du processus, le candidat reçoit un exercice de programmation contenant un logiciel malveillant. En exécutant le code sur son ordinateur professionnel, il ouvre involontairement une porte aux pirates.
Une attaque préparée plusieurs mois à l’avance
Selon le rapport publié par Binance le 3 novembre, cette intrusion faisait partie d’une opération beaucoup plus vaste. Dès juin, un autre ingénieur avait téléchargé une version compromise d’un outil de développement alors qu’il cherchait à installer un assistant de programmation utilisant l’intelligence artificielle. Cette première attaque avait été détectée et les accès concernés avaient été remplacés, mais les pirates avaient déjà obtenu des renseignements sur l’organisation de l’équipe responsable des portefeuilles numériques. Le faux recrutement de septembre représentait donc une nouvelle étape d’une campagne préparée depuis plusieurs mois, combinant manipulation psychologique, logiciels infectés et collecte d’informations internes.
Quand un outil d’intelligence artificielle devient une porte d’entrée
Le 20 octobre, les attaquants utilisent les accès compromis pour exploiter un outil d’IA interne et atteindre deux autres ordinateurs appartenant à des employés chargés de l’infrastructure financière. Ils parviennent notamment à récupérer un jeton d’autorisation permettant de déployer des logiciels dans certains environnements de production. L’IA n’a donc pas organisé elle-même le piratage, mais un outil qui lui était associé a été intégré à la chaîne d’intrusion. Cette distinction est importante : à mesure que les entreprises accordent davantage de permissions à leurs assistants intelligents, ces derniers deviennent aussi des éléments à protéger dans leur architecture de cybersécurité.
Des milliards transférés en quelques minutes
Le 29 octobre, les pirates passent à l’action. En seulement quatre minutes, cinq portefeuilles connectés de Binance transfèrent 233,46 millions de XRP vers une adresse contrôlée par les attaquants. D’autres transactions non autorisées touchent notamment le bitcoin, le solana et l’ether. Au total, environ 6,34 milliards de dollars américains d’actifs numériques sont concernés. Mais l’opération ne s’arrête pas lorsque Binance suspend les retraits. Les pirates ont également détourné une fonction d’Ethereum appelée EIP-7702, permettant à un compte de déléguer certains droits d’exécution à un contrat intelligent. Des autorisations frauduleuses enregistrées sur la blockchain ont compliqué les efforts visant à bloquer immédiatement tous les transferts.
Binance promet de couvrir les pertes de ses clients
Dans son rapport du 3 novembre, Binance affirme qu’environ 2,85 milliards de dollars d’actifs avaient pu être gelés ou interceptés. La plateforme indique également avoir reconstitué 98 % des actifs touchés au 31 octobre en puisant dans ses propres réserves. Cette reconstitution ne signifie toutefois pas que les cryptomonnaies volées ont toutes été récupérées. De son côté, le FBI attribue officiellement l’attaque à des acteurs liés à la Corée du Nord, dans le cadre de la campagne criminelle connue sous le nom de TraderTraitor. Les autorités américaines cherchent notamment à empêcher le blanchiment des actifs à travers des plateformes d’échange décentralisées et des services de conversion.
Une nouvelle menace pour les entreprises canadiennes
Cette cyberattaque dépasse largement l’univers des cryptomonnaies. Elle démontre qu’une organisation peut être compromise par ses propres outils de développement, ses processus de recrutement et les autorisations accordées à ses systèmes internes. Pour les entreprises canadiennes, particulièrement celles qui développent des logiciels ou manipulent des données sensibles, l’affaire souligne l’importance d’exécuter les exercices de programmation externes dans des environnements isolés, de limiter les permissions des assistants IA et de surveiller les accès aux infrastructures critiques. Le piratage de Binance rappelle finalement que la sécurité informatique ne dépend plus seulement de la robustesse des mots de passe ou du chiffrement : elle repose aussi sur la capacité à empêcher qu’un seul ordinateur compromis puisse entraîner une réaction en chaîne à l’échelle d’une entreprise entière.