Binance affirme que des pirates ont utilisé de faux entretiens d’embauche et des logiciels malveillants pour compromettre des employés et accéder à ses systèmes avant de dérober 6,3 milliards de dollars à la plateforme d’échange de cryptomonnaies la semaine dernière. L’enquête de l’entreprise a révélé que l’attaque reposait sur plusieurs techniques, et non sur une seule intrusion ou une tentative d’hameçonnage classique.
Le FBI a attribué le vol à TraderTraitor, un groupe de pirates lié à la Corée du Nord, et l’a décrit comme la plus grande attaque de ce type jamais recensée. La Corée du Nord a nié toute implication et qualifié l’accusation du FBI de « rhétorique absurde ».
Binance a déclaré que l’un de ses ingénieurs logiciels avait téléchargé un programme altéré en juin. L’entreprise a détecté l’incident et remplacé l’appareil de l’ingénieur, mais a indiqué que le rôle de celui-ci et ses collègues liés à l’équipe chargée de l’infrastructure de ses portefeuilles avaient déjà été exposés aux attaquants.
En septembre, une deuxième ingénieure a été approchée sur une plateforme de recherche d’emploi par une personne se faisant passer pour un directeur de projet d’une entreprise qui n’existait pas. Au cours d’un entretien, le recruteur a partagé les photos et vidéos personnelles de l’ingénieure publiées sur les réseaux sociaux afin d’instaurer un climat de confiance, a déclaré Binance. Lors d’un entretien ultérieur via une application de messagerie, une personne prétendant être le directeur général de l’entreprise a demandé à l’ingénieure de télécharger un exercice de recrutement contenant du code malveillant.
Le téléchargement est passé inaperçu, permettant aux attaquants d’utiliser les outils d’intelligence artificielle internes de Binance pour prendre le contrôle de certains systèmes de la plateforme. Binance a déclaré que le logiciel malveillant avait remplacé un composant légitime d’un outil de développement par une version malveillante, permettant l’exécution de commandes et la communication avec un serveur contrôlé par les attaquants.
Les attaquants ont utilisé l’ordinateur portable de l’ingénieure compromise et un outil d’IA interne pour prendre le contrôle des ordinateurs portables du premier ingénieur et d’un troisième employé. Le premier ingénieur était autorisé à publier du code, ce dont les pirates ont tiré parti. Le 29 octobre, les attaquants ont accédé à l’ordinateur portable du troisième employé et déclenché un script malveillant pour lancer l’attaque.
Binance a déclaré avoir depuis reconstruit ses systèmes de portefeuilles et ses outils d’IA, et travailler avec des spécialistes externes en cybersécurité pour renforcer ses défenses. L’entreprise a indiqué avoir réservé suffisamment de ressources pour couvrir les pertes des utilisateurs et avoir rétabli la possibilité pour les clients de retirer leurs fonds. Elle a refusé de dévoiler certaines mesures de sécurité, estimant que leur divulgation pourrait aider les attaquants à préparer de futurs incidents.
La codirectrice générale de Binance, Yi He, a déclaré que l’entreprise avait détecté et neutralisé 57 cybermenaces présumées nord-coréennes jusqu’à présent en 2026. « Nous en avons intercepté beaucoup, mais le coût de ne pas en arrêter ne serait-ce qu’une seule a été énorme — et cela n’aurait jamais dû se produire », a déclaré He.
Sources: Folha Mercado.