L'entreprise a intitulé son document « 29 October Binance Security Incident: Initial Findings and Response Update ». Elle y reconnaît : « Cela n'aurait pas dû arriver ». Le récit qu'elle livre décrit une intrusion lente, fondée sur l'ingénierie sociale visant ses ingénieurs.

Piratage de Binance : un montant de 6,34 milliards de dollars selon l'entreprise

Binance affirme qu'environ 6,34 milliards de dollars d'actifs numériques ont été touchés par l'incident. Le rapport est publié cinq jours après l'attaque. Selon l'entreprise, il aura fallu environ cinq mois aux attaquants pour atteindre le point d'entrée de l'infrastructure.

Entre 20h05 et 20h09 UTC le 29 octobre, cinq portefeuilles chauds ont envoyé 233,46 millions de XRP vers une adresse contrôlée par l'attaquant. Un autre portefeuille chaud a transféré 18 270 BTC.

Comment le faux Homebrew et les faux entretiens ont ouvert la porte ?

Selon Binance, tout commence en juin. Un ingénieur DevOps chargé des portefeuilles cherche un outil d'IA populaire pour programmer et télécharge un installateur Homebrew falsifié.

En septembre, un second ingénieur est approché sur une plateforme d'emploi par une fausse chargée de projet. Il passe un entretien vidéo avec un faux responsable RH, puis un second avec un prétendu PDG. Cet échange se termine par un « exercice » : un dépôt de code que l'ingénieur doit installer sur son poste de travail.

Les étapes de l'attaque du 29 octobre chez Binance

Le 29 octobre, entre 17h15 et 19h56 UTC, l'attaquant se connecte à l'ordinateur d'un autre ingénieur avec des identifiants volés. Il déploie un conteneur, puis déclenche un script malveillant.

Binance indique aussi qu'un outil d'IA interne a servi à accéder à l'infrastructure des portefeuilles. Le rapport n'identifie pas de faille dans le modèle d'IA lui-même. L'entreprise dit n'avoir trouvé aucune preuve de fuite de clés privées, et précise que certains détails techniques resteront confidentiels.

Fonds gelés, remboursement et indemnisation des utilisateurs

Le co-PDG Richard Teng a déclaré sur X qu'environ 2,85 milliards de dollars avaient déjà été gelés ou interceptés, avec l'aide des forces de l'ordre, des émetteurs d'actifs et de sociétés d'analyse de la blockchain.

Binance affirme avoir reconstitué 98 % des actifs touchés au 31 octobre. L'entreprise promet que les utilisateurs ne subiront aucune perte : « Binance prendra à sa charge l'impact financier des fonds volés, pas nos utilisateurs. » Les retraits ont globalement repris.

Qui est derrière l'attaque ?

Binance cite la conclusion du FBI, qui attribue l'attaque au groupe nord-coréen TraderTraitor, mais ne formule pas sa propre attribution. Pyongyang conteste : la sœur de Kim Jong-un a qualifié ces accusations de « grave provocation politique ».

Sur le même sujet, lisez aussi notre article sur les faux entretiens et l'outil d'IA interne au cœur de ce vol.