Un ingénieur logiciel a reçu ce qui semblait être une approche ordinaire d'un recruteur. Le recruteur avait une identité plausible, a mené un entretien vidéo en direct et a présenté une mission technique lors de la manche suivante.
La mission contenait des logiciels malveillants.
Binance affirme que le faux processus de recrutement était l'un des plusieurs points d'entrée suspects utilisés avant que les attaquants ne retirent environ 6,36 milliards de dollars de ses portefeuilles le 29 octobre 2026. Le FBI a depuis attribué le vol à la Corée du Nord et a identifié l'activité responsable comme étant TraderTraitor.
L'incident est décrit comme le plus grand vol de cryptomonnaies jamais enregistré. Son importance va au-delà du montant volé. Il montre les opérateurs nord-coréens utilisant les deux côtés du marché de l'emploi : se faisant passer pour des développeurs pour pénétrer dans les entreprises technologiques, et comme recruteurs pour compromettre les personnes qui y travaillent déjà.
Que s'est-il passé lors du piratage de Binance ?
Les attaquants ont transféré environ 6,36 milliards de dollars depuis les portefeuilles Binance sur 10 blockchains, selon la société d'intelligence blockchain TRM Labs. La plupart des fonds ont été déplacés en environ 20 minutes.
Les actifs affectés comprenaient des jetons sur les réseaux Bitcoin, Ethereum, Solana, XRP, Arbitrum et d'autres. Binance a confirmé que l'un de ses portefeuilles chauds connectés était impliqué, tout en déclarant que la plupart des actifs des clients restaient dans un stockage froid hors ligne.
Binance a déclaré avoir réservé plus de 6,34 milliards de dollars de fonds d'entreprise pour couvrir les pertes. La bourse et ses partenaires blockchain ont également gelé environ 3 milliards de dollars d'actifs affectés.
Un gel empêche certains actifs d'être déplacés via les réseaux, les émetteurs ou les services participants. Cela ne signifie pas nécessairement que les fonds ont été récupérés et restitués. Les attaquants peuvent toujours contrôler les actifs qui ont déjà été échangés, pontés ou déplacés hors de portée des organisations participantes.
Pourquoi le FBI a blâmé la Corée du Nord
Le FBI a attribué l'attaque à la Corée du Nord et l'a liée à TraderTraitor, un nom utilisé pour les activités malveillantes associées aux opérations cybernétiques du pays.
Le bureau a averti que les attaquants devraient continuer à blanchir les actifs volés via des protocoles de finance décentralisée et des services d'échange instantané. Ces outils permettent aux utilisateurs d'échanger des actifs entre jetons ou réseaux, rendant potentiellement la piste monétaire plus compliquée.
Les transactions blockchain restent visibles, mais la visibilité ne garantit pas la récupération. Les enquêteurs doivent relier les portefeuilles entre différents réseaux, déterminer quels services ont été utilisés et identifier les personnes contrôlant les adresses. Une fois que les actifs atteignent des plateformes qui ne coopèrent pas avec l'application des sanctions ou les demandes d'identité, la récupération devient plus difficile.
TRM Labs a déclaré que les caractéristiques de l'attaque ressemblaient à des vols antérieurs liés à la Corée du Nord. Chainalysis a également estimé que TraderTraitor était probablement responsable. L'attribution du FBI donne du poids officiel à cette affirmation, bien que le dossier médico-légal complet n'ait pas été rendu public.
Le faux entretien n'était qu'un point d'entrée
Binance a déclaré que l'un de ses ingénieurs avait été contacté en septembre via une plateforme légitime de recherche d'emploi par une personne prétendant représenter une entreprise fictive.
Lors du premier entretien, une personne se faisant passer pour un représentant des ressources humaines est apparue lors d'un appel vidéo en direct. Le profil contenait suffisamment de contenu personnel et d'historique professionnel pour paraître crédible.
La deuxième manche comprenait une mission technique. L'ingénieur a été invité à télécharger un dépôt de code qui avait été modifié pour livrer des logiciels malveillants.
Binance a également découvert un incident distinct au cours duquel un autre ingénieur a téléchargé un installateur de logiciel falsifié tout en tentant de configurer un outil de codage IA. L'équipe de sécurité a détecté cette installation, a remplacé l'appareil et a fait pivoter les identifiants. L'entreprise a ensuite déclaré que l'employé et ses collègues pourraient toujours avoir été exposés.
Binance a identifié plusieurs points de compromission suspects. Les preuves ne soutiennent donc pas la réduction de l'ensemble du vol à un seul entretien ou à un seul employé. L'approche de recrutement semble avoir fait partie d'une campagne plus large qui a passé des mois à cibler des personnes ayant accès à des systèmes précieux.
Pourquoi les entretiens d'embauche fonctionnent comme méthode d'attaque
Un entretien technique donne à un attaquant quelque chose qu'un e-mail de phishing ordinaire n'a pas : une raison crédible de demander à la cible d'exécuter du code.
Les ingénieurs logiciels clonent régulièrement des dépôts, examinent des packages et installent des outils de développement. Une mission d'entretien basée sur ces actions peut sembler cohérente avec les pratiques d'embauche normales. L'attaquant n'a pas besoin de créer de panique ni de promettre une récompense implausible. La demande s'inscrit dans le contexte.
Les demandeurs d'emploi peuvent également être plus réceptifs aux nouveaux contacts pendant une période d'emploi difficile. Un recruteur convaincant, un profil d'entreprise réaliste et plusieurs tours de conversation peuvent réduire la suspicion avant que tout fichier ne soit téléchargé.
Il s'agit d'ingénierie sociale adaptée aux développeurs. Au lieu de demander directement des identifiants, l'attaquant crée une situation dans laquelle la cible introduit volontairement un logiciel malveillant dans un environnement de confiance.
La Corée du Nord exploite les deux côtés du recrutement à distance
Le faux recrutement n'est qu'une partie de l'opération.
Les travailleurs informatiques nord-coréens ont également utilisé des identités volées et des antécédents professionnels fabriqués pour obtenir de vrais emplois dans des entreprises technologiques et financières. Leurs salaires peuvent ensuite être transférés via des comptes, des portefeuilles de cryptomonnaies et des intermédiaires avant d'atteindre des organisations connectées au gouvernement nord-coréen.
Une action du 28 octobre du Trésor américain a sanctionné 10 individus et une entité liés à ces stratagèmes. Deux ressortissants russes ont été accusés de convertir environ 5,5 millions de dollars en cryptomonnaies pour des réseaux de travailleurs informatiques nord-coréens.
Chainalysis a retracé un flux d'un portefeuille affichant des paiements en stablecoins similaires à des salaires vers des adresses de consolidation sanctionnées, puis vers un intermédiaire russe. Les fonds ont finalement été envoyés à Garantex, une bourse russe sanctionnée, pour conversion.
L'enquête de Chainalysis a indiqué que le réseau plus large de travailleurs informatiques pourrait générer entre 250 et 600 millions de dollars de revenus annuels pour la Corée du Nord, citant des estimations d'un panel des Nations Unies.
Il n'y a aucune preuve publique que les Russes sanctionnés le 28 octobre aient participé au piratage de Binance. Les cas révèlent différentes parties de la même stratégie plus large plutôt qu'un groupe de défendeurs prouvé.
L'IA rend les fausses identités plus convaincantes
Les opérateurs nord-coréens auraient utilisé l'IA générative pour préparer des CV, rédiger des lettres de motivation et s'entraîner aux entretiens techniques. Les photos de profil générées par l'IA et les vidéos manipulées peuvent aider les candidats à dissimuler leur véritable identité lors des appels à distance.
Les mêmes outils peuvent soutenir les faux recruteurs. Un attaquant peut créer une identité d'entreprise, produire des profils d'aspect professionnel et maintenir des conversations écrites convaincantes sans les erreurs linguistiques qui rendaient autrefois la fraude plus facile à détecter.
La vidéo deepfake n'a pas besoin d'être parfaite. Lors d'un court entretien mené via un flux vidéo compressé, des problèmes visuels mineurs peuvent ressembler à des problèmes de réseau ordinaires. Un candidat ou un recruteur peut également blâmer la qualité de la caméra, la bande passante ou les préoccupations de confidentialité pour maintenir l'arrière-plan flou.
L'IA n'a pas créé le stratagème sous-jacent. Elle a réduit le coût de maintien de plusieurs fausses identités et a rendu le dépistage de base moins fiable.
L'affaire de sanctions antérieure explique le pipeline financier
Les sanctions du 28 octobre fournissent un contexte utile sur ce qui se passe après que les opérateurs nord-coréens aient reçu des paiements en crypto.
Le Trésor américain a allégué que le ressortissant russe Ilya Aleksandrovich Boykov avait converti environ 3,5 millions de dollars en cryptomonnaies pour Alis, une société sanctionnée connectée aux travailleurs informatiques nord-coréens. Vitold Viktorovich Obertas a été accusé de convertir près de 2 millions de dollars en cryptomonnaies et de traiter au moins 1,25 million de dollars d'autres transactions en devises pour des responsables nord-coréens.
Le Trésor a également sanctionné le First Financial and Technical Development Center, une organisation contrôlée par la Corée du Nord opérant en Russie. Six travailleurs liés à l'organisation auraient généré plus de 750 000 dollars depuis 2025.
Ces désignations montrent que l'opération nécessite plus que des personnes capables de réussir des entretiens techniques. Elle nécessite également des gestionnaires, des fournisseurs d'identité, des opérateurs d'ordinateurs portables, des contrôleurs de portefeuille et des intermédiaires capables de transformer des actifs numériques en fonds utilisables.
Sanctionner un portefeuille peut perturber une voie. Le réseau peut réagir en changeant d'adresses, de chaînes, d'intermédiaires ou de services de conversion. C'est pourquoi la surveillance des transactions doit examiner les relations et les comportements au lieu de se fier uniquement à une liste noire statique.
Pourquoi les entreprises de cryptomonnaies sont des cibles attrayantes
Les entreprises de cryptomonnaies combinent le travail à distance avec un accès direct à la valeur transférable.
Les développeurs peuvent avoir accès au code source, aux outils de déploiement, à l'infrastructure cloud ou aux systèmes de portefeuille internes. Les ingénieurs de sécurité peuvent travailler avec des identifiants qui protègent plusieurs réseaux. Un attaquant qui compromet un point d'extrémité peut rechercher un chemin vers les systèmes détenant des actifs qui peuvent être déplacés à toute heure.
Les transferts financiers traditionnels passent souvent par des systèmes de compensation, des banques et des contrôles pendant les heures ouvrables. Une transaction de cryptomonnaie peut être réglée au-delà des frontières en quelques minutes. Cette rapidité profite aux utilisateurs légitimes, mais elle réduit également le temps disponible pour arrêter un vol.
L'incident de Binance démontre l'ampleur de ce problème. Même si les partenaires blockchain auraient gelé près de la moitié des actifs volés, des milliards de dollars ont été déplacés avant qu'une réponse coordonnée ne puisse prendre effet.
Les portefeuilles chauds restent une frontière de sécurité critique
Les portefeuilles chauds sont connectés aux systèmes en ligne afin que les échanges puissent traiter les retraits. Cette disponibilité les rend plus exposés que les portefeuilles froids, qui gardent les identifiants de signature hors ligne.
Le rapport de l'AP citait un expert externe en sécurité qui se demandait si une autorisation compromise aurait pu fournir un accès trop large ou de longue durée au portefeuille affecté. Binance n'a pas publié de compte technique complet et son enquête est toujours en cours.
La question pertinente n'est pas simplement de savoir si un échange utilise des portefeuilles chauds. Toute plateforme de trading active a besoin d'un moyen de traiter les retraits des clients. Les questions portent sur la valeur conservée en ligne, la manière dont les limites de transaction sont appliquées et le nombre d'approbations indépendantes requises pour les transferts inhabituels.
Un système de stockage à froid sécurisé peut limiter la perte totale, mais il ne peut pas protéger les actifs qui ont déjà été déplacés dans un portefeuille opérationnel. La détection et les contrôles de transactions restent importants à cette frontière.
Geler 3 milliards de dollars ne met pas fin au processus de récupération
Le gel rapporté d'environ 3 milliards de dollars est significatif. Il laisse également une quantité substantielle non résolue.
Certains émetteurs de blockchain peuvent geler des jetons au niveau du contrat. Les échanges peuvent bloquer les dépôts connectés à des adresses identifiées. Les validateurs, les ponts et les sociétés d'analyse peuvent diffuser rapidement des alertes lorsque les actifs volés commencent à circuler.
D'autres actifs sont plus difficiles à arrêter. Les attaquants peuvent échanger des jetons via des pools décentralisés, traverser des chaînes, utiliser des outils de confidentialité ou acheminer des fonds via des services situés dans des juridictions qui ne coopèrent pas avec les autorités américaines.
Le FBI a spécifiquement averti que la DeFi et les services d'échange instantané pourraient apparaître dans le processus de blanchiment. Cet avertissement ne signifie pas que ces services ont participé sciemment. Les outils sans permission peuvent être utilisés par des clients légitimes et des acteurs sanctionnés.
La récupération dépendra de la rapidité avec laquelle les enquêteurs identifieront de nouvelles adresses et de la quantité d'argent restante qui parviendra à des services capables de la bloquer.
Ce que les entreprises devraient apprendre de l'attaque
Le cas Binance montre pourquoi la sécurité du recrutement ne peut pas appartenir uniquement au service des ressources humaines.
Un contact d'emploi d'apparence crédible peut devenir une voie d'accès aux systèmes de production. Le code reçu lors d'un entretien doit être traité comme un logiciel non fiable, même s'il provient d'une plateforme d'emploi reconnue. Le tester sur un appareil isolé ou dans un environnement temporaire peut empêcher une conversation professionnelle ordinaire d'atteindre les identifiants de l'entreprise.
Les vérifications d'identité doivent également se poursuivre après l'embauche. Une entreprise qui vérifie les documents le premier jour mais ignore les accès à distance inhabituels, les emplacements des appareils ou les changements de paiement peut manquer des signes que quelqu'un d'autre a pris le contrôle du compte.
Les directives du FBI sur les travailleurs informatiques nord-coréens recommandent de vérifier indépendamment les antécédents professionnels, d'examiner les incohérences d'identité et de prêter une attention particulière aux appareils de l'entreprise envoyés à des adresses tierces. Elles avertissent également des logiciels d'accès à distance non autorisés et des « fermes d'ordinateurs portables » basées aux États-Unis utilisées pour dissimuler la véritable localisation d'un travailleur.
Pour les entreprises de cryptomonnaies, les contrôles de recrutement, la sécurité des appareils, les autorisations de portefeuille et le filtrage des sanctions doivent fonctionner comme un seul système. Les attaquants les traitent déjà de cette manière.
Tapbit publie des analyses de marché et des formations sur les cryptomonnaies pour les lecteurs qui suivent les forces qui façonnent les marchés des actifs numériques. Explorez la dernière couverture sur Tapbit, accédez à un compte existant via Tapbit Login, ou inscrivez-vous sur Tapbit pour en savoir plus sur la plateforme.
Questions fréquemment posées
Qui a piraté Binance en octobre 2026 ?
Le FBI a attribué le vol à la Corée du Nord et l'a associé à TraderTraitor. TRM Labs et Chainalysis sont parvenus à des évaluations similaires basées sur le comportement de l'attaque et les liens avec des incidents antérieurs.
Combien a été volé à Binance ?
Environ 6,36 milliards de dollars d'actifs crypto ont été transférés depuis les portefeuilles Binance sur 10 blockchains. Il a été décrit comme le plus grand vol de cryptomonnaies jamais enregistré.
Binance a-t-elle perdu des fonds de clients ?
Binance a déclaré avoir réservé plus de 6,34 milliards de dollars de fonds d'entreprise pour couvrir les pertes et s'est engagée à protéger les utilisateurs. La société a indiqué que la plupart des actifs des clients restaient dans un stockage froid hors ligne.
