Hack Binance : le DOJ saisit 1,2 milliard de dollars et démonte FaceStealer, l’arnaque deepfake nord-coréenne
Deux semaines après le casse, la contre-attaque. Le ministère américain de la Justice a annoncé jeudi 12 novembre deux opérations coordonnées contre les hackers de Pyongyang. La première vise directement le piratage de Binance du 29 octobre : un tribunal fédéral autorise la saisie de plus de 1,2 milliard de dollars de fonds volés. La seconde démantèle l’infrastructure cloud de FaceStealer, une campagne d’arnaque aux faux appels vidéo qui a rapporté plus de 400 millions de dollars en dix-huit mois à la Corée du Nord. Dans les deux cas, le FBI pointe la même constellation de hackers.
Les points clés de cet article :
- Un juge a autorisé la saisie et le blocage de plus de 1,2 milliard de dollars issus du hack de Binance.
- Au total, 2,7 milliards sur les 6,3 milliards dérobés sont gelés, avec l’aide de Tether et Circle.
- FaceStealer piège ses victimes avec de faux appels Zoom ou Teams et des deepfakes de contacts connus.
- Le FBI a saisi plus de 900 vidéos de webcam volées et ouvert une page dédiée au stratagème.
1,2 milliard de dollars du hack Binance sous séquestre judiciaire
L’argent n’est pas encore rendu, mais il ne bougera plus. Le communiqué du DOJ parle de « saisie et de blocage » de plus de 1,2 milliard de dollars d’actifs volés à Binance « vers le 29 octobre ». Cette somme fait partie des 2,7 milliards déjà gelés par les autorités américaines et le secteur privé, les deux plus gros émetteurs de stablecoins en tête. Sur un butin évalué à 6,3 milliards, il reste donc environ 3,6 milliards dans la nature.
Le FBI attribue l’attaque à TraderTraitor, l’unité liée à l’armée nord-coréenne déjà derrière le hack de Bybit en février 2025. Les enquêteurs disent continuer à suivre les fonds à travers les ponts, les mixeurs et les exchanges, et demandent aux plateformes de bloquer toute transaction issue des adresses de blanchiment répertoriées dans une alerte conjointe avec le Secret Service et l’IRS. « Le gouvernement nord-coréen finance son régime voyou et son programme d’armement illicite par le vol de cryptomonnaies », résume M. Scott Proctor, numéro deux de la division sécurité nationale du ministère.
Pour Binance, le calendrier tombe bien. L’exchange a annoncé la veille avoir fini de couvrir l’intégralité des avoirs de ses clients et publié une nouvelle preuve de réserves, deux jours après avoir coupé les ponts avec MEXC sous la pression du Trésor américain.
FaceStealer : la webcam de votre contact, le malware pour vous
La seconde opération concerne un piège bien plus artisanal, et redoutablement efficace. Vous recevez une invitation à un appel vidéo d’un partenaire ou d’un investisseur que vous connaissez. L’interface ressemble à Zoom ou à Microsoft Teams. Votre interlocuteur apparaît à l’écran, son visage, sa voix. Puis un « problème technique » survient, et on vous demande d’installer un correctif ou de lancer une commande. Ce correctif est un malware. Il vide vos wallets et ouvre la porte à vos autres systèmes.
Le visage, lui, est faux. Selon l’alerte du FBI, les hackers rejouent des extraits de webcam enregistrés à l’insu de victimes précédentes, et de plus en plus des vidéos générées par IA. Chaque victime enrichit le carnet d’adresses et la banque d’images des attaquants, ce que le Bureau décrit comme une croissance « exponentielle » du vivier de cibles. Les agents ont saisi plus de 900 de ces vidéos et l’infrastructure cloud qui servait à les diffuser.
Le bilan chiffré donne le vertige. Plus de 400 millions de dollars volés en dix-huit mois, selon Brett Leatherman, directeur des opérations de la branche cyber du FBI. La campagne, rattachée au groupe APT38 (aussi connu sous les noms BlueNoroff ou Sapphire Sleet), ne vise pas seulement les détenteurs de crypto. Elle cible aussi les développeurs qui maintiennent des logiciels open source très répandus, avec l’idée de compromettre toute la chaîne d’approvisionnement logicielle d’un coup.
Ce que le hack Binance change pour les autres plateformes
Le message adressé aux exchanges est double. D’un côté, le DOJ leur demande de bloquer les adresses listées par le FBI, une obligation de fait pour toute plateforme qui veut garder ses relations bancaires américaines. De l’autre, FaceStealer rappelle que la faille, dans le cas Binance comme ailleurs, reste humaine : l’attaque du 29 octobre était partie de l’ordinateur compromis d’un ingénieur. Un appel vidéo convaincant suffit.
Le FBI a mis en ligne une page dédiée, fbi.gov/facestealer, et recommande une règle simple aux équipes crypto : ne jamais installer un logiciel ou exécuter une commande à la demande d’un interlocuteur en visioconférence, même connu, sans vérification par un autre canal. Les 900 vidéos saisies serviront aussi à prévenir les personnes dont l’image a été utilisée.
Avec Binance, le compteur des piratages attribués à Pyongyang depuis 2019 dépasse 9,6 milliards de dollars, et la Corée du Nord continue de nier toute implication. L’Union européenne a lancé de son côté une task force pour traquer les fonds sous sanctions. Les 3,6 milliards encore en circulation, eux, transitent déjà par THORChain et des memecoins fraîchement créés.
Magali
Tombée dans le terrier du lapin blanc en 2017, je suis passée de lectrice assidue à Rédactrice en chef du Journal du Coin. J’aime m'investir dans les coulisses de projets pour porter ma vision d'un futur décentralisé. Amoureuse des belles lettres, je coordonne nos équipes pour transformer la complexité technique en une information humaine, précise et sans jargon inutile. Entre entrepreneuriat et rédaction, ma mission est claire : vulgariser demain, mais le faire aujourd'hui.