Hack Binance : un faux entretien d’embauche et un outil IA interne derrière le vol de 6,3 milliards

Six milliards au bout d’un entretien d’embauche. Binance a publié ce mardi 3 novembre son rapport initial sur le piratage du 29 octobre. Et le récit de ce hack de Binance démarre très loin des serveurs. Un ingénieur répond à une offre d’emploi et télécharge un « exercice » de code. Quelques semaines plus tard, 6,34 milliards de dollars quittent les hot wallets de la plateforme.

La plateforme assure absorber seule la perte. Au 31 octobre, 98 % des actifs touchés étaient reconstitués et 2,85 milliards de dollars avaient été gelés ou interceptés.

Points clés

• Deux ingénieurs piégés en amont, l’un par une installation Homebrew trafiquée en juin et l’autre par un recrutement bidon en septembre.
• Un outil d’IA interne a permis aux pirates de sauter de poste en poste jusqu’au service de signature des wallets.
• Des délégations EIP-7702 inscrites on-chain ont continué de vider un wallet malgré la suspension des retraits.

Hack Binance : de faux recruteurs et un Homebrew piégé

Tout commence en juin. Un ingénieur de l’équipe Wallet DevOps cherche un outil de codage IA sur un moteur de recherche. Il tombe alors sur une version trafiquée de Homebrew, le gestionnaire de paquets des développeurs sur Mac. La sécurité de Binance repère l’anomalie, remplace la machine et change tous ses identifiants.

Mais trop tard pour l’essentiel. Les pirates connaissent désormais son rôle, et ceux de ses collègues de l’infrastructure wallets.

Le deuxième acte se joue en septembre sur une plateforme d’emploi tout ce qu’il y a de plus légitime. Un autre ingénieur, dont le profil mentionne Binance, est approché par un prétendu directeur de projet. Suit un premier entretien vidéo avec une recruteuse. Pour installer la confiance, celle-ci partage même son compte de réseau social, photos et vidéos personnelles comprises. Puis le second tour se passe sur une messagerie grand public, face au soi-disant PDG d’une société fictive. Pour finir, on lui demande de télécharger un « devoir » sur son ordinateur de travail.

Le dépôt de code contient un malware zero-day, inconnu des antivirus à ce moment-là. Il remplace notamment pyenv, un outil Python, par une version piégée qui dialogue avec un serveur des attaquants. Aucune protection installée sur le poste ne bronche pour autant.

« Notre enquête indique qu’il s’agissait d’une campagne sophistiquée, menée en plusieurs étapes. Ce n’était ni une intrusion isolée ni un simple incident de phishing.»

Binance, rapport initial du 3 novembre 2026

Binance dit avoir déjoué 57 tentatives de hack liées à la Corée du Nord en 2026. La 58e, en revanche, est passée.

L’outil IA interne de Binance a servi de tremplin

Les pirates passent à la vitesse supérieure le 20 octobre. Depuis l’ordinateur compromis, ils détournent un outil d’IA interne de Binance pour prendre la main sur deux autres machines. Parmi elles, celle de l’ingénieur DevOps visé en juin. Ils y trouvent surtout un jeton d’autorisation pour déployer des conteneurs.

Le 29 octobre, de 18h15 à 20h56, ils se connectent au poste d’un troisième ingénieur, déploient un conteneur et lancent leur script. Celui-ci ouvre dès lors un accès au service interne qui signe les transactions des wallets, en dehors du circuit normal des retraits.

Ensuite, tout va très vite. Cinq hot wallets envoient 233,46 millions de XRP à une adresse des attaquants entre 21h05 et 21h09, heure de Paris. Suivent également environ 970 500 SOL, 44,2 millions d’OP sur Optimism et 18 270 BTC.

Le rapport de Binance sur le hack ne nomme pas l’outil d’IA en question. La plateforme indique seulement l’avoir reconstruit, avec ses contrôles d’accès, et promet par ailleurs un fonds de recherche sur la sécurité de l’IA dans la blockchain.

Pourquoi couper les retraits n’a pas suffi face à l’EIP-7702

Binance suspend les retraits dès l’alerte interne. Le saignement continue pourtant côté Ethereum.

Les pirates ont utilisé le service de signature pour exploiter l’EIP-7702, arrivée avec la mise à jour Pectra en mai 2025. Ce mécanisme permet à un compte classique de confier une partie de ses pouvoirs à un smart contract, la clé privée restant hors de portée. Avec 50 transactions signées, les attaquants manipulent d’abord le nonce du wallet (son compteur de transactions). Ils confient ensuite des droits partiels sur un hot wallet de Binance à leur propre contrat.

Or ces autorisations vivent sur la blockchain. Fermer les retraits côté plateforme ne les annule donc pas.

Parce que le hot wallet reposait sur le MPC, il n’existait aucune clé privée unique permettant de révoquer immédiatement les autorisations EIP-7702 malveillantes. L’équipe a donc dû concevoir et exécuter une procédure spécifique, ce qui a demandé du temps supplémentaire.

Binance, rapport initial du 3 novembre 2026

Le MPC (calcul multipartite) répartit la clé entre plusieurs parties. Cela protège contre le vol d’une clé unique, mais ralentit la riposte dans l’urgence. Le dernier transfert de 2 961,9 ETH n’est ainsi finalisé qu’à 0h56, heure de Paris. La délégation n’est effacée qu’à 1h10, le 30 octobre, selon le rapport publié par Binance sur X.

Le FBI attribue l’attaque à TraderTraitor. Cette unité nord-coréenne était déjà accusée par Washington du vol de 1,5 milliard de dollars chez Bybit en février 2025. Binance a pour sa part commandé un audit indépendant du hack.

Les retraits ont rouvert dimanche sur Bitcoin, puis ce mardi à 5h, heure de Paris, sur neuf autres réseaux dont Ethereum, Solana et XRP. Selon le FBI, les pirates de TraderTraitor convertissent déjà le butin en ether pour le blanchir ensuite via la DeFi et des plateformes d’échange instantané.