Piratage de Binance : le faux entretien et Homebrew piégé derrière l’attaque à 6,34 milliards

Un faux entretien d’embauche, une installation piégée de Homebrew et un outil d’intelligence artificielle interne détourné : Binance a détaillé le 3 novembre 2026 la préparation de l’attaque du 29 octobre, qui aurait touché environ 6,34 milliards de dollars d’actifs numériques. Son récit décrit une intrusion progressive dans les postes d’ingénieurs, avant un accès au système de signature des portefeuilles. Ces constatations proviennent de l’enquête encore en cours de la plateforme et doivent être distinguées d’une expertise indépendante.

Le nouveau rapport précise le mécanisme que nous évoquions seulement comme une piste dans notre premier article sur le PC DevOps compromis. Il ne s’agit donc pas d’une nouvelle attaque, mais de nouveaux éléments sur la même affaire.

Juin : Homebrew piégé, première porte d’entrée

Selon l’enquête préliminaire publiée par Binance le 3 novembre, un ingénieur de l’équipe Wallet DevOps a recherché un outil populaire d’assistance au code par IA. Il a alors téléchargé une installation de Homebrew modifiée par un attaquant. Homebrew est un gestionnaire de paquets utilisé notamment sur macOS ; l’outil légitime n’est pas présenté comme responsable du piratage.

Binance affirme que son équipe de sécurité a repéré l’anomalie, remplacé l’ordinateur et renouvelé les identifiants liés. Malgré cette réaction, les pirates auraient déjà appris des informations sur le rôle de l’ingénieur et de ses collègues impliqués dans l’infrastructure des portefeuilles. Le rapport ne démontre pas que cette installation, à elle seule, a permis de voler les fonds.

Le SANS Internet Storm Center a documenté en mai une autre campagne de publicité malveillante imitant Homebrew pour distribuer un logiciel voleur de données sur Mac. C’est un exemple indépendant du risque lié aux faux téléchargements ; il n’établit pas que le même logiciel malveillant a été utilisé contre Binance.

Septembre : un faux recrutement et un exercice de code infecté

La deuxième étape est plus élaborée. D’après Binance, un autre ingénieur a été contacté sur une véritable plateforme de recherche d’emploi par un individu se présentant comme directeur de projet. Une première visioconférence avec une prétendue recruteuse ou un prétendu recruteur a servi à établir la confiance, puis un second entretien a été organisé avec une personne jouant le rôle du dirigeant d’une société fictive.

Vers la fin de ce second échange, le candidat s’est vu demander de télécharger sur son ordinateur professionnel un dépôt de code présenté comme un exercice technique. Le code malveillant se serait lancé pendant la configuration. Binance explique qu’il a notamment remplacé un composant légitime de l’environnement de développement, pyenv, pour exécuter des commandes et communiquer avec un serveur contrôlé par les assaillants. La plateforme affirme que ses protections de poste n’ont pas détecté à temps ce programme, qu’elle décrit comme exploitant une technique inconnue de ses défenses.

Octobre : des postes compromis au jeton de déploiement

Le 20 octobre, toujours selon l’entreprise, les assaillants auraient utilisé le poste du second ingénieur et un outil d’IA interne comme relais pour atteindre deux autres collaborateurs, dont l’ingénieur DevOps ciblé en juin. Ils auraient découvert sur son appareil un jeton autorisant le déploiement de conteneurs. Un tel jeton peut donner accès à des opérations techniques sensibles selon les permissions qui lui sont attribuées.

Le 29 octobre, entre 17 h 15 et 19 h 56 UTC, l’attaquant aurait accédé au poste d’un troisième ingénieur, utilisé les identifiants récupérés et déployé un conteneur exécutant un script malveillant. Binance relie cette séquence à l’accès non autorisé au service interne de signature de portefeuilles. L’enjeu n’est pas simplement la perte d’un mot de passe : plusieurs accès, outils et autorisations auraient été combinés sur plusieurs mois.

Pourquoi la suspension des retraits n’a pas suffi

Dans son rapport, Binance affirme que les attaquants ont aussi détourné le mécanisme EIP-7702 d’Ethereum afin de déléguer des droits d’exécution partiels à un contrat contrôlé par eux, sans nécessairement disposer d’une clé privée complète. Certaines autorisations restaient actives sur la blockchain indépendamment de l’infrastructure habituelle des retraits : arrêter cette dernière ne suffisait donc pas immédiatement à empêcher tout mouvement.

Binance indique avoir dû révoquer ces autorisations par des opérations spécifiques. Au total, la société évalue les actifs touchés à 6,34 milliards de dollars et annonce environ 2,85 milliards de dollars gelés ou interceptés, montants soumis aux variations de marché et à la réconciliation des données. Ces chiffres sont ceux communiqués par l’entreprise, non le résultat d’un audit indépendant publié.

Quelles preuves et quelles mesures après l’attaque ?

Binance affirme avoir reconstruit les systèmes de portefeuilles et l’outil d’IA interne concernés, remplacé les appareils touchés, désactivé les identifiants exposés et renforcé les contrôles sur les services de portefeuilles. Elle annonce également le recours à des spécialistes indépendants pour examiner et valider les conclusions de son enquête. Leurs résultats ne figurent pas dans le rapport initial.

L’entreprise dit avoir reconstitué 98 % des actifs en jetons touchés au 31 octobre, grâce à ses propres ressources, et vouloir assumer l’impact financier plutôt que de le transférer aux utilisateurs. Cela ne doit pas être confondu avec les 2,85 milliards de dollars déclarés gelés ou interceptés : il s’agit de deux indicateurs différents. Pour le suivi du retour à la normale et des flux de clients, voir notre article sur la reprise des retraits Binance.

Le FBI attribue publiquement l’attaque à TraderTraitor, lié selon l’agence à la Corée du Nord. Cette attribution officielle ne remplace pas une analyse technique indépendante de chaque étape rapportée par Binance. La prudence s’impose également pour les internautes : vérifier les domaines des logiciels téléchargés et ne jamais exécuter sur son poste professionnel un exercice de recrutement non contrôlé sont deux leçons concrètes de ce dossier.

Illustration éditoriale générée par IA, non officielle. Sources primaires : rapport Binance du 3 novembre 2026 et analyse SANS ISC sur les fausses installations Homebrew.