Le plus important vol de l'histoire des cryptomonnaies n'a pas commencé par une faille exotique dans un protocole financier. Il a commencé par un message de recruteur sur une plateforme d'emploi légitime. Dans le rapport d'incident qu'elle a publié mardi, la bourse Binance détaille une campagne de plusieurs mois qui a fini par vider ses portefeuilles le 29 octobre, et dont le point d'entrée, un ingénieur à qui l'on propose un nouveau poste, pourrait viser n'importe quelle entreprise.
Une attaque de plusieurs mois, pas un coup de force
Selon le rapport relayé par Bloomberg, Binance attribue le piratage à la Corée du Nord et parle d'une « campagne sophistiquée en plusieurs étapes ». Le FBI a lui aussi imputé le vol à des pirates nord-coréens, que l'agence désigne sous le nom de TraderTraitor. D'après BleepingComputer, ce groupe est également suivi sous les noms de Lazarus Group, Jade Sleet et APT38. Pyongyang rejette l'accusation, rapporte Reuters.
La chronologie est instructive. En juin, un ingénieur de l'équipe chargée des portefeuilles télécharge, en voulant installer un outil de programmation assistée par IA très répandu, une version trafiquée du logiciel. D'après une source proche du dossier citée par Reuters, cette version malveillante avait été glissée dans une publicité et apparaissait plus haut dans les résultats d'un moteur de recherche que l'originale. Binance dit avoir détecté l'intrusion, remplacé l'appareil et changé les identifiants. Mais le rôle de l'employé et celui de ses collègues avaient déjà été exposés aux pirates.
En septembre, les attaquants reviennent par un autre chemin. Selon BleepingComputer, un ingénieur est contacté sur une plateforme d'emploi par une personne qui se fait passer pour un directeur de projet d'une société fictive. Son profil mentionnait son expérience chez Binance, ce qui en faisait une cible de choix. Deux entretiens suivent : le premier en visioconférence avec une fausse responsable des ressources humaines, qui partage un compte de réseau social rempli de photos et de vidéos personnelles pour inspirer confiance, le second avec un faux PDG sur une application de messagerie. C'est à la fin de ce second entretien que l'ingénieur reçoit un « exercice » à télécharger, un dépôt de code piégé.
Un logiciel malveillant que l'antivirus n'a pas vu
Le code s'exécute pendant l'installation. Binance précise qu'il s'agissait d'un logiciel malveillant inédit, non détecté par ses outils de protection des postes de travail, qui remplaçait un composant d'un outil de développement légitime par une version piégée pour communiquer avec un serveur contrôlé par les attaquants. Les pirates ont aussi pris soin d'effacer leurs traces, ce qui complique l'enquête.
La suite tient du déplacement latéral. Au 20 octobre, selon BleepingComputer, les attaquants avaient utilisé l'ordinateur du premier ingénieur et un outil d'IA interne pour compromettre deux autres employés de l'infrastructure des portefeuilles, et obtenir des identifiants et un jeton de déploiement de conteneurs. Le 29 octobre, ces identifiants leur ont servi à lancer un script malveillant et à accéder au service de signature des portefeuilles, l'organe qui autorise les transferts.
L'exécution a été rapide. Selon le rapport cité par Cybernews, 233,46 millions de XRP ont quitté cinq portefeuilles connectés à Internet en quatre minutes, avant le retrait d'autres cryptomonnaies, dont des bitcoins. Les voleurs agissaient encore près de quatre heures après le premier transfert, malgré les efforts de Binance pour verrouiller ses systèmes. BleepingComputer ajoute que les pirates ont détourné un mécanisme d'autorisation d'Ethereum, l'EIP-7702, pour continuer à ponctionner des fonds même après la suspension des retraits.
Des chiffres encore mouvants
Le montant varie selon les sources, ce qui tient en partie aux méthodes d'évaluation et aux cours. La plupart des médias retiennent 6,3 milliards de dollars américains; Binance elle-même parle d'environ 6,34 milliards, tandis que The Hacker News fait état de 6,43 milliards et que l'ABC australienne évoque 6,6 milliards de dollars américains. Ces écarts rappellent que les pertes en cryptomonnaies se calculent au prix du jour, dans un marché volatil.
Côté réparation, Binance affirme avoir reconstitué environ 98 % des actifs touchés au 31 octobre et gelé ou intercepté près de 2,85 milliards de dollars au 3 novembre. Le cochef de la direction, Richard Teng, a assuré sur Fox Business que les clients n'absorberaient aucune perte. La bourse puise dans ses fonds propres et dans son fonds de protection des utilisateurs, le SAFU. Tether, Circle et Ripple ont, de leur côté, gelé des centaines de millions de dollars d'actifs potentiellement concernés.
L'effet sur le marché est resté limité. Selon le Seoul Economic Daily, le bitcoin a reculé de plus de 4 %, autour de 76 000 dollars, avant de remonter partiellement. Les retraits de clients, eux, ont été importants : Business World, citant la presse financière, fait état d'environ 3,6 milliards de dollars sortis de la plateforme en quelques jours.
Une méthode éprouvée, qui n'a rien d'exotique
Le faux entretien d'embauche n'est pas une invention de cette semaine. BleepingComputer rappelle qu'il est au cœur de campagnes nord-coréennes connues sous les noms de « Contagious Interview » et d'« Operation Dream Job ». Le Seoul Economic Daily rappelle qu'en 2022, une fausse offre d'emploi avait permis de piéger un ingénieur du jeu en ligne Axie Infinity, pour un vol d'environ 590 millions de dollars selon ce média; Wiz parle de 620 millions. En 2024, le vol de 308 millions de dollars chez le japonais DMM Bitcoin est passé, selon BleepingComputer, par un employé d'un fournisseur de portefeuilles à qui l'on avait envoyé un faux test d'embauche sur LinkedIn. En février 2025, le vol de 1,5 milliard chez Bybit est passé par l'ordinateur d'un développeur d'un fournisseur de portefeuilles, Safe{Wallet}.
Le phénomène est massif et ne se limite pas aux grands coups. En septembre, selon Forbes, le FBI et la police nationale japonaise ont publié un avis signé par sept agences du Japon, des États-Unis, de l'Australie et de l'Allemagne. Il décrit une campagne baptisée WaterPlum : au moins 30 000 appareils infectés dans plus de 100 pays, plus de 7 000 portefeuilles touchés et environ 10,7 millions de dollars rapatriés vers la Corée du Nord. La société de forensique Chainalysis soutient que ces petits larcins ont permis aux pirates de peaufiner leur méthode avant de viser des cibles de plus grande valeur.
Binance, elle, dit avoir déjoué 57 incidents soupçonnés d'être liés à la Corée du Nord depuis janvier. Michael Barnhart, chercheur chez DTEX cité par Reuters, en conclut que l'entreprise est « bombardée » en permanence.
Pourquoi la menace dépasse largement la cryptographie
C'est ici que le dossier cesse d'être une affaire de cryptomonnaies. L'attaque ne contourne ni la cryptographie ni la blockchain : elle exploite le fait qu'un employé, pour changer de poste, accepte de passer des entretiens et d'exécuter du code sur son ordinateur de travail. Axios note que les pirates nord-coréens exploitent désormais les deux côtés du marché du travail : tantôt en se faisant passer pour des recruteurs, tantôt en se faisant embaucher comme candidats. Le magazine rappelle que ces faux informaticiens décrochent des postes bien payés dans des entreprises américaines dont les salaires sont renvoyés à Pyongyang.
Plusieurs failles se cumulent, et elles n'ont rien de propre au secteur financier :
- La frontière entre vie professionnelle et recherche d'emploi. L'ordinateur fourni par l'employeur sert aussi, parfois, à passer un entretien chez un tiers. Un appareil d'entreprise devient la porte d'entrée.
- Les outils de développement. Une publicité piégée dans un moteur de recherche, un composant d'installation substitué : la chaîne d'approvisionnement logicielle est une surface d'attaque en soi.
- Les outils d'IA internes. Selon Binance, les attaquants ont détourné son outil d'IA interne pour obtenir des accès. L'entreprise l'a reconstruit et dit vouloir investir davantage dans la détection par IA et créer un fonds de recherche avec des sociétés d'IA. D'après un rapport de Microsoft cité par PANews, des acteurs liés à la Corée du Nord emploient aussi l'IA générative pour étudier leurs cibles, rédiger leurs messages d'approche et façonner de fausses identités.
- La rareté des détections. Le logiciel utilisé n'était pas connu des solutions de sécurité, et l'attaque a duré des mois. Aucun produit ne remplace la vigilance humaine ni la segmentation des accès.
Les mesures évidentes, rarement appliquées : séparer strictement les appareils de travail et ceux utilisés pour chercher un emploi, interdire l'exécution de code tiers sur les postes ayant accès à des systèmes critiques, limiter le nombre de personnes pouvant autoriser des transferts, et former les équipes à reconnaître une approche de recrutement suspecte. Selon Reuters, un nombre restreint d'ingénieurs avaient accès direct aux portefeuilles chez Binance, ce qui n'a pas suffi à protéger l'ensemble.
Ce qui reste à établir
L'enquête n'est pas terminée. Binance a fait appel à des sociétés de sécurité indépendantes pour examiner ses conclusions, et le rapport publié est qualifié de « préliminaire » ou d'« initial » par plusieurs médias. Les fonds volés auraient été convertis surtout en ethers, et pourraient transiter par des plateformes de finance décentralisée et des bourses instantanées pour en brouiller l'origine, selon les enquêteurs fédéraux cités par Fox Business. La part qui pourra être récupérée dépendra de la rapidité des gels par les émetteurs de jetons et de la coopération entre bourses.
Le cas Binance démontre surtout qu'un attaquant patient, soutenu par un État, peut atteindre une entreprise très protégée en passant par l'un de ses employés, un message à la fois. Pour une direction, la question n'est plus de savoir si un employé recevra un jour une offre d'emploi piégée, mais ce qui se passera sur son réseau le jour où il cliquera.