Le plus gros vol de l'histoire des cryptomonnaies ne s'est pas joué sur une faille mathématique ou une cassure du chiffrement. Il a commencé par une offre d'emploi. Dans un rapport d'incident publié mardi, Binance, la plus grande plateforme d'échange de cryptomonnaies au monde, détaille comment des pirates liés à la Corée du Nord ont piégé l'un de ses ingénieurs avec de faux entretiens d'embauche avant de siphonner environ 6,3 G$ US de ses portefeuilles, le 29 octobre.
Une campagne de plusieurs mois, pas un coup de force
Selon Bloomberg, Binance a décrit une campagne « sophistiquée en plusieurs étapes ». Son codirecteur général, Richard Teng, a résumé la situation devant la presse : il ne s'agit pas d'une erreur isolée, mais d'une opération montée pendant des mois, selon les propos rapportés par Bloomberg.
Le scénario, tel que le racontent BleepingComputer, Fortune et Axios, tient en quelques temps :
- Septembre. Un ingénieur logiciel est contacté sur une plateforme de recherche d'emploi légitime par une personne se présentant comme directrice de projet d'une entreprise fictive. Son profil mentionnait son expérience chez Binance, ce qui en faisait une cible de choix.
- Premier entretien. Un faux représentant des ressources humaines mène un appel vidéo en direct et partage un compte de réseau social garni de photos et de vidéos personnelles, afin d'inspirer confiance.
- Second entretien. Un faux PDG reçoit l'ingénieur sur une application de messagerie et lui demande de télécharger un « exercice » de programmation. Le dépôt de code contenait un logiciel malveillant inédit, que les outils antivirus n'ont pas détecté.
- 20 octobre. Les attaquants se servent de l'ordinateur compromis et d'un outil d'intelligence artificielle interne pour atteindre deux autres employés de l'équipe des portefeuilles, dont ils obtiennent identifiants et jeton de déploiement.
- 29 octobre. Munis de ces accès, ils déploient un script malveillant dans le service de signature des portefeuilles et transfèrent des milliards sur plusieurs chaînes de blocs.
Un second volet, révélé par Fortune, s'est déroulé en parallèle : un autre ingénieur avait cliqué sur une publicité menant à une version trafiquée de l'outil Homebrew. Binance affirme avoir détecté l'intrusion et nettoyé l'appareil, mais les pirates avaient déjà recueilli des informations sur les personnes gérant les portefeuilles de l'entreprise. C'est la combinaison des deux pistes qui a ouvert la porte.
Vingt minutes pour vider dix chaînes
L'exécution, elle, a été fulgurante. La firme d'analyse TRM Labs, citée par PBS, estime que près de 6,36 G$ ont quitté les portefeuilles de Binance sur dix chaînes de blocs, l'essentiel en une vingtaine de minutes. D'après Chainalysis, les attaquants ont aussi cherché à devancer les émetteurs de stablecoins : en près de 20 minutes, ils ont converti 325 M$ de stablecoins en 285 M$ d'ether, un actif qu'aucun émetteur ne peut geler.
Selon BleepingComputer, les pirates ont en outre exploité un mécanisme d'autorisation d'Ethereum, l'EIP-7702, pour continuer à ponctionner des fonds même après la suspension des retraits.
Un modèle nord-coréen bien rodé
Le FBI attribue l'attaque à TraderTraitor, une unité liée au groupe Lazarus, d'après BleepingComputer. Chainalysis dit avoir renforcé son diagnostic en observant des fonds volés à Binance se mêler, sur la chaîne, à ceux d'un vol attribué à la Corée du Nord le mois dernier chez Bitget. Pyongyang nie. Selon CNBC, Kim Yo Jong, sœur du dirigeant Kim Jong Un, a dénoncé une « provocation politique grave ».
La méthode n'a rien d'inédit. BleepingComputer rappelle que les faux entretiens suivis de logiciels malveillants relèvent de campagnes nord-coréennes connues sous les noms de « Contagious Interview » et d'« Operation Dream Job », et que l'enchaînement observé chez Binance en reprend les marques. Forbes rapportait en septembre qu'une opération apparentée, baptisée WaterPlum, avait infecté plus de 30 000 appareils dans plus de 100 pays pour un butin bien plus modeste, environ 10,7 M$, selon le FBI et la police nationale japonaise.
Le vol de Bybit, en février 2025, suivait déjà ce schéma : The Diplomat explique que des pirates, se faisant passer pour des recruteurs, avaient envoyé un faux test préalable à l'embauche à un développeur du fournisseur Safe{Wallet}, avant de modifier l'écran d'approbation des transferts. Le butin, environ 1,5 G$, est désormais plus de quatre fois inférieur à celui de Binance. Selon CoinDesk, citant Chainalysis, les pirates nord-coréens avaient volé 2,02 G$ en cryptos en 2025, et le pays est largement soupçonné de financer ainsi son programme d'armement.
Ce que révèle le dossier Binance, c'est la bascule vers l'ingénierie sociale comme porte d'entrée privilégiée. Axios y voit des pirates qui exploitent les deux côtés du marché de l'emploi, en se faisant passer pour des recruteurs comme pour des candidats.
Le maillon humain, et la question des garde-fous
Binance affirme que le personnel occupant des fonctions non publiques n'a pas le droit d'entretenir un profil LinkedIn, selon Fortune. Le porte-parole de l'entreprise n'a pas dit si l'ingénieur visé avait enfreint cette règle, ni si des sanctions étaient envisagées. L'entreprise dit avoir détecté et bloqué 57 tentatives liées à la Corée du Nord depuis le début de l'année, un chiffre qui montre l'ampleur de la pression.
La chaîne de compromission soulève aussi des questions d'architecture. Un seul poste infecté a permis, par rebonds et grâce à un outil d'IA interne, d'atteindre des employés détenant des droits sensibles. Un expert de la firme de cybersécurité NyxLab, cité par PBS, se demandait dès le premier jour pourquoi des contrôles d'approbation plus stricts n'étaient pas en place. Binance dit avoir reconstruit les systèmes touchés, remplacé les appareils compromis et révoqué les identifiants volés, et prévoit de faire appel à des experts indépendants pour examiner l'incident, selon CoinDesk.
Le butin : moitié gelé, moitié en fuite
Le sort des fonds volés illustre les forces et les limites de l'écosystème. Selon CNBC, qui s'appuie sur Elliptic, environ 2,85 G$, soit 44 % des 6,43 G$ estimés par cette firme, ont été gelés ou saisis, tandis qu'environ 3,24 G$ demeurent dans des adresses liées au vol, surtout en bitcoin et en ether. Les gels ont été rapides : Chainalysis relève que les premiers sont intervenus moins d'une heure après le début du vol, grâce à Tether et à Circle, qui peuvent bloquer leurs jetons.
Mais les pirates ont déployé des techniques de blanchiment d'une ampleur inhabituelle. Elliptic a compté environ 12 000 portefeuilles et plus de 40 000 transactions en quatre jours, avec en moyenne un nouveau portefeuille toutes les 25 secondes. Chainalysis parle de schémas « jamais vus » et d'un processus qui semble automatisé, sans affirmer que de l'IA y soit impliquée. Elliptic observe aussi les premiers signes de mixage de bitcoins, et s'attend à une conversion progressive, potentiellement sur plusieurs mois, avant d'éventuels retraits en argent comptant par des courtiers de gré à gré.
Le FBI, de son côté, a publié des centaines d'adresses et demandé aux services de finance décentralisée, aux exploitants de nœuds et aux plateformes d'échange instantané de bloquer les transactions associées, selon Investing.com. L'exercice se heurte à une limite simple : créer un nouveau portefeuille ne coûte rien.
Binance tient, pour l'instant
Sur le plan financier, la plateforme a absorbé le choc. Elle a promis que ses clients ne subiraient aucune perte et affirme avoir remplacé environ 95 % des actifs touchés, en puisant dans son fonds de réserve SAFU, une partie de son fonds d'assurance des contrats à terme et sa trésorerie, selon CNN et CNBC. Les retraits ont repris le 1er novembre, par étapes.
La ruée redoutée n'a pas eu lieu. Selon Cryptopolitan, qui cite Reuters et le Wall Street Journal, les clients ont retiré net 4,72 G$, soit environ 3 % des actifs de la plateforme, alors que 2,7 G$ sont revenus. Le même média rappelle que Binance avait connu environ 6 G$ de sorties nettes en 72 heures après l'effondrement de FTX en 2022. Le bitcoin, tombé vers 76 400 $ dans la foulée du vol, se stabilisait autour de 78 000 $ en début de semaine, d'après Capmad. Un analyste de Fundstrat cité par Yahoo Finance relevait que l'épisode ne ressemblait pas, à ce stade, à un événement de solvabilité pour Binance, ce qui limite les risques de contagion.
La plateforme a aussi publié une preuve de réserves cryptographique, qui confirme que dix grands jetons sont couverts au moins un pour un. Ce n'est toutefois pas un audit de solvabilité, précise Cryptopolitan. Un nouvel instantané est prévu le 4 novembre.
Ce que le dossier change
Trois enseignements se dégagent. D'abord, la sécurité des plateformes se joue moins dans le code que dans les habitudes des employés et les accès qu'ils détiennent : un profil professionnel public et une offre alléchante ont suffi pour ouvrir la voie à un vol de plusieurs milliards. Ensuite, le pouvoir de gel des émetteurs de stablecoins s'est avéré décisif, mais il a des limites que les pirates contournent déjà, par l'ether et par des jetons de reçu de la finance décentralisée. Enfin, l'ampleur des sommes, plus de quatre fois le record précédent, confirme qu'un État sous sanctions a fait du vol de cryptomonnaies un pilier durable de ses revenus.
Le rapport de Binance n'est qu'un premier état des lieux : l'examen par des experts indépendants et la poursuite des fonds, qui devrait s'étirer sur des mois, diront si l'industrie a tiré toutes les leçons de cette attaque.