Le FBI attribue officiellement le vol de plus de 6 milliards de dollars subi par Binance au groupe nord-coréen TraderTraitor. Dans une alerte publiée le 31 octobre, il liste 628 adresses de cryptomonnaies liées au butin, selon SecurityWeek.
Binance chiffre la perte à 6,34 milliards de dollars, et la société d’analyse Elliptic à 6,43 milliards sur onze blockchains. Environ 2,85 milliards de dollars ont été gelés ou interceptés au 3 novembre, d’après la plateforme.
La Corée du Nord dément toute implication. Le rapport de Binance sur le déroulé de l’attaque est une première version, que des sociétés de sécurité indépendantes doivent encore vérifier.
Le déroulé : un faux entretien d’embauche
Tout a commencé en septembre, selon le rapport de Binance détaillé par BleepingComputer. Un ingénieur, dont le profil mentionnait une expérience chez Binance, a été contacté sur un site d’emploi par un faux directeur de projet. Après de faux entretiens en vidéo, on lui a demandé de télécharger un exercice de programmation.
Ce code installait un logiciel malveillant inédit, que les outils de sécurité de Binance n’ont pas détecté. Le 20 octobre, depuis l’ordinateur de l’ingénieur et à l’aide d’un outil d’IA interne, les pirates ont compromis deux autres employés chargés de l’infrastructure des portefeuilles, et obtenu des identifiants et un jeton de déploiement.
Le 29 octobre, ils ont déployé un script malveillant, accédé au service de signature des portefeuilles et transféré des milliards de dollars sur plusieurs blockchains. Ils ont même continué à voler des fonds après la suspension des retraits, en exploitant un mécanisme d’Ethereum.
Pourquoi TraderTraitor est désigné
TraderTraitor est un groupe de pirates lié à l’État nord-coréen, rattaché à la nébuleuse Lazarus, déjà accusé par le FBI du vol de 1,5 milliard de dollars chez Bybit en février 2025. Ses méthodes sont connues : faux recruteurs, faux tests techniques et logiciels malveillants ciblant les employés du secteur.
Kim Yo Jong, la sœur du dirigeant nord-coréen, a dénoncé l’attribution du FBI, rapporte CoinDesk. Elliptic estime que ses propres analyses confirment la piste nord-coréenne.
Les 2,85 milliards gelés et le reste du butin
Les gels ont été réalisés par des émetteurs de cryptomonnaies stables et des réseaux comme Tether, Circle, Ripple, Arbitrum et Optimism. Environ 3,2 milliards de dollars restent sur des adresses liées au vol, surtout en bitcoin et en ether, selon Elliptic.
Le FBI, avec les services secrets et le fisc américains, demande aux plateformes d’échange, aux services de finance décentralisée et aux opérateurs de THORChain de refuser toute transaction liée à ces adresses. Les pirates convertissent les fonds en ether et devraient les blanchir par des services d’échange instantané.
Ce que cela change pour les utilisateurs
Binance affirme avoir reconstitué 98 % des actifs touchés au 31 octobre avec ses propres fonds, et promet que les clients ne supporteront aucune perte. La plateforme indique avoir reconstruit ses systèmes, remplacé les appareils compromis et révoqué les identifiants volés. Vérifiez sur l’application l’état de votre compte et des retraits avant toute opération.
Ce vol, que nous racontions dès les premières heures, rappelle qu’un actif laissé sur une plateforme dépend de sa sécurité. Il montre aussi que la faille ne venait pas de la cryptographie, mais d’un employé piégé par un faux recruteur, une menace qui touche toutes les entreprises.
Reste à savoir combien sera récupéré
Reste à savoir quelle part des 3,2 milliards de dollars encore en circulation pourra être bloquée avant d’être blanchie, et ce que révélera l’audit indépendant du rapport de Binance. Cet article sera mis à jour.
