Contexte de l'attaque

En juin 2026, des acteurs attribués à la Corée du Nord ont initié une campagne visant à dérober 6,34 milliards de dollars stockés dans les portefeuilles de Binance. L’enquête conjointe du FBI et de la société de cybersécurité TRM Security a confirmé que l’objectif était le plus important jamais ciblé dans le secteur des cryptomonnaies. Binance a indiqué avoir gelé ou intercepté 2,85 milliards de dollars, tout en réservant les fonds nécessaires pour couvrir la perte restante.

Méthodes d'intrusion et chaîne d'attaque

Le groupe a mené une opération multi‑étapes, combinant ingénierie sociale et logiciels malveillants. La première phase a consisté en des entretiens de recrutement factices, permettant d’obtenir les coordonnées d’un ingénieur de l’infrastructure des portefeuilles. Cet ingénieur a ensuite téléchargé une version altérée de Homebrew, un gestionnaire de paquets macOS, qui a servi de vecteur d’infection initial. Le malware a exploité des vulnérabilités dans les outils d’IA internes de Binance, compromettant les processus d’autorisation des transactions et obtenant ainsi les privilèges nécessaires pour déplacer les fonds.

Après la compromission du poste de travail, les attaquants ont établi une persistance sur le réseau interne, contournant les contrôles d’accès classiques grâce à une méthode avancée d’autorisation de transaction. Cette technique a permis de signer des transferts sans déclencher les alertes habituelles, démontrant une compréhension fine des protocoles de sécurité de la plateforme.

Réponse de Binance et mesures d’atténuation

Binance a détecté l’infection après que son équipe de sécurité a identifié des comportements anormaux sur le laptop compromis. La société a immédiatement isolé le dispositif, gelé les comptes affectés et lancé une enquête interne détaillée. Un lien vers une page de « Proof of Reserves » a été publié pour rassurer les utilisateurs sur la solvabilité de l’échange. Par ailleurs, Binance a renforcé la vérification des outils internes, notamment en imposant des signatures numériques obligatoires pour tout logiciel tiers installé sur les postes de travail des équipes critiques.

Analyse des implications et limites

Cette intrusion illustre la vulnérabilité des chaînes d’approvisionnement logicielles, même dans des environnements hautement sécurisés. Le recours à un gestionnaire de paquets grand public comme Homebrew montre que les acteurs malveillants peuvent exploiter des outils légitimes pour introduire du code malveillant. De plus, la compromission d’outils d’IA internes souligne le besoin de segmenter strictement les environnements de développement et de production. Malgré les mesures prises, la perte de 3,49 milliards de dollars (différence entre le total ciblé et le montant récupéré) indique que les contrôles de transaction restent un point d’exposition critique, surtout lorsqu’ils reposent sur des processus automatisés qui peuvent être détournés.