Secu
Binance : un poste de travail à 6 milliards de dollars
Par Guillaume Perissat, publié le 02 novembre 2026
Derrière le vol spectaculaire de cryptomonnaies subi par Binance, les premières analyses dessinent un scénario désormais bien connu des équipes de cybersécurité : un poste de travail compromis, des privilèges excessifs et une confiance trop largement accordée aux accès internes. Une opération que les experts rapprochent des méthodes du groupe nord-coréen TraderTraitor.
Le montant est spectaculaire, mais le mode opératoire l’est beaucoup moins. Dans le piratage subi par Binance le jeudi 29 octobre, les premières informations disponibles pointent vers la compromission du poste de travail d’un ingénieur. Lequel a été ensuite utilisé comme point d’entrée vers les systèmes internes de la plateforme d’échange. Ce scénario rappelle certaines attaques subies par le secteur public français au cours de l’été. À chaque fois, des infrastructures sensibles n’ont pas été fragilisées par une vulnérabilité technique sophistiquée. Un simple accès légitime compromis a suffi.
Pour Rafe Pilling, Senior Director of Threat Research chez Sophos, les premiers éléments correspondent aux méthodes de TraderTraitor. Ce groupe cybercriminel soutenu par l’État nord-coréen est déjà associé à plusieurs vols de cryptomonnaies. « Ce groupe commence généralement par compromettre le poste de travail d’un développeur ou d’un ingénieur logiciel. Cet accès lui permet de mener des opérations de reconnaissance et de préparer techniquement son attaque », explique-t-il. Dès que les conditions sont réunies, les attaquants passent rapidement à l’action, en exécutant des transactions coordonnées pour dérober les actifs de leur cible.
Un poste de travail comme porte d’entrée…
Tout serait parti d’une opération d’ingénierie sociale des plus classiques. Pour Raghu Nandakumara, expert en cybersécurité chez Illumio, le scénario est particulièrement révélateur des faiblesses de sécurité liées aux accès privilégiés. « Selon les premières informations, un ingénieur a été convaincu de passer un “test”, et un malware s’est installé sur son ordinateur portable pendant qu’il le faisait. Cet ordinateur était déjà authentifié et déjà privilégié ; il est donc devenu la voie royale de l’attaquant vers la production, puis vers les portefeuilles ». Même son de cloche du côté de Samuel Hassine. « Le chiffre record fera les gros titres, mais c’est le point d’entrée banal qui constitue la vraie leçon », estime le CEO de Filigran. « Binance indique que l’attaque aurait pu démarrer avec l’ordinateur portable compromis d’un ingénieur, utilisé pour atteindre un service qui soumet les retraits ».
… et un accès trop privilégié
Le spécialiste insiste sur la facilité avec laquelle les attaquants auraient pu dérouler leur attaque après cette première compromission. « Une fois l’ordinateur en main, chaque étape suivante reposait sur une confiance présumée plutôt que vérifiée » écrit-il. Une analyse qui rejoint celle de Javvad Malik, expert en cybersécurité chez KnowBe4. Selon lui, « les violations les plus catastrophiques exploitent rarement des failles zero-day exotiques dans des protocoles de base, mais reposent plutôt sur des défaillances de gestion des accès privilégiés ».
Il rappelle que le poste de travail d’un ingénieur peut constituer un véritable tremplin vers les systèmes critiques dès lors qu’il dispose de droits trop étendus. « Se fier à son périmètre extérieur ne suffit plus, et aucun collaborateur ni aucune machine ne devrait jamais détenir les clés de tout le royaume », prévient-il.
Il convient toutefois de ne pas considérer ce scénario comme définitivement établi. Binance n’a pas encore publié d’analyse technique complète de l’incident. La plateforme a néanmoins indiqué que la compromission d’un ordinateur portable appartenant à un ingénieur DevOps avait permis à l’attaquant d’accéder à un conteneur de service et de soumettre des transactions de retrait non autorisées. Elle affirme ne disposer d’aucun indice d’une fuite des clés privées de ses portefeuilles.
TraderTraitor, la piste nord-coréenne
L’attribution de l’attaque à TraderTraitor constitue une autre pièce importante du dossier. La société d’analyse blockchain Chainalysis estime que le groupe nord-coréen est responsable de l’opération. Les enquêteurs ont notamment observé en temps réel des fonds issus du piratage de Binance se mêler à ceux provenant d’une précédente attaque contre la plateforme Bitget, également attribuée à des acteurs nord-coréens.
Ce groupe est connu pour cibler les entreprises du secteur des cryptomonnaies afin de financer le régime de Pyongyang. Les plateformes d’échange ne sont toutefois pas seules dans le viseur. Au printemps, la compromission du paquet npm Axios présentait déjà des similarités avec les modes opératoires de la Corée du Nord, signe que la chaîne logicielle constitue un autre point d’entrée de choix.
Rafe Pilling souligne la capacité du groupe à adapter ses opérations à chaque cible. « Les membres de ce groupe maîtrisent parfaitement l’analyse des processus techniques et opérationnels permettant d’effectuer des transferts autorisés. Ils sont ainsi capables de concevoir des attaques sur mesure, adaptées à chaque victime ».
Une course contre la montre pour geler les fonds
Les accès en poche, les attaquants ont enchaîné les transferts massifs. Selon Chainalysis, environ 6,4 milliards de dollars ont quitté les portefeuilles de la plateforme sur plusieurs blockchains. L’essentiel des opérations s’est déroulé dans une fenêtre de temps particulièrement courte.
La difficulté, pour les attaquants, était ensuite d’écouler leur butin. Une partie des cryptomonnaies, notamment les stablecoins USDT et USDC, peut être gelée à la demande de leurs émetteurs. Les cybercriminels cherchaient donc à les convertir rapidement en actifs moins facilement immobilisables.
Chainalysis a observé le transfert de 325 millions de dollars en stablecoins vers un portefeuille intermédiaire. En près de vingt minutes, l’attaquant a ainsi échangé ces fonds contre 285 millions de dollars en Ethereum. Soit une perte d’environ 40 millions, prix probable de sa précipitation. Mais la riposte des acteurs du secteur a été plus rapide qu’escompté. Les premiers gels ont commencé dès 17h14 (heure de la côte Est américaine), moins d’une heure après le début de l’attaque.
Les leçons à en tirer
Au total, environ 2,8 milliards de dollars avaient été gelés au moment de la publication des premières conclusions de Chainalysis. Les enquêteurs de la société, les forces de l’ordre, les émetteurs de stablecoins et différents acteurs de l’écosystème ont coordonné leurs efforts pour identifier et immobiliser les fonds.
Reste que la rapidité des gels ne doit pas faire illusion. Plus de la moitié du butin a quand même échappé aux filets. Et la leçon dépasse largement l’univers des cryptomonnaies. Car le scénario décrit par les experts n’a rien d’exotique. Un poste d’ingénieur piégé, des droits trop larges, une confiance accordée par défaut à tout ce qui vient de l’intérieur… Bien des DSI y reconnaîtront leur propre système d’information. D’où l’urgence de se repencher sur cette fameuse hygiène du SI et la surveillance des comptes à privilèges. Binance affirme pouvoir absorber la perte sur ses propres réserves ; peu d’entreprises pourraient en dire autant.
Photo : Vadim Art sur Unsplash
À LIRE AUSSI :
À LIRE AUSSI :
