Des attaquants ont dérobé 6,3 milliards de dollars à Binance après être passés de l'ordinateur portable compromis d'un employé à des systèmes capables d'autoriser des retraits de cryptomonnaies, Dark Reading a rapporté le 2 novembre. La bourse affirme avoir reconstitué environ 95 % des actifs touchés avec ses propres fonds, tandis que le parcours d'attaque décrit soulève des questions pour les organisations dont les systèmes internes de confiance peuvent approuver des transactions à forte valeur.
Le vol a eu lieu la semaine précédente, selon le rapport. Se fondant sur les communications de Binance, Dark Reading décrit une attaque qui a atteint un portefeuille chaud, c'est-à-dire un portefeuille relié à des systèmes en ligne, et vidé des milliards de dollars en une vingtaine de minutes. Le journal indique également que le FBI a attribué l'attaque au groupe nord-coréen TraderTraitor.
Pour les dépositaires de cryptomonnaies, la question immédiate est de savoir si un appareil d'employé compromis peut devenir une voie d'accès aux fonds. La même interrogation vaut pour les entreprises dont les services internes peuvent libérer des paiements, accéder à des bases de données clients ou autoriser des déploiements logiciels, ont indiqué à Dark Reading des spécialistes de la sécurité.
De l'ordinateur d'un développeur à l'autorité de retrait
Les premières conclusions de Binance désignent un ordinateur portable d'employé comme point de départ. L'enquête ultérieure a révélé d'autres points de compromission, qui ont étendu l'incident au-delà de cet appareil.
Les attaquants ont utilisé l'ordinateur compromis du développeur pour accéder à un conteneur de service interne, c'est-à-dire un environnement exécutant un logiciel autorisé à lancer des demandes de retrait. Depuis ce conteneur, ils ont exploité d'autres points de compromission ainsi qu'un mécanisme de délégation de compte Ethereum, qui permet d'attribuer à un tiers l'autorité sur un compte, afin d'obtenir le pouvoir d'approuver les transactions sur un portefeuille chaud.
Les attaquants semblent avoir contourné les contrôles d'approbation habituels de Binance. La société affirme n'avoir trouvé aucune preuve que des clés privées de portefeuille ayant fuité aient été utilisées dans le vol. Ces clés privées autorisent les transferts de cryptomonnaies, mais les protéger ne suffit pas à sécuriser tous les systèmes autorisés à en demander l'utilisation.
Waseem Ahmed, responsable de l'ingénierie chez Secure.com, a déclaré à Dark Reading que les informations disponibles laissent penser que les attaquants ont utilisé le système de signature de Binance pour signer les transferts. Cela expliquerait comment un transfert non autorisé a pu porter une signature cryptographique valide : le processus de signature a pu fonctionner correctement, alors que la décision d'approuver la transaction était erronée.
La séquence précise des approbations non autorisées et les garde-fous en place restent flous, car l'enquête de Binance se poursuit. Après l'attaque, la bourse a gelé environ 3 milliards de dollars. Sa déclaration distincte selon laquelle elle a reconstitué environ 95 % des actifs touchés désigne un remplacement par des fonds de l'entreprise, et non une récupération des cryptomonnaies volées.
Contrôles indépendants autour des actifs de valeur
Tim Rawlins, conseiller senior et directeur de la sécurité chez NCC Group, a déclaré que les plateformes qui détiennent des actifs numériques ont besoin de couches de sécurité indépendantes, afin que la compromission d'un seul composant ne puisse pas autoriser un transfert. Il recommande de répartir les fonds entre portefeuilles chauds et portefeuilles froids, qui conservent les clés hors ligne, afin de limiter ce qu'une seule compromission peut exposer.
Rawlins recommande également des postes de travail dédiés aux accès privilégiés pour les développeurs et les administrateurs qui effectuent des opérations critiques, séparés des appareils utilisés pour la messagerie et la navigation web. La surveillance continue devrait aider à repérer les terminaux compromis et les activités inhabituelles avant que les attaquants n'exploitent des accès privilégiés.
L'examen doit porter sur les composants et les rôles privilégiés dont la compromission pourrait donner à quelqu'un le contrôle des fonds, a-t-il précisé, y compris les systèmes qui demandent et approuvent l'utilisation des clés. La modélisation des menaces, qui consiste à cartographier les moyens plausibles qu'un attaquant pourrait utiliser pour atteindre un actif de valeur, et le test de l'ensemble du processus de transaction font partie de ce travail.
John Bruggeman, directeur de la sécurité des systèmes d'information virtuel chez CBTS, une société de services informatiques, a déclaré que les grandes bourses doivent examiner ce que les identités et les systèmes de confiance sont autorisés à faire, en complément des défenses périmétriques et de l'authentification. Ses recommandations incluent la gestion des clés privées, l'authentification multifactorielle pour l'utilisation des clés, des limites de montant pour les transferts, des alertes pour les transferts importants, la détection des menaces sur le terminal de chaque employé et l'analyse du comportement des utilisateurs.
Il réclame aussi des limites de fréquence pour les retraits, des contrôles protégeant les portefeuilles et la garde des cryptomonnaies, ainsi qu'une séparation des tâches : un même utilisateur ne doit pas pouvoir à la fois initier et finaliser un transfert.
Ahmed recommande une validation humaine avant toute action qui déplace de l'argent ou des données, avec des limites appliquées collectivement à l'ensemble des systèmes. Les équipes de sécurité devraient tester le parcours complet, depuis l'ordinateur portable d'un employé jusqu'au versement, a-t-il déclaré. Par exemple, remplacer le service de retrait par un système de paiement d'entreprise pose une question similaire : un appareil compromis peut-il atteindre un service de confiance habilité à libérer de l'argent ?
Un schéma plus large de vols de cryptomonnaies
Dark Reading décrit le vol chez Binance comme la plus grande intrusion dans une bourse de cryptomonnaies en valeur. Les bourses sont confrontées à de nombreuses menaces que connaissent aussi les banques, mais le rapport note qu'elles n'ont pas fait l'objet du même niveau de contrôle en matière de risque opérationnel et de sécurité.
Des incidents antérieurs illustrent plusieurs voies d'accès aux fonds : Bybit a perdu environ 1,5 milliard de dollars en février 2025 après que des attaquants ont manipulé le processus d'approbation d'un portefeuille froid Ethereum ; Binance a perdu 7 000 bitcoins en mai 2019 après que des attaquants ont obtenu des clés API d'utilisateurs et des codes d'authentification à deux facteurs ; et des attaquants ont compromis un script tiers sur le site de Polymarket en octobre 2026 pour déplacer des fonds depuis certains portefeuilles d'utilisateurs.
Dark Reading rapporte que des acteurs nord-coréens ont représenté 76 % des sommes que les traders ont signalées comme volées jusqu'à présent en 2026, et au moins un tiers des vols de cryptomonnaies signalés au cours de six des neuf dernières années.
Robert Coles, responsable senior du renseignement sur les menaces chez Black Duck, estime que les organisations devraient évaluer les dégâts qu'un attaquant peut causer après avoir obtenu un premier accès. Pour les équipes de sécurité qui examinent l'attaque contre Binance, la tâche concrète consiste à identifier les systèmes critiques et les comptes privilégiés, puis à tester quels contrôles indépendants pourraient empêcher un appareil compromis de les atteindre et d'exécuter une action à fort impact.
