Les détails préliminaires de l'enquête interne de Binance sur la massive cyberattaque, qui a entraîné une perte de 6,3 milliards de dollars (5,65 milliards d'euros), indiquent que les auteurs ont planifié l'opération sur plusieurs mois. La chronologie fournie par la plateforme d'échange montre que l'intrusion a pris origine en juin lorsqu'un ingénieur de l'équipe d'infrastructure des portefeuilles a téléchargé une installation manipulée alors qu'il recherchait un outil de programmation IA. Bien que l'équipe de sécurité ait détecté cette anomalie, remplacé l'appareil et fait tourner les identifiants, l'attaquant avait déjà obtenu une visibilité sur les rôles de l'ingénieur ciblé et de ses collègues.

La campagne s'est intensifiée en septembre lorsqu'un second ingénieur a été contacté sur une plateforme officielle de recherche d'emploi par un individu se faisant passer pour un directeur de projet. Cet effort d'ingénierie sociale comprenait deux entretiens : une visioconférence avec un faux responsable des ressources humaines et une session de chat avec un prétendu PDG d'une entreprise fictive. À la conclusion de l'entretien final, l'ingénieur a été invité à télécharger une « tâche » sur son ordinateur de travail, ce qui a exécuté du code malveillant lors de l'installation.

Ce logiciel malveillant de type zero-day a remplacé un composant légitime d'un outil de développement par une version malveillante capable d'exécuter des commandes et de se connecter à un serveur contrôlé par l'attaquant tout en effaçant ses propres traces. Les outils de protection standard sur les appareils n'ont pas détecté l'intrusion. Le 20 octobre, l'attaquant a utilisé la machine compromise et un outil IA interne pour prendre le contrôle de l'ordinateur d'un ingénieur DevOps et du système d'un autre ingénieur logiciel, parvenant finalement à localiser un jeton disposant des permissions de déploiement de conteneurs.

L'attaque réelle a eu lieu le 29 octobre entre 17h15 et 19h56. Pendant cette fenêtre, l'intrus a accédé à l'ordinateil du second ingénieur en utilisant des identifiants volés, a déployé un conteneur et activé un script malveillant pour cibler les opérations de signature de portefeuille. Binance a déclaré avoir depuis reconstruit le système de portefeuille affecté et l'outil IA, remplacé les appareils, révoqué tous les identifiants et jetons compromis et renforcé son analyse de sécurité, sa détection d'anomalies et ses contrôles de risque.

La plateforme a également signalé avoir détecté et contré 57 tentatives de cyberattaque présumées liées à la Corée du Nord tout au long de l'année 2026. Bien que Binance ait mis en œuvre des contre-mesures étendues, l'entreprise a noté qu'elle garderait certaines actions spécifiques confidentielles afin d'éviter d'aider d'éventuels futurs attaquants. L'enquête sur l'incident reste ouverte.

Sources: elDiario.es.