Compilé par : Big Pliers
Le 3 novembre, Binance a publié un rapport d'enquête préliminaire sur l'incident de sécurité du 29 octobre, divulguant le processus complet de l'attaque et le chemin d'infiltration des attaquants. Le rapport montre que les attaquants ont progressivement pris le contrôle des appareils de plusieurs employés au moyen de faux entretiens de recrutement, de logiciels malveillants et d'outils d'IA internes compromis, obtenant finalement les autorisations de signature de portefeuille, et ont utilisé le mécanisme d'autorisation EIP-7702 pour contourner le processus de retrait normal et transférer des actifs.
L'incident a impliqué un total d'actifs d'environ 6,34 milliards de dollars américains. À la date de publication du rapport, environ 2,85 milliards de dollars américains d'actifs avaient été gelés ou interceptés, et 98 % des actifs en jetons concernés avaient été reconstitués. Binance a déclaré que les pertes concernées seront supportées par la plateforme, et qu'elle a commencé à reconstruire les systèmes concernés, à renforcer les protections de sécurité et à engager un tiers indépendant pour mener un examen plus approfondi. Le rapport a également noté que les dernières informations du Federal Bureau of Investigation montrent que la Corée du Nord est responsable de cet incident.
Voici le texte intégral :
Le 29 octobre 2026, Binance a subi un incident de sécurité grave et très complexe. Cet incident n'aurait pas dû se produire, et nous présentons nos excuses les plus sincères pour l'inquiétude, la perturbation des activités et l'incertitude qu'il a causées aux utilisateurs, aux partenaires et à l'ensemble de l'industrie.
La protection des utilisateurs est toujours notre responsabilité première. Les pertes financières causées par les fonds volés dans cet incident seront supportées par Binance et ne seront pas répercutées sur les utilisateurs. Nous avons réservé plus de 100 % du montant des pertes pour couvrir celles-ci. Au 31 octobre 2026, 98 % des actifs en jetons concernés avaient été reconstitués, et les utilisateurs peuvent le vérifier via la page Proof of Reserves. Pour la partie des actifs moins liquides qui n'a pas encore été reconstituée, nous sommes en cours d'approvisionnement.
Le montant total des actifs numériques impliqués dans cet incident était d'environ 6,34 milliards de dollars américains. À la date de publication de ce rapport, environ 2,85 milliards de dollars américains d'actifs numériques avaient été gelés ou interceptés ; le montant précis doit encore être vérifié et pourrait être affecté par les fluctuations des prix du marché.
Nous avons immédiatement pris des mesures pour contenir l'impact de l'incident et renforcer la sécurité des systèmes concernés. Tous les points d'entrée d'intrusion confirmés exploités par les attaquants ont été fermés, et les systèmes impliqués dans le chemin de l'attaque ont également été reconstruits ou remplacés. En outre, nous avons davantage renforcé les mesures de contrôle des appareils, renforcé les contrôles des risques pour les services de portefeuille et élargi les capacités de détection des comportements anormaux basées sur l'IA.
Ce rapport est un rapport d'enquête préliminaire couvrant la situation que nous comprenons actuellement et les améliorations de sécurité déjà réalisées. L'enquête est toujours en cours, et les conclusions pertinentes feront également l'objet d'un examen indépendant plus approfondi. Pour empêcher les attaquants malveillants d'utiliser les informations pertinentes pour planifier des attaques, certains détails techniques resteront confidentiels. Nous engageons une société de sécurité indépendante pour mener un examen plus approfondi.
Les dernières informations publiées par le Federal Bureau of Investigation (FBI) montrent que la République populaire démocratique de Corée (RPDC) est responsable de cet incident.
Nous avons choisi de publier ce rapport préliminaire car ce n'est que lorsque toute l'industrie tire ensemble les leçons que les niveaux de sécurité peuvent continuer à s'améliorer.
Ce qui s'est passé le 29 octobre
L'attaque s'est déroulée rapidement sur plusieurs réseaux.
Les attaquants ont utilisé un accès non autorisé au service interne de signature de portefeuille pour initier des transactions en dehors du processus de retrait normal.
Entre 20h05 et 20h09 UTC, cinq des portefeuilles chauds de Binance ont transféré 233,46 millions de XRP vers des adresses contrôlées par les attaquants.
Par la suite, les portefeuilles chauds de Binance déployés sur les réseaux Solana et Optimism ont transféré respectivement environ 970 500 SOL et 44,2 millions d'OP vers des adresses contrôlées par les attaquants.
Après cela, Binance a reçu une alerte interne concernant un transfert d'actifs important et a immédiatement lancé une enquête.
L'un des portefeuilles chauds de Binance a ensuite transféré 18 270 BTC vers une adresse contrôlée par les attaquants.
Ensuite, les attaquants ont utilisé le service de signature pour abuser davantage du mécanisme d'autorisation EIP-7702 d'Ethereum.
EIP-7702 permet à un compte de déléguer une autorité d'exécution partielle à un contrat intelligent sans exposer la clé privée. Dans cet incident, les attaquants ont utilisé ce mécanisme pour accorder à un contrat intelligent qu'ils contrôlaient une autorité d'exécution partielle sur l'un des portefeuilles chauds de Binance.
Binance a immédiatement lancé plusieurs mesures d'urgence, notamment la suspension des retraits pour limiter les sorties de fonds supplémentaires, la coordination avec des partenaires pour geler les jetons concernés et la prise de mesures pour révoquer les autorisations non autorisées. Grâce à ces actions, un total de 2,85 milliards de dollars d'actifs ont été gelés.
Cependant, la seule suspension des retraits ne suffisait pas à arrêter tous les transferts d'actifs non autorisés. L'autorisation malveillante EIP-7702 existait déjà sur la chaîne et fonctionnait indépendamment de l'infrastructure de retrait normale de Binance.
Les attaquants ont soumis un total de 50 transactions signées, établissant des autorisations de délégation malveillantes en manipulant le nonce du compte (numéro de séquence de transaction). Une fois ces autorisations établies, les attaquants ont pu contourner l'infrastructure de retrait normale de Binance et continuer à transférer des actifs. Binance a dû initier des transactions supplémentaires pour révoquer ces autorisations sur la chaîne.
L'ensemble du processus de contrôle des actifs a également été confronté à d'autres complexités techniques. Étant donné que les portefeuilles chauds concernés utilisaient la technologie de calcul multipartite (MPC), il n'existait pas de clé privée unique pouvant être directement utilisée pour révoquer immédiatement l'autorisation malveillante EIP-7702. À cette fin, l'équipe a dû développer et exécuter spécialement un processus de révocation spécial, ce qui a également nécessité un temps supplémentaire.
En outre, la suspension des retraits et l'arrêt des services de portefeuille chaud n'invalident pas automatiquement les autorisations existantes sur la chaîne.
Ces défis ont prolongé le temps nécessaire pour contrôler pleinement les transferts d'actifs non autorisés. Nous examinons le processus de réponse d'urgence, la couverture de la politique de signature et les mesures de contrôle des portefeuilles chauds pour cet incident, et recherchons des opportunités d'améliorer davantage la vitesse de réponse aux menaces futures.
Le dernier transfert non autorisé était de 2 961,9 ETH, qui a finalement été confirmé sur la chaîne à 23h56 UTC. Cette transaction avait déjà été diffusée et se trouvait dans un état en attente avant d'être finalement confirmée. Aucun autre transfert non autorisé n'a été observé depuis lors.
À 00h10 UTC le 30 octobre 2026, Binance a exécuté une nouvelle transaction d'autorisation vers l'adresse zéro via le portefeuille chaud Binance14, effaçant le code de délégation EIP-7702.
Processus de préparation de l'attaque
L'enquête actuelle montre que cet incident était une opération d'attaque complexe à plusieurs étapes, et non un événement d'intrusion isolé unique, ni une simple attaque d'hameçonnage.
Les attaquants ont utilisé une combinaison de multiples moyens techniques, notamment des attaques d'ingénierie sociale via de faux entretiens de recrutement, l'incitation au téléchargement de logiciels malveillants, l'utilisation d'outils d'IA internes compromis, la compromission des appareils terminaux des employés et l'emploi de techniques avancées d'autorisation de transaction.
Juin 2026 — Attaque de la chaîne d'approvisionnement. L'ingénieur A de l'équipe DevOps du portefeuille a recherché un outil de programmation d'IA populaire sur un moteur de recherche, a téléchargé un package d'installation Homebrew falsifié et a tenté d'installer l'outil concerné via ce package. L'équipe de sécurité de Binance a détecté l'anomalie, a remplacé proactivement l'appareil et a renouvelé toutes les informations d'identification associées. Cependant, les informations sur le rôle de l'ingénieur A et les informations sur les collègues concernés de l'équipe d'infrastructure du portefeuille avaient déjà été exposées aux attaquants.
Tout au long de 2026 — Cyberattaques continues. Depuis 2026, l'équipe de sécurité de Binance a détecté et bloqué 57 incidents de cybermenaces suspectés liés à la Corée du Nord. Ces attaques reflètent que les attaquants soutenus par l'État continuent de cibler l'industrie des cryptomonnaies. Les méthodes d'attaque concernées comprennent de faux entretiens de recrutement, des logiciels malveillants déguisés en outils de développement populaires, des packages logiciels et extensions de navigateur falsifiés, de fausses applications de vidéoconférence et des attaques d'ingénierie sociale conçues pour voler des informations d'identification ou déployer des logiciels malveillants d'accès à distance.
Septembre — Attaque d'ingénierie sociale. L'ingénieur logiciel B a reçu les coordonnées, via une plateforme d'emploi légitime, d'une personne se présentant comme directeur de projet. Le profil de l'ingénieur B sur la plateforme mentionnait son expérience de travail chez Binance. L'autre partie a organisé une première série d'entretiens animés par un représentant des ressources humaines, suivie d'une deuxième série d'entretiens impliquant une personne se présentant comme le PDG d'une entreprise fictive.
Lors de la première série d'entretiens, la personne se présentant comme représentante des RH a mené un entretien vidéo en temps réel avec l'ingénieur logiciel B. Pour établir la confiance, l'intervieweur a également partagé ses comptes de réseaux sociaux avec l'ingénieur B, y compris des photos et vidéos personnelles publiées par l'intervieweur sur la plateforme. Cette tactique était plus sophistiquée et trompeuse que les méthodes d'attaque d'ingénierie sociale observées précédemment.
Le deuxième tour d'entretiens a été mené via une application de messagerie sociale populaire. Vers la fin de l'entretien, il a été demandé à l'ingénieur B de télécharger un fichier appelé « assignment » sur l'ordinateur de travail, qui contenait un dépôt de code malveillant. Le code malveillant du dépôt s'est exécuté automatiquement lors de l'installation, déclenchant une série d'opérations non autorisées.
Le logiciel malveillant utilisait des techniques sophistiquées d'obfuscation de code et d'évasion de détection, notamment le remplacement d'un composant légitime d'outil de développement par une version malveillante afin d'exécuter des commandes et d'établir une communication avec des serveurs externes contrôlés par les attaquants. À l'époque, les outils de protection de sécurité des points de terminaison n'ont pas réussi à détecter ce logiciel malveillant zero-day (0-day). Les attaquants ont également pris des mesures pour masquer l'activité malveillante et effacer les traces pertinentes, augmentant encore la difficulté de détection et d'enquête ultérieure.
Le script a échappé à la détection de sécurité grâce à des techniques d'obfuscation de code et a spécifiquement effectué les opérations suivantes :
20 octobre — Utilisation des outils d'IA internes comme tremplin d'attaque. L'attaquant a utilisé l'ordinateur compromis de l'ingénieur B pour prendre davantage le contrôle des appareils de l'ingénieur DevOps Wallet A et d'un autre ingénieur logiciel Wallet C via les outils d'IA internes de Binance. L'attaquant a rapidement découvert que l'ordinateur de l'ingénieur DevOps Wallet A contenait un jeton disposant de privilèges de déploiement de conteneurs.
29 octobre — Pénétration des opérations de signature du portefeuille. Entre 17h15 et 19h56 le 29 octobre, l'attaquant s'est connecté à l'ordinateur de l'ingénieur logiciel C, a utilisé les identifiants volés à l'ingénieur DevOps Wallet A pour déployer un conteneur et a déclenché un script malveillant, lançant finalement cette attaque.
Mesures prises
Au 3 novembre 2026, nous avons pris les mesures suivantes :
Reconstruction du système de portefeuille affecté dans un environnement entièrement nouveau.
Reconstruction des outils d'IA internes affectés et de leurs systèmes de contrôle d'accès.
Remplacement des appareils affectés.
Révocation des identifiants et des jetons associés aux ingénieurs affectés.
Achèvement des analyses de sécurité renforcées de tous les appareils des employés.
Renforcement des capacités de détection des anomalies comportementales basées sur l'IA.
Renforcement des mesures de contrôle des risques pour les services de portefeuille.
Collaboration avec les forces de l'ordre, les sociétés de renseignement blockchain et les partenaires du secteur pour suivre et geler les actifs affectés.
À mesure que l'enquête se poursuit, nous continuerons à renforcer les mesures de sécurité pertinentes. Certaines des mesures de sécurité que nous avons mises en œuvre et que nous mettons en œuvre resteront confidentielles afin d'empêcher les attaquants malveillants d'utiliser les informations pertinentes pour compromettre nos systèmes de protection de sécurité.
Actions de suivi
Nous faisons immédiatement avancer les travaux suivants :
- Mener un examen indépendant de la cybersécurité
Nous faisons appel à des experts indépendants en cybersécurité tiers pour mener un examen complet de cet incident, vérifier les conclusions de l'enquête existante et proposer des recommandations d'amélioration de la sécurité supplémentaires. La portée de l'examen et les résultats finaux fourniront la base de nos travaux de remédiation ultérieurs.
- Augmenter les investissements dans la sécurité de l'IA et la défense proactive
Nous augmenterons les investissements dans des domaines tels que la détection des menaces pilotée par l'IA, la protection des points de terminaison, la sécurité de l'environnement de développement et la surveillance des anomalies comportementales.
- Établir un fonds de recherche sur la sécurité et promouvoir la collaboration sectorielle
Nous collaborons avec des entreprises d'IA de premier plan, des acteurs du secteur et des sociétés de sécurité, et prévoyons d'établir un fonds de recherche sur la sécurité et de mener des projets de recherche spécialisés et de collaboration sectorielle autour de la sécurité de l'IA dans les environnements blockchain.
À mesure que l'enquête progresse, nous continuerons à divulguer proactivement les informations pertinentes au public.
