Le 29 octobre 2026, des pirates ont dérobé environ 6,34 milliards de dollars dans les portefeuilles de trading connectés à Internet (« hot wallets ») de Binance en moins de quatre heures. Le FBI attribue ce vol à TraderTraitor, une cellule de hackers nord-coréenne. Selon les informations communiquées par Binance le 3 novembre, environ 2,85 milliards de dollars ont été gelés.
Ce mécanisme de détournement de fonds est propre au secteur des cryptomonnaies, et la plupart des responsables de la sécurité en entreprise n’y seront jamais confrontés. Mais les mois de préparation qui ont permis sa mise en œuvre lui ont donné l’apparence d’une intrusion classique dans une entreprise : ingénierie sociale, poste de travail d’un développeur compromis, identifiants volés et déplacement latéral (passage d’un système à l’autre) au-delà des frontières entre équipes, sans qu’aucune équipe de sécurité n’ait pu avoir une vue d’ensemble de la chaîne d’événements.
C'est un faux entretien d'embauche qui a permis de mettre un premier pied dans le milieu
La campagne a débuté au plus tard en juin 2026, avec le téléchargement d'un logiciel altéré sur l'ordinateur d'un ingénieur DevOps de l'équipe Wallet. Binance l'a détecté, a remplacé l'appareil et a renouvelé les identifiants. La réponse a été appropriée. Elle était toutefois incomplète : le pirate avait déjà cartographié l'équipe chargée de l'infrastructure des portefeuilles.
En septembre, un autre ingénieur en informatique a été contacté via une plateforme d’emploi légitime. Il a ensuite passé deux tours d’entretien, dont un appel vidéo en direct au cours duquel le recruteur a partagé des photos personnelles afin d’instaurer un climat de confiance. Vers la fin du deuxième tour, l’ingénieur a reçu pour consigne de télécharger un « exercice » de programmation. Le dépôt de code avait remplacé un outil de développement légitime par un fichier binaire malveillant. Binance confirme que celui-ci « n’avait pas été détecté par les outils de protection de sécurité d’ endpoint à ce moment-là ».
Tout semblait normal :
- Un développeur a téléchargé un exercice de programmation issu d'un entretien d'embauche.
- Le fichier binaire se trouvait à l'emplacement où se trouvait auparavant l'outil légitime.
- Le logiciel de sécurité installé sur l'ordinateur de l'ingénieur ne disposait d'aucun élément de comparaison.
L'outil d'IA servait de trait d'union entre les équipes
C'est ce détail qui fait d'un vol de cryptomonnaies un sujet d'actualité économique.
Le 20 octobre, neuf jours avant le vol, le pirate a utilisé l'ordinateur compromis de l'ingénieur et un outil d'IA interne pour entrer en contact avec deux autres ingénieurs de l'équipe chargée du portefeuille. La déclaration de Binance confirme que le pirate « a exploité l'ordinateur compromis de l'ingénieur B et a utilisé un outil d'IA interne pour prendre le contrôle » des ingénieurs A et C. L'outil n'est pas nommé.
Cet outil d'IA était un service partagé qui reliait des personnes issues de différents postes. L'attaquant était déjà authentifié en tant qu'ingénieur dont le compte avait été piraté ; son interaction avec l'outil semblait donc tout à fait normale. L'outil lui-même n'a pas fait l'objet d'une exploitation. Il fonctionnait exactement comme prévu : il reliait les personnes, partageait le contexte et facilitait la collaboration. C'est précisément ce qui en a fait une passerelle entre les équipes.
C'est par ce biais que le pirate a mis la main sur un jeton d'autorisation permettant de déployer des conteneurs sur la machine d'un ingénieur. Le 29 octobre, il s'en est servi pour déployer un conteneur malveillant qui a réussi à accéder au service interne de signature des portefeuilles de Binance. À partir de là, le pirate a lancé des transactions non autorisées en utilisant des identifiants valides via le processus normal de signature.
Trois maillons manquants dans une chaîne
La faille de sécurité de Binance est inhabituelle, car les trois lacunes en matière de détection apparaissent toutes dans le même incident :
- Faille n° 1, tout semble normal : le fichier binaire malveillant a remplacé un outil légitime, l'zero-day e a contourné le logiciel de sécurité et l'attaquant a effacé toute trace de l'intrusion.
- Faille n° 2, authentification réussie : le service de signature a traité les requêtes de l'attaquant car celles-ci sont arrivées par la voie normale avec des identifiants valides.
- Lacune n° 3, le parcours n'est pas visible : l'attaquant est passé du poste de travail d'un ingénieur logiciel à un outil d'IA interne, puis aux identifiants Wallet DevOps, à l'ordinateur d'un autre ingénieur, à une plateforme de conteneurs, et enfin au service de signature. Cinq étapes franchissant quatre frontières fonctionnelles. Chacune d'entre elles est apparue dans un journal différent.
Les outils d'IA internes constituent des limites de confiance que personne ne surveille
La plupart des organisations qui adoptent des outils d'IA en interne se concentrent sur les fuites de données et sur le risque que des pirates manipulent les données d'entrée de l'outil. Ce sont là des risques réels. Mais la faille de Binance en révèle un troisième : l'outil lui-même devient un pont entre les équipes, et une identité compromise d'un côté peut passer de l'autre sans déclencher d'alerte de périmètre, car il n'y a pas de périmètre.
Le service de signature a fonctionné. Le logiciel de sécurité a fonctionné jusqu’à ce qu’il soit confronté à une « zero-day », ce qui est le propre des vulnérabilités « zero-day ». La rotation des identifiants en juin était la bonne décision. Chaque mesure de contrôle a rempli son rôle de manière isolée. La faille résidait dans la chaîne qui les reliait, et dans l’outil d’IA situé au cœur de cette chaîne, traité comme une application plutôt que comme une frontière de confiance.
Le système de détection ne présente pas de dysfonctionnement. Il est simplement incomplet.
Pour une présentation détaillée des interactions entre ces trois lacunes en matière de détection, y compris une cartographie de la couverture pour la télémétrie relative à l'identité, au réseau et à l'cloud , consultez les chapitres 3 à 5 du livre blancintitulé « Mind Your Gaps in the Age of AI-Powered Attacks ».