Binance a décrit le vol de 6,43 milliards de dollars d’actifs comme le résultat d’une campagne en plusieurs étapes mêlant ingénierie sociale, logiciels malveillants et outils internes compromis. L’entreprise a indiqué que les attaquants avaient ciblé deux ingénieurs et avaient finalement accédé à un service interne de signature de portefeuilles pour lancer des transactions en dehors de la procédure normale de retrait.

La première étape a commencé en juin 2026, lorsqu’un ingénieur de l’équipe Wallet DevOps de Binance a téléchargé un installateur Homebrew altéré, alors qu’il recherchait un outil d’IA populaire. Binance a déclaré avoir détecté l’incident et renouvelé les identifiants concernés, mais que des informations sur le rôle de l’ingénieur et sur ses collègues de l’équipe chargée de l’infrastructure des portefeuilles avaient été exposées.

En septembre, les attaquants ont approché un deuxième ingénieur par l’intermédiaire d’une plateforme de recherche d’emploi, en se faisant passer pour un directeur de projet. L’ingénieur a été invité à deux entretiens : l’un avec une personne présentée comme un représentant des ressources humaines et l’autre avec quelqu’un qui prétendait être le PDG d’une entreprise dont Binance a affirmé qu’elle n’existait pas. À la fin du deuxième entretien, l’ingénieur a été prié de télécharger sur son ordinateur professionnel un exercice contenant un dépôt de code malveillant.

Le code du dépôt s’est exécuté pendant l’installation. Binance a déclaré que le logiciel malveillant avait utilisé des techniques d’obfuscation et d’évasion, notamment en remplaçant un composant légitime d’un outil de développement par une version piégée afin d’exécuter des commandes et de se connecter à un serveur contrôlé par les attaquants. Ceux-ci ont également supprimé des éléments de preuve médico-légaux liés à la compromission.

Le 20 octobre, les attaquants ont utilisé l’ordinateur compromis et détourné un outil interne d’IA pour prendre le contrôle du premier ingénieur et d’un autre ingénieur logiciel chargé des portefeuilles. Binance a indiqué qu’ils avaient trouvé un jeton d’autorisation de déploiement de conteneurs sur l’ordinateur du premier ingénieur. Le 29 octobre, ils se sont connectés à l’ordinateur du troisième ingénieur à l’aide d’identifiants volés, ont déployé un conteneur et exécuté un script malveillant.

Binance a déclaré avoir reconstruit le système de portefeuilles concerné dans un nouvel environnement et recréé son outil interne d’IA ainsi que ses contrôles d’accès. L’entreprise a également remplacé les appareils concernés, révoqué les identifiants et jetons associés, analysé les appareils des employés, renforcé les contrôles des risques du service de portefeuilles et étendu la détection des anomalies comportementales fondée sur l’IA. Elle a indiqué travailler avec les forces de l’ordre, des entreprises spécialisées dans le renseignement sur les blockchains et des partenaires du secteur afin de tracer et de geler les actifs concernés.

Binance a ajouté avoir fermé les points d’entrée identifiés et reconstruit ou remplacé les systèmes impliqués dans l’attaque. L’entreprise a également déclaré avoir déjoué 57 cyberattaques présumées liées à la Corée du Nord depuis le début de l’année, et a décrit les faux entretiens d’embauche, les outils de développement malveillants et l’ingénierie sociale visant à dérober des identifiants comme des techniques utilisées dans des attaques ciblant le secteur des cryptomonnaies.

Sources: The Hacker News.