Sécurité : comment des pirates ont volé 6,3 milliards à Binance avec un faux entretien d'embauche ?

6,3 milliards de dollars. Le plus gros vol de l'histoire des cryptos. Et tout a commencé par un ingénieur qui cherchait un outil d'IA pour l'aider à coder. Mardi 3 novembre, Binance a publié son premier rapport sur le casse du 29 octobre, et franchement, on dirait le scénario d'un film. Sauf que le méchant n'a jamais forcé une seule porte. On les lui a ouvertes, une par une, pendant cinq mois. Et derrière, d'après le FBI, il y a la Corée du Nord.

En septembre, un ingénieur de Binance a passé un entretien pour une entreprise qui n'existait pas

Il y a quatre jours, au lendemain du casse, on ne savait presque rien. Le rapport donne les dates, les victimes et les outils.

Juin : un outil d'IA piégé, trouvé sur un moteur de recherche

Premier acte, en juin. Un ingénieur de l'équipe qui gère les portefeuilles de Binance, les coffres où dorment les cryptos des clients, cherche un outil de programmation à base d'IA. Il passe par un moteur de recherche, clique sur ce qui ressemble au bon résultat (une publicité, selon NBC), et installe une copie trafiquée de Homebrew. Ce piège-là n'est même pas nouveau : dès le 1er mai, le centre d'alerte de l'institut SANS, une référence en sécurité informatique, décrivait une fausse pub pour Homebrew qui menait tout droit à un voleur de mots de passe. Homebrew, c'est l'outil que presque tous les développeurs sur Mac utilisent pour installer leurs logiciels, un peu leur App Store en ligne de commande. La vraie version est gratuite, propre et très connue. Celle-là contenait un cadeau.

Le premier lien n'est pas toujours le bon, surtout quand c'est une publicité

Bonne nouvelle quand même : la sécurité de Binance a repéré l'anomalie. L'ordinateur a été remplacé, les mots de passe changés. Mais le pirate avait eu le temps de noter une chose précieuse : qui travaille dans cette équipe, et sur quoi.

Septembre : le faux entretien d'embauche

Deuxième acte, en septembre. Cette fois, ce n'est pas Binance qui recrute, c'est l'inverse : un de ses propres ingénieurs cherche un nouveau travail, DANS UNE AUTRE ENTREPRISE. Il a un profil sur une plateforme d'offres d'emploi tout ce qu'il y a de plus sérieuse, avec son passage chez Binance bien en vue. Un « directeur de projet », censé bosser pour cette autre entreprise, le contacte. Premier entretien en visio avec une personne des ressources humaines, qui lui montre son compte sur un réseau social, avec ses photos et ses vidéos perso, histoire qu'il se sente en confiance. Deuxième entretien dans une appli de messagerie, avec le patron de la société… qui n'existe pas. Binance l'écrit elle-même : elle n'avait jamais vu un piège aussi soigné. Puis vient l'étape classique dans notre métier, quand on postule ailleurs : le petit test technique à faire chez soi, pour prouver qu'on sait coder. Sauf que cette entreprise n'existe pas et que le projet qu'on lui envoie à télécharger est piégé. Il le récupère, le lance sur son ordinateur, celui que Binance lui a fourni pour travailler, et voilà. Le code de l'exercice contenait un logiciel espion.

Et pas un logiciel espion de bas étage ! Pendant l'installation, il remplace en douce pyenv, un petit utilitaire que les développeurs Python utilisent tous les jours pour passer d'une version de Python à l'autre, par une copie piégée qui porte le même nom et fait 70 octets de plus, à peine une ligne de texte. Cette copie discute en cachette avec un serveur des pirates. L'antivirus de l'entreprise n'a rien vu, parce que le programme était tout neuf et qu'aucun antivirus ne le connaissait encore. Et le pirate a effacé ses traces en partant. Le genre de cambrioleur qui passe la serpillière avant de refermer la porte.

Alors là, je dois avouer que c'est malin. Le test technique, tous les développeurs y sont passés. On te demande de télécharger un projet et de le faire tourner, tu le fais sans réfléchir sur la machine que tu as sous la main, parce que tu veux décrocher ce nouveau poste. C'est exactement pour ça que ça marche.

Le « devoir à la maison » contenait de quoi prendre la main sur l'ordinateur de travail

Octobre : l'IA interne sert de passe-partout

Troisième acte, le 20 octobre. Depuis l'ordinateur infecté, le pirate utilise un outil d'IA interne de Binance pour prendre le contrôle des machines de deux autres ingénieurs. Le rapport ne détaille pas comment, mais l'idée est simple : un assistant IA d'entreprise a souvent accès à beaucoup de choses, pour pouvoir aider tout le monde. Celui qui le contrôle hérite de ses clés. Et devine à qui appartient l'une de ces deux machines ? À l'ingénieur de juin, encore lui. Le pirate savait exactement qui viser. Sur son ordinateur, il trouve le droit de déployer un « conteneur », c'est-à-dire de lancer un petit programme directement sur les serveurs de l'entreprise, là où se signent les retraits.

Dernier acte, le 29 octobre. Entre 18h15 et 20h56, heure belge, le pirate s'installe sur l'ordinateur du troisième ingénieur, se sert du droit volé le 20 octobre, déploie son conteneur et lance un script. Ce script parle directement au service qui signe les transactions des portefeuilles, sans passer par le circuit normal des retraits. 6,3 milliards de dollars sortent. Comme le résume Richard Teng, codirigeant de Binance : « Ce n'était pas une erreur ou une intrusion, c'était une campagne de plusieurs mois. »

Quatre étapes sur cinq mois, de l'ordinateur d'un ingénieur jusqu'au coffre

Pourquoi fermer les retraits n'a pas suffi ?

Le rapport raconte la soirée presque minute par minute, et c'est là que j'ai vraiment écarquillé les yeux. À 21h05, cinq portefeuilles de Binance envoient 233 millions de XRP au pirate. À 21h09, c'est plié. Ces portefeuilles-là sont les portefeuilles « chauds », ceux qui restent branchés sur Internet pour payer les retraits de tous les jours, un peu comme la caisse d'un magasin à côté du coffre. Suivent environ 970 500 SOL et 44 millions d'OP, deux autres cryptos. L'alarme interne de Binance se déclenche à ce moment-là, et les équipes commencent à chercher. Mais 18 270 bitcoins partent encore. Pour te donner une idée, c'est un peu moins d'un bitcoin sur mille de tous ceux qui existeront jamais.

Binance suspend les retraits, appelle ses partenaires pour geler ce qui peut l'être. Et pourtant, l'argent continue de sortir. Le dernier virement, 2 961,9 ETH, n'est confirmé qu'à 0h56. Presque quatre heures entre le premier et le dernier !

Pourquoi ? Parce que le pirate avait laissé une procuration derrière lui. Sur Ethereum, une règle récente baptisée EIP-7702 permet à un portefeuille de confier une partie de ses pouvoirs à un petit programme automatique, sans lui donner sa clé. C'est pratique au quotidien, par exemple pour régler plusieurs opérations d'un coup. Le pirate s'en est servi pour donner à SON programme le droit de vider un portefeuille de Binance. Il lui a fallu 50 signatures de préparation, et après, son robot se servait tout seul.

C'est exactement comme si tu faisais couper ta carte bancaire, mais que le voleur avait déjà mis en place un prélèvement automatique sur ton compte : la carte est morte, le prélèvement passe quand même. Fermer les retraits, c'était couper la carte. La procuration, elle, était inscrite dans la blockchain, ce grand registre public où s'écrit chaque transaction, et elle se moquait complètement des guichets de Binance.

La carte est coupée, les prélèvements tombent quand même : c'est ce qui s'est passé chez Binance cette nuit-là

Et pour annuler cette procuration, il fallait signer avec le portefeuille lui-même. Sauf que chez Binance, il n'existe pas UNE clé : elle est découpée en plusieurs morceaux, gardés par plusieurs machines qui doivent se mettre d'accord pour signer (les spécialistes appellent ça le MPC, le calcul à plusieurs). D'habitude, c'est une super protection, puisque voler une seule machine ne suffit pas. Cette nuit-là, c'est devenu un frein. Imagine un coffre qui ne s'ouvre qu'avec trois clés tournées en même temps, alors que le voleur est déjà dans la pièce. Les équipes ont dû inventer une procédure en urgence, et la procuration n'est annulée qu'à 1h10 du matin.

Franchement, c'est le passage du rapport que je préfère. Binance aurait pu écrire « on a coupé les retraits » et passer à autre chose. Elle explique pourquoi ça ne suffisait pas, ce qui l'a ralentie, et qu'elle revoit son plan d'urgence. Toutes les plateformes qui utilisent les mêmes outils viennent de recevoir une leçon gratuite. Enfin, gratuite pour elles !

Qui est derrière ? La Corée du Nord, d'après le FBI

Le 31 octobre, deux jours après le casse, le FBI a désigné le coupable : la Corée du Nord, et plus précisément un groupe de pirates que les Américains appellent TraderTraitor. Leur spécialité, ce sont justement les fausses offres d'emploi et les faux outils de développeur. Le FBI a publié plus de 600 adresses où dort l'argent volé, et demande à toutes les plateformes de bloquer ce qui en sort.

Mais le chiffre qui m'a le plus scotché est dans le rapport de Binance. Depuis le début de l'année, son équipe de sécurité a repéré et bloqué 57 tentatives liées à la Corée du Nord. Plus d'une par semaine ! Faux entretiens, faux outils, fausses applis de visio, extensions de navigateur piégées. Elle en a arrêté 57. Il a suffi d'une seule qui passe.

Ce qui sauve les meubles

Le plus important pour les clients, d'abord. C'est Binance qui encaisse la perte, pas ses utilisateurs, et elle dit avoir mis de côté plus que la totalité de la somme. Au 31 octobre, 98 % des cryptos touchées étaient déjà remises en place, et ça se vérifie sur sa page de preuve de réserves, où la plateforme publie de quoi contrôler qu'elle détient bien les avoirs de ses clients. Le reste, ce sont des cryptos plus rares, qu'elle est en train de racheter. Environ 2,85 milliards ont été gelés ou interceptés en route, et selon The Block, les retraits rouvrent progressivement depuis le 3 novembre.

Et je trouve que le rapport lui-même est une bonne nouvelle. Cinq jours après le casse, Binance publie qui s'est fait avoir, comment, et dans quel ordre. Un grand nombre d'entreprises se seraient contentées d'un « incident de sécurité sophistiqué ». Là, n'importe quelle boîte peut lire le scénario et vérifier si elle a les mêmes trous. Binance a reconstruit tout le système des portefeuilles dans un environnement neuf, reconstruit son outil d'IA interne et les droits de chacun, remplacé les ordinateurs touchés, passé au scanner ceux de tous ses employés, et fait venir des experts indépendants pour vérifier son enquête. Elle prépare aussi un fonds de recherche sur la sécurité de l'IA dans les cryptos, avec de grandes entreprises de l'IA. Certains détails restent secrets, et je trouve ça normal : un rapport trop complet servirait de mode d'emploi au prochain.

Ce que ça m'apprend, à moi qui code tous les jours

Ce scénario me parle directement. J'ai trois sessions de Claude Code ouvertes en permanence, et des agents IA qui tournent sur mon serveur avec pas mal de droits. Et il y a trois jours, je racontais déjà comment une fausse extension Claude Code avait piégé des milliers de développeurs. Le même schéma revient : les pirates ne visent plus les coffres, ils visent les gens qui ont les clés, et leurs outils.

Et ne crois pas que ça ne concerne que les ingénieurs de Binance. Le même piège existe en version grand public : la fausse pub qui arrive en premier quand tu cherches « télécharger VLC » ou « ChatGPT gratuit », la fausse offre d'emploi sur WhatsApp qui te demande d'installer une appli « pour le test », le faux service client qui veut prendre la main sur ton PC. Trois réflexes, que tu sois développeur ou pas :

• un logiciel s'installe depuis son site officiel ou depuis l'App Store, jamais depuis une pub en haut des résultats de recherche. Sur Google, les liens sponsorisés portent la mention « Sponsorisé » : saute-les ;
• un exercice de recrutement ne se lance jamais sur ton ordinateur de travail. Une machine à part, ou au minimum un environnement isolé, une sorte de bac à sable dont rien ne sort. Et un vrai recruteur ne te demandera jamais d'installer un programme pour un entretien ;
• un assistant IA n'a que les droits dont il a besoin pour la tâche du jour. S'il peut tout faire, celui qui le contrôle peut tout faire aussi.

Et si tu reçois demain un message LinkedIn qui te propose un poste en or, avec un patron très sympa en visio et un petit projet à télécharger « juste pour voir » : félicitations, tu as peut-être été repéré. Mais pas forcément par un recruteur !

Sources

• The Block, 3 novembre 2026 : le rapport d'incident de Binance, étape par étape
• NBC News, 3 novembre 2026 : le faux entretien d'embauche avant le vol de 6,3 milliards
• The National, 3 novembre 2026 : faux entretiens et outil d'IA interne
• Binance, 3 novembre 2026 : premier rapport sur l'incident du 29 octobre (en anglais)
• FBI, 31 octobre 2026 : la Corée du Nord responsable du vol chez Binance
• BleepingComputer : le FBI relie le vol de 6,3 milliards aux pirates nord-coréens
• SANS Internet Storm Center, 1er mai 2026 : une fausse publicité pour Homebrew

Article écrit avec l'aide de Claude Code, relu et corrigé par moi.