Piratage de Binance : tout a commencé par un faux entretien d'embauche sur un ordinateur de travail, 6,34 milliards de dollars et 6 règles pour les postes de votre entreprise

Si vos collaborateurs cherchent un emploi ou testent de nouveaux logiciels sur leur ordinateur de travail, c'est exactement le chemin qu'a emprunté le plus grand vol de l'histoire des cryptomonnaies. Le 3 novembre 2026, Binance a publié ses premières conclusions : l'attaque qui a touché environ 6,34 milliards de dollars le 29 octobre a commencé par deux faux entretiens d'embauche pour un ingénieur, conclus par un test de code qu'il a téléchargé sur son ordinateur portable professionnel. La leçon pour votre entreprise : aucun fichier de recruteur externe sur les postes de travail, aucun logiciel hors d'une liste approuvée, et aucun droit plus large que ce que le poste exige. Le 31 octobre, nous avons expliqué qui peut déplacer l'argent de votre entreprise sans votre signature ; cet article porte sur la porte par laquelle l'attaquant est entré.

Que s'est-il passé, étape par étape ?

Selon le compte rendu de l'enquête préliminaire publié par Binance, l'attaque s'est déroulée en quatre temps :

• Juin 2026 : un ingénieur de l'équipe des portefeuilles, qui cherchait un outil de programmation à base d'IA, a téléchargé un installateur Homebrew modifié contenant un logiciel malveillant. L'équipe de sécurité l'a détecté, a remplacé l'appareil et renouvelé ses identifiants, mais des informations sur lui et ses collègues avaient déjà fuité.
• Septembre 2026 : une personne se présentant comme directeur de projet a contacté un deuxième ingénieur via une plateforme d'emploi et mené deux entretiens : une visioconférence avec une prétendue responsable RH, puis un échange avec un soi-disant PDG d'une entreprise fictive. Lors du second entretien, on lui a demandé de télécharger un exercice de code sur son ordinateur de travail ; le code malveillant s'est exécuté pendant l'installation sans être détecté par les outils de protection.
• 20 octobre 2026 : l'attaquant a utilisé l'ordinateur compromis et un outil d'IA interne de Binance pour prendre le contrôle des machines de deux autres ingénieurs.
• 29 octobre 2026 : entre 17h15 et 19h56 UTC, l'attaquant a accédé à l'ordinateur du troisième ingénieur avec des identifiants volés au premier, a déployé un conteneur et lancé un script malveillant ; les transferts depuis les portefeuilles chauds ont suivi entre 20h05 et 20h09.

Binance indique qu'environ 2,85 milliards de dollars ont été gelés ou interceptés, qu'elle avait reconstitué 98 % des actifs touchés au 31 octobre, et qu'elle a détecté et bloqué 57 menaces soupçonnées d'être liées à la Corée du Nord en 2026. Autrement dit, la plateforme a repoussé des dizaines de tentatives, puis a cédé face à une seule.

Pourquoi le faux entretien a-t-il fonctionné ?

Parce qu'il ne ressemble en rien à un e-mail d'hameçonnage. L'employé n'a pas cliqué sur un lien suspect d'un expéditeur inconnu ; il est entré dans un processus de recrutement crédible : une plateforme connue, un entretien vidéo, une responsable RH qui a partagé du contenu de son compte personnel pour gagner sa confiance, puis un PDG. Télécharger et lancer un projet fait partie des tests habituels des développeurs, la demande n'avait donc rien d'étrange.

La méthode n'est pas nouvelle. TechCrunch rappelle qu'un rapport de CrowdStrike attribuait environ la moitié des intrusions dans les entreprises technologiques américaines l'an dernier à des Nord-Coréens se faisant passer pour des informaticiens à distance ou des recruteurs. La cible n'est pas seulement les plateformes crypto, mais toute personne ayant accès à des systèmes ou à de l'argent.

La deuxième faille : un logiciel téléchargé depuis les résultats de recherche

L'histoire n'a pas commencé avec l'entretien. Trois mois plus tôt, un autre ingénieur avait installé un logiciel modifié en cherchant un outil d'IA. Cela arrive chaque jour dans de nombreuses entreprises : un collaborateur entend parler d'un nouvel outil, le cherche, clique sur le premier résultat et l'installe avec les droits d'administrateur. La leçon la plus importante : Binance a remplacé l'appareil et changé les mots de passe, mais les informations déjà volées sur l'équipe sont restées entre les mains de l'attaquant, qui s'en est servi des mois plus tard.

6 règles pour les postes de vos collaborateurs cette semaine

• Aucun fichier de recrutement externe sur un poste de travail : tout test, projet ou fichier envoyé par un tiers s'ouvre sur une machine séparée, sans accès aux systèmes de l'entreprise. C'est aussi le conseil des experts cités par TechTarget : tenir le code des entretiens à l'écart de toute machine proche de la production.
• Uniquement des logiciels d'une liste approuvée : retirez les droits d'administrateur local aux employés, et faites passer les installations par votre responsable informatique, depuis le site officiel de l'éditeur, jamais depuis une publicité dans les résultats de recherche.
• Le moindre privilège : celui qui peut transférer de l'argent ou modifier des systèmes sensibles le fait depuis un compte et un appareil dédiés, pas depuis la machine sur laquelle il navigue et teste des outils.
• Des droits restreints pour les outils d'IA internes : chez Binance, un outil d'IA interne a servi de pont entre les appareils. Tout outil qui atteint les postes des employés ou vos systèmes doit avoir des droits étroits et un journal de tout ce qu'il fait.
• La détection n'est pas la fin de l'incident : si un appareil est compromis, ne vous contentez pas de le remplacer. Partez du principe que son contenu a fuité, renouvelez tous les mots de passe, clés et jetons liés à lui et à son équipe, et surveillez les comptes des collègues.
• Formez votre équipe à l'hameçonnage par offre d'emploi : une offre séduisante qui demande de télécharger un fichier ou d'exécuter du code est un signal d'alerte, et chercher un emploi depuis un poste de travail expose toute l'entreprise. Si vous recrutez à distance, vérifiez l'identité du candidat avant de lui ouvrir le moindre accès.

Que disent les contrôles essentiels de cybersécurité ?

Les contrôles essentiels de cybersécurité ECC-2:2024 de l'Autorité nationale de cybersécurité saoudienne (NCA) sont obligatoires pour les administrations publiques et pour les entités qui possèdent, exploitent ou hébergent des infrastructures nationales critiques, et la NCA encourage vivement toutes les autres entités à s'en servir. Trois d'entre eux couvrent directement cet incident :

• Contrôle 1-10-3 : le programme de sensibilisation couvre l'usage sûr de la messagerie et l'hameçonnage, la navigation sur Internet et l'utilisation des réseaux sociaux.
• Contrôle 2-2-3-3 : attribution des droits selon le besoin d'en connaître et d'utiliser, le moindre privilège et la séparation des tâches.
• Contrôle 2-3-3-1 : protection des postes de travail et des serveurs contre les virus, les programmes suspects et les logiciels malveillants avec des technologies modernes.

Le regard d'Origami

Nous observons dans les entreprises saoudiennes le même schéma qui a fait tomber Binance : un seul appareil que l'employé utilise pour travailler, naviguer, chercher des opportunités et essayer chaque nouvel outil, avec des droits d'administrateur complets parce que c'est plus simple. Un attaquant n'a besoin d'aucune faille sophistiquée si l'employé exécute lui-même le fichier.

La solution n'est pas d'empêcher les équipes d'apprendre ou de tester des outils d'IA, mais de les laisser le faire dans un environnement qui n'atteint ni l'argent ni les données. Quand nous construisons des systèmes pour nos clients, nous séparons dès le départ les comptes du quotidien des comptes à privilèges, et nous journalisons chaque accès.

Conclusion

Une brèche de 6,34 milliards de dollars n'a pas commencé par une faille de serveur, mais par un entretien d'embauche et une application téléchargée depuis une recherche. Prenez une heure cette semaine avec votre responsable informatique : retirez les droits d'administrateur local, rédigez la liste des logiciels approuvés, séparez les appareils disposant d'accès sensibles, et dites à votre équipe qu'aucun fichier de recruteur ne s'ouvre sur un poste de travail. Pour une revue des droits d'accès de vos systèmes, contactez-nous ou découvrez nos services.