En bref : le piratage de Binance, qui s’est soldé par une perte de 6,3 milliards de dollars, pourrait avoir commencé par la compromission de l’ordinateur portable d’un ingénieur DevOps. Binance a depuis indiqué que son enquête avait mis au jour d’autres points de faille, sans toutefois préciser comment l’ordinateur portable avait été compromis. Selon Teng, le pirate aurait utilisé une fonctionnalité connue d’Ethereum, l’EIP-7702, pour obtenir l’autorisation d’accéder à un portefeuille « chaud » (hot wallet), contournant ainsi les contrôles d’autorisation habituels de Binance. Nous constatons quotidiennement des attaques visant les appareils des développeurs : la semaine dernière encore, Aikido a bloqué près de 500 attaques de logiciels malveillants. Voici comment un seul ordinateur portable compromis peut mener à un service permettant de transférer de l’argent.
Comment le piratage de Binance s'est-il produit ? Ce que l'on sait pour l'instant
Binance estime l'impact total à environ 6,3 milliards de dollars et indique que l'incident pourrait avoir pour origine l'ordinateur portable d'un ingénieur DevOps qui aurait été piraté. Binance précise que cet accès a permis à un pirate d'accéder à un conteneur de service et d'effectuer des opérations de retrait non autorisées. À ce jour, environ 3 milliards de dollars ont été gelés sur la blockchain, et Binance affirme qu'elle prendra en charge l'intégralité des pertes.
Le co-PDG Richard Teng a indiqué sur X que le pirate ne s'était pas contenté d'utiliser les droits d'accès d'un seul ingénieur et que l'attaque n'avait pas été le fruit d'un simple clic. À ce jour, Binance n'a trouvé aucune preuve d'une fuite de clés privées de portefeuilles.
Dans un nouveau communiqué sur l'enquête, Binance a indiqué que des investigations plus approfondies avaient permis de mettre au jour d'autres points de faille, au-delà de l'ordinateur portable. Ce communiqué ne fournissait toutefois aucun détail sur ces autres points. Binance s'est engagée à publier une analyse technique rétrospective une fois tous les faits vérifiés, et nous mettrons à jour cet article dès que celle-ci sera disponible.
M. Teng a depuis déclaré que l'attaquant avait utilisé une fonctionnalité connue d'Ethereum, l'EIP-7702, pour obtenir une autorisation sur la chaîne afin d'intervenir sur un portefeuille « chaud », et que cette délégation n'avait pas été soumise aux contrôles d'autorisation habituels de Binance.
TRM Labs et Chainalysis ont attribué cet incident à TraderTraitor, un groupe de pirates informatiques nord-coréens. Binance n'a pas confirmé cette attribution.
Les communiqués officiels ne précisent pas comment l'attaquant a pu accéder à l'ordinateur portable au départ. Ce qui suit décrit le déroulement habituel de ce type d'attaques.
Ce que l'on voit sur les ordinateurs portables des développeurs
La semaine dernière encore, Aikido a bloqué près de 500 attaques de logiciels malveillants sur les appareils des développeurs, soit environ 70 par jour.
Les groupes liés à la Corée du Nord sont connus pour cibler directement les développeurs, souvent par le biais d’un faux entretien d’embauche comprenant un test de programmation à réaliser chez soi, au cours duquel l’exécution du projet lance le code de l’attaquant. Une autre méthode courante consiste à utiliser du code qui s’exécute dès son installation ou son ouverture. Un paquet malveillant peut contenir un script d’installation, qui s’exécute automatiquement lors de l’installation du paquet, ainsi qu’une extension d’éditeur malveillante qui s’exécute au sein même des outils du développeur. En mai, une extension VS Code malveillante présente sur l’appareil d’un développeur a permis à un attaquant de compromettre les dépôts internes de GitHub.
En mars 2025, notre système de détection de logiciels malveillants a signalé un paquet npm, react-html2pdf.js, qui se faisait passer pour une bibliothèque très répandue. En moins de deux heures, les attaquants ont publié quatre versions et ont débogué leur propre code en public, sans jamais corriger une importation manquante pour la bibliothèque HTTP sur laquelle reposait leur charge utile ; le paquet ne pouvait donc pas s’exécuter tel qu’il avait été publié. Il n’utilisait pas de script d’installation et était conçu pour récupérer sa charge utile depuis un serveur distant lors de l’exécution du code. Une fois décodée, la charge utile était conçue pour extraire les portefeuilles cryptographiques et les données du navigateur de la machine, puis télécharger davantage de code à exécuter. Des empreintes identifiées dans le code et son infrastructure nous ont amenés à l’attribuer au groupe nord-coréen Lazarus, comme nous l’avons expliqué dans l’article « Espionner les hackers nord-coréens ».
PolinRider, une campagne que les chercheurs associent à la Corée du Nord et que l'on voit régulièrement, dissimule du code délibérément brouillé dans des fichiers de configuration de projet ordinaires. Elle peut s'exécuter lorsqu'un développeur ouvre un projet dans VS Code. Elle utilise ensuite les droits d'accès de ce développeur pour réécrire l'historique des commits et écraser la copie partagée de chaque dépôt vers lequel il peut effectuer un push.
Ce qu'un ordinateur portable de développeur offre à un pirate informatique
Un ordinateur portable de développeur contient les identifiants de connexion pour chaque système dont son propriétaire assure la maintenance. En général, cela comprend les identifiants d'cloud , les clés SSH, les identifiants Git et les configurations Kubernetes, qui sont souvent stockés sur le disque dur, où tout processus s'exécutant sous ce compte utilisateur peut y accéder.
Il contient également les jetons de session actifs provenant des outils auxquels le développeur est déjà connecté. Un jeton de session peut rester valide même après une réinitialisation du mot de passe et permet de contourner l'authentification multifactorielle (MFA), car la connexion qui la rendait nécessaire a déjà eu lieu.
Un pirate disposant de ces informations peut se faire passer pour l'ingénieur. Ses actions apparaissent dans les journaux sous le nom de l'ingénieur, ce qui donne l'impression qu'il s'agit d'une activité professionnelle normale.
Comment un ordinateur portable piraté peut entraîner le détournement de fonds
Voici à quoi pourrait ressembler un scénario plausible menant d'un ordinateur portable piraté à un retrait d'argent :
- Un code malveillant s'exécute sur l'ordinateur portable et recueille les identifiants et les jetons de session.
- L'attaquant les utilise, depuis son propre ordinateur ou en passant par l'ordinateur portable lui-même, pour accéder à un système interne auquel l'ingénieur a accès, tel qu'un serveur de compilation ou un compte cloud .
- De là, ils passent à des systèmes ayant une portée plus large, en recueillant davantage d'identifiants à chaque étape.
- Ils font appel à un service de confiance pour effectuer leurs retraits et y faire passer leurs transactions.
D'autres systèmes piratés auraient également pu être accessibles depuis l'extérieur, sans qu'aucun ordinateur portable n'ait été utilisé.
Cela expliquerait également pourquoi aucune clé n’a eu besoin d’être volée. L’EIP-7702 permet à un portefeuille ordinaire de déléguer ses actions à un autre code, et la mise en place de ce processus nécessite une signature provenant de la clé du portefeuille. Cela semble indiquer que la signature provenait du système de signature interne de Binance lui-même, et que les clés sont donc restées à leur place. Le PDG de Blockaid est parvenu à une conclusion préliminaire similaire : une infrastructure de signature compromise.
Le vol subi par Bybit en 2025 s'est déroulé selon un schéma similaire, sur une période d'environ deux semaines et demie. Selon les conclusions préliminaires de Safe, rapportées par heise, l'ordinateur portable d'un développeur a été compromis le 4 février ; les pirates ont utilisé un jeton de session AWS volé pour accéder à l'cloud de l'entreprise, puis, le 17 février, ils ont injecté un code malveillant qui a permis le vol le 21 février. Le rapport d'expertise de Bybit, résumé par Cointelegraph, indique que les signataires ont été amenés par ruse à approuver une transaction malveillante.
Comment protéger les appareils des développeurs
Commencez par l'appareil. Aikido Device Protection est un agent léger installé sur l'ordinateur du développeur. Il bloque les paquets malveillants, les extensions d'éditeur et les outils d'IA avant leur installation et, par défaut, bloque tout paquet ou extension publié au cours des dernières 48 heures. Il signale également tout élément déjà présent sur l'ordinateur qui s'avérerait par la suite malveillant.
L'appareil n'est que le premier maillon de la chaîne ; les autres niveaux doivent donc eux aussi tenir le coup :
- Évitez de stocker des identifiants à longue durée de validité sur les disques des développeurs et attribuez-leur des identifiants à courte durée de validité, expirant en quelques heures.
- Exiger une validation externe au service pour les opérations de grande valeur, y compris les modifications apportées aux fonctionnalités autorisées d'un portefeuille, afin qu'un service compromis ne puisse pas valider ses propres transactions.
- Alerte concernant les identifiants et les sessions utilisés depuis des lieux ou à des moments où l'ingénieur ne travaille jamais.
- Intégrer les appareils des sous-traitants et les appareils personnels utilisés à des fins professionnelles dans la gestion de l'entreprise, afin que les mêmes contrôles s'appliquent à tous les ordinateurs portables.
Foire aux questions sur le piratage de Binance
Le piratage de Binance a-t-il été causé par l'ordinateur portable d'un employé ?
Les premières conclusions de Binance indiquaient que l'ordinateur portable d'un ingénieur DevOps avait été piraté. Une mise à jour ultérieure a précisé que des investigations plus approfondies avaient mis au jour d'autres points de violation, ce qui signifiait que l'ordinateur portable n'était pas le seul élément en cause.
Les clés privées de Binance ont-elles été volées ?
Selon Teng, l'attaquant a utilisé l'EIP-7702, une fonctionnalité connue d'Ethereum, pour obtenir l'autorisation d'accéder à un portefeuille « chaud » sans passer par les contrôles d'autorisation habituels de Binance.
Comment un seul ordinateur portable peut-il entraîner des pertes se chiffrant en milliards ?
Les identifiants et les sessions sur l'ordinateur portable permettent d'accéder aux systèmes internes, et à partir de là, un pirate peut enchaîner les étapes jusqu'à un service habilité à effectuer des retraits. La section ci-dessus décrit cette chaîne d'attaques.
Qui est à l'origine du piratage de Binance ?
Les analystes de TRM Labs et de Chainalysis désignent TraderTraitor, une unité de piratage nord-coréenne. Binance n'a pas confirmé cette information.
