假招聘面試與遭植入惡意程式的 Homebrew 安裝程式，揭示 Binance 63.4 億美元失竊案經過
Un faux entretien et un Homebrew piégé : voici les dessous du vol de 6,3 milliards de dollars chez Binance
Binance於2026年11月3日發布首份報告，交代10月29日價值63.4億美元數碼資產失竊案的攻擊準備與執行經過。報告指，攻擊者透過假招聘接觸員工，利用遭植入惡意程式的 Homebrew 安裝程式及另一名工程師下載的惡意程式入侵員工電腦，之後憑被竊資料及內部簽署服務發起交易。
報告串連假招聘、惡意下載與員工電腦遭入侵的攻擊鏈，呈現攻擊者如何由初始接觸推進至內部簽署服務。
Binance a publié le 3 novembre 2026 son premier rapport sur le piratage du 29 octobre. Il retrace la préparation de l’attaque, qui a notamment reposé sur un faux entretien d’embauche.
Ingénieur A, ingénieur B et ingénieur C. Voici les trois principaux protagonistes du billet de blog publié par Binance le 3 novembre 2026.
Dans ce rapport, la plateforme d’échange revient sur le piratage au cours duquel l’équivalent de 6,34 milliards de dollars d’actifs numériques lui a été dérobé.
Selon l’entreprise, ce vol est le résultat d’une campagne lancée dès le mois de juin, mêlant faux entretiens de recrutement, téléchargements malveillants et compromission d’ordinateurs d’employés.
Ce contenu est bloqué car vous n’avez pas accepté les cookies et autres traceurs. Ce contenu est fourni par Twitter.
Pour pouvoir le visualiser, vous devez accepter l’usage étant opéré par Twitter avec vos données qui pourront être utilisées pour les finalités suivantes : vous permettre de visualiser et de partager des contenus avec des médias sociaux, favoriser le développement et l’amélioration des produits d’Humanoid et de ses partenaires, vous afficher des publicités personnalisées par rapport à votre profil et activité, vous définir un profil publicitaire personnalisé, mesurer la performance des publicités et du contenu de ce site et mesurer l’audience de ce site (en savoir plus)
En cliquant sur « J’accepte tout », vous consentez aux finalités susmentionnées pour l’ensemble des cookies et autres traceurs déposés par Humanoid et .
Vous gardez la possibilité de retirer votre consentement à tout moment. Pour plus d’informations, nous vous invitons à prendre connaissance de notre Politique cookies.
L’entretien d’embauche a donné aux attaquants leur point d’entrée vers Binance
L’ingénieur A apparaît le premier dans la chronologie. En juin, ce spécialiste de l’infrastructure des portefeuilles aurait cherché en ligne un outil de programmation par IA et téléchargé une version piégée de l’installateur de logiciels Homebrew. Si Binance souligne que son équipe de sécurité a repéré l’anomalie, remplacé son appareil et renouvelé ses identifiants, cette compromission initiale aurait permis au pirate d’identifier le rôle de la victime, mais aussi celui de ses collègues.
Et votre vie numérique devient sereine
Bitdefender Premium Security est une solution de cybersécurité européenne qui vous protège automatiquement contre les pirates et toutes les menaces du web. Profitez de vos activités en ligne en toute tranquillité
Trois mois plus tard, l’ingénieur B, développeur logiciel, a été contacté à son tour sur une plateforme de recherche d’emploi par un individu se présentant comme directeur de projet. Un prétendu représentant des ressources humaines l’a reçu en visio et a cherché à gagner sa confiance.
Un second entretien a suivi, avec le supposé PDG de l’entreprise fictive, qui a demandé à l’ingénieur B de télécharger un « exercice » sur son ordinateur professionnel. Le code contenait un logiciel malveillant qui s’est exécuté pendant l’installation, cette fois sans être détecté par les outils de sécurité de Binance.
Selon le rapport, c’est cet ordinateur qui a permis aux attaquants d’atteindre l’équipe portefeuilles. Le 20 octobre, les hackers s’en sont ainsi servis, avec un outil d’IA interne à Binance, pour prendre le contrôle des machines de l’ingénieur A, de nouveau visé malgré le remplacement de son appareil, et de l’ingénieur C, qui travaillait lui aussi sur les portefeuilles. Sur le poste de A, ils ont trouvé un jeton permettant de déployer des environnements logiciels prêts à l’emploi.
L’assaut final a été lancé le 29 octobre. Les hackers se sont alors connectés à l’ordinateur de C, puis ont utilisé les identifiants volés à A pour déployer l’un de ces environnements et lancer un script malveillant. Ils ont ensuite détourné le service interne de signature pour émettre des transactions en dehors du processus normal de retrait.
À partir de 20h05 UTC, plusieurs cryptomonnaies, dont 18 270 bitcoins, ont été envoyées vers des adresses contrôlées par les attaquants. Le dernier transfert a été finalisé à 23h56 UTC.
Un rapport incomplet
Plusieurs questions restent ouvertes. Binance présente ce document comme un rapport initial et explique que certains détails techniques resteront confidentiels. Le rapport ne précise pas quel était l’outil d’IA interne, ni comment il a permis aux attaquants de passer de l’ordinateur d’un ingénieur à celui d’un autre.
Quelques jours avant la publication du rapport, le FBI avait attribué le vol à TraderTraitor, un groupe nord-coréen lié à Lazarus et connu pour se faire passer pour des employeurs afin de piéger des ingénieurs.
Binance rappelle par ailleurs que 2,85 milliards de dollars ont depuis été gelés ou interceptés et affirme qu’elle assumera seule la perte.
Toute l'actu tech en un clin d'œil
Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !
來源：Numerama · numerama.com