Comment les attaquants sont-ils entrés chez Binance ?
Tout commence en septembre 2026. Un ingénieur de la plateforme reçoit une invitation à un entretien d'embauche, envoyée via une plateforme de recrutement légitime. Les attaquants passent ensuite plusieurs semaines à installer une relation de confiance. Après deux séries d'entretiens avec une société fictive, l'employé est invité à télécharger un exercice technique. Le fichier contient du code malveillant. C'est ce téléchargement qui donne aux assaillants leur premier accès. De là, ils déploient un logiciel malveillant puis exploitent l'accès à un outil d'intelligence artificielle interne pour s'enfoncer dans les systèmes de l'échange. Chainalysis, société d'analyse de chaînes de blocs, chiffre le vol à 6,4 milliards de dollars et l'attribue à des acteurs nord-coréens, ce qui en fait le plus important détournement de cryptomonnaies jamais recensé. Le récit de l'intrusion repose sur les conclusions initiales publiées par la plus grande plateforme d'échange de cryptomonnaies elle-même, relayées par Chainalysis. Aucun audit indépendant de ces constats n'est mentionné à ce stade.
Qu'est-ce qu'un « entretien contagieux » ?
Alec Zebrick, responsable des services globaux chez Chainalysis, emploie l'expression « contagious interviews » pour décrire ce mode opératoire. Les opérateurs nord-coréens visent en priorité des salariés dotés d'accès privilégiés, puis se servent de leurs identifiants et de leurs permissions pour pénétrer les systèmes internes de leur employeur. Le poste de la victime compte autant que la victime elle-même. La fraude à l'emploi prend d'autres formes dans l'arsenal de Pyongyang. Dans certains cas, les attaquants ne sont pas les recruteurs mais les candidats : ils se font embaucher sous une fausse identité pour générer des revenus, infecter les systèmes de l'entreprise, ou les deux.
Combien ces campagnes ont-elles déjà rapporté ?
Chainalysis attribue plus de 14,3 millions de dollars de pertes sur les dix-huit derniers mois à des opérations de faux entretiens et de logiciels malveillants liées à la Corée du Nord. Les cibles touchées par ces campagnes antérieures couvrent un spectre large :
- des détenteurs individuels et des portefeuilles privés,
- des entreprises et des protocoles,
- des organisations autonomes décentralisées (DAO).
« Nous avons identifié des dizaines d'autres compromissions par entretien d'embauche qui ont conduit à des compromissions de portefeuilles » au niveau individuel, indique Tom McLouth, analyste principal du renseignement chez Chainalysis. Les montants perdus allaient de quelques dizaines de milliers à plusieurs millions de dollars. Selon lui, ces attaques successives ont surtout servi à « perfectionner et faire évoluer » la méthode sur des cibles modestes. « C'est comme ça qu'on finit par réussir le plus gros casse de l'histoire », résume-t-il.
Comment les clés privées sortent-elles des machines infectées ?
Chainalysis dit avoir observé plusieurs cas où des clés privées ont été volées depuis un espace de stockage en ligne après un entretien piégé. Certaines victimes affirment que leurs phrases de récupération n'avaient jamais été téléchargées sur l'appareil infecté, ce qui suggère un accès dépassant les fichiers locaux, par des identifiants cloud ou des sessions de navigateur compromises. Le constat recoupe les publications de Microsoft, selon lesquelles les logiciels malveillants nord-coréens cherchent activement les phrases de récupération et les traces laissées par les gestionnaires de mots de passe. Une phrase de récupération stockée dans un service en ligne reste donc accessible à qui obtient les identifiants du compte, sans qu'une intrusion sur la machine soit nécessaire. Les règles de base pour protéger un portefeuille crypto partent de ce principe, de même que la vigilance sur les scripts injectés dans un navigateur, qui exploitent le même angle mort.
Pourquoi les pirates stockent-ils leurs instructions sur des blockchains ?
Chainalysis mesure une multiplication par cinq en un an des cyberattaques qui s'appuient sur des chaînes publiques, une technique qu'elle nomme Blockchain Dead Drops. Les acteurs nord-coréens y ont recours depuis le début de 2025 sous le nom d'« Etherhiding » pour maintenir le lien entre les ordinateurs infectés lors des faux entretiens et leur infrastructure de commande et de contrôle. Une transaction ne peut pas être saisie par les autorités, contrairement à un hébergeur centralisé. Un montage repéré par Chainalysis répartit la redondance sur deux réseaux : des pointeurs déposés sur TRON et sur Aptos renvoient vers une transaction sur BSC, où se trouve la charge utile. Si la machine infectée n'obtient rien de TRON, elle interroge Aptos. Plus récemment, les mêmes acteurs ont employé la technique dite du « null receiver », qui consiste à dissimuler l'instruction dans une adresse fabriquée que personne ne contrôle et qui n'est pas destinée à détenir des fonds.
