Analyse éditoriale · Sources primaires

Binance retrace la compromission du service de signature et une faille de confinement sur chaîne

Les premières conclusions publiées par Binance le 3 novembre relient le vol du 29 octobre à des postes de développement compromis, à des outils d’IA internes et à un service de signature de portefeuilles. L’entreprise dit avoir reconstitué 98 % des cryptoactifs touchés au 31 octobre ; le FBI attribue séparément l’opération à TraderTraitor.

Incident: 2026-10-29 · Divulgation: 2026-10-30
Mise à jour: 2026-11-04T07:35:00.000Z · Confiance: high

Incident, divulgation et mise à jour

L’incident s’est produit le 29 octobre 2026 et Binance l’a divulgué le 30 octobre.[1] Ses premières conclusions, publiées le 3 novembre, décrivent une campagne commencée par l’installation altérée d’un outil de développement en juin, puis par un exercice de recrutement malveillant en septembre. Binance affirme que les attaquants ont ensuite utilisé des postes compromis, des outils d’IA internes et un jeton de déploiement pour atteindre les opérations de signature.[3] Il s’agit d’une mise à jour importante du précédent rapport de reprise, et non d’un nouvel incident.

Chemin transactionnel et confinement

Selon Binance, l’accès non autorisé à un service interne de signature a contourné le processus normal de retrait. L’attaquant a établi des autorisations de délégation Ethereum EIP-7702 ; suspendre les retraits n’a donc pas révoqué les droits déjà inscrits sur chaîne. Comme le portefeuille chaud utilisait le calcul multipartite, aucune clé privée unique ne permettait de les supprimer immédiatement. Binance indique que le dernier transfert non autorisé a été finalisé à 23 h 56 UTC et que la délégation a été effacée à 00 h 10 UTC le 30 octobre.[3]

Reprise, attribution et incertitude

Binance évalue les actifs touchés à environ 6,34 milliards de dollars et affirme qu’environ 2,85 milliards avaient été gelés ou interceptés, sous réserve de rapprochement et de volatilité. Elle dit que 98 % des cryptoactifs touchés avaient été reconstitués au 31 octobre, les actifs illiquides restants étant encore achetés.[3] Le FBI attribue séparément le vol à l’activité nord-coréenne TraderTraitor et indique que les actifs étaient surtout convertis en Ether avant d’autres étapes de blanchiment.[4] Cette attribution est l’évaluation du FBI ; l’examen indépendant de Binance reste attendu.

Priorités du RSSI

Pour les organisations exploitant des services de signature, de paiement ou de déploiement, le risque métier englobe postes de développement, assistants d’IA, jetons CI/CD et autorisation des transactions dans une même chaîne de confiance. Vérifiez que l’arrêt d’urgence révoque aussi les autorités externes et sur chaîne. Inventoriez les identifiants déployables sur les postes, imposez des jetons courts et limités ainsi qu’une approbation indépendante des changements de politique de signature, puis testez la reprise face aux transactions en attente et aux permissions déléguées.

Sources

Francisco Javier Jurado Alonso