Pub Google piégée : l'origine du piratage de Binance

Le piratage de Binance du 29 octobre 2026 n'a pas commencé par une faille technique, mais par une annonce publicitaire. Dans son rapport publié mardi 3 novembre et détaillé par Silicon.fr, la plateforme d'échange retrace une campagne lancée dès juin, mêlant malvertising, faux recrutement et vol d'identifiants internes. Le préjudice reste chiffré à 6,3 milliards de dollars, le plus important de l'histoire des cryptomonnaies.

Juin : un installateur Homebrew piégé

En juin 2026, un ingénieur de Binance cherche un outil de codage assisté par IA. Il clique sur un lien publicitaire qui le renvoie vers un site l'invitant à copier un script dans son terminal pour installer le gestionnaire de paquets Homebrew.

Une fois exécuté, ce script n'installe pas l'outil attendu : il dépose un logiciel malveillant sur le poste de travail de l'ingénieur, qui donne à l'attaquant un accès à la machine et à son environnement de travail.

Binance détecte l'anomalie, remplace l'appareil et renouvelle les identifiants. Trop tard : l'attaquant a déjà cartographié le rôle de l'ingénieur et identifié ses collègues de l'équipe portefeuilles.

Septembre : le faux directeur de projet

Trois mois plus tard, un second ingénieur est contacté sur un réseau professionnel par un prétendu directeur de projet. Un premier entretien vidéo est mené par un faux responsable RH, qui partage un compte de réseau social garni de photos personnelles pour installer la confiance.

Un deuxième entretien se tient sur une messagerie, avec le supposé PDG d'une société fictive. L'ingénieur télécharge alors un « exercice technique » sur sa machine professionnelle. Le dépôt de code contient un malware qui remplace pyenv, un composant légitime de Homebrew, installe un lien symbolique et ouvre un canal de communication. L'EDR de Binance n'émet aucune alerte.

What's the lesson from Binance's hack report? @farokh and @Tyler_Did_It : never download anything from a search ad, a job interview or a meeting invite. Binance says the $6.3B theft started with a tampered download and a fake job interview.

Voir sur X

Le 20 octobre, un jeton de déploiement volé

Le 20 octobre, cette machine sert à compromettre le poste du premier ingénieur via un outil d'IA interne. L'attaquant y récupère un jeton d'autorisation de déploiement de conteneurs.

Le 29 octobre, ce jeton est utilisé depuis le poste d'un autre ingénieur pour lancer le script d'exfiltration : les fonds détenus dans les portefeuilles de la plateforme sont transférés vers des adresses contrôlées par l'attaquant, pour un total de 6,3 milliards de dollars.

Pour tenir ses positions, l'attaquant a détourné l'EIP-7702 d'Ethereum, qui accorde à un smart contract des droits d'exécution sur un portefeuille sans divulguer la clé privée. Concrètement, ce détournement lui a permis de conserver l'accès aux portefeuilles même après que Binance eut renouvelé ses clés d'accès.

Des techniques banales, des cibles bien plus petites

Le FBI avait déjà attribué le vol au groupe nord-coréen TraderTraitor, un collectif lié à Lazarus connu pour se faire passer pour des recruteurs. Pyongyang a démenti.

Les deux portes d'entrée utilisées contre Binance ne demandent aucun moyen exceptionnel. Selon le Baromètre France Num 2025, 52 % des dirigeants de TPE et PME expriment des inquiétudes sur le piratage de leurs données, et seul un tiers des petites structures est jugé correctement paré par France Num. Une publicité piégée dans un moteur de recherche et un faux processus de recrutement sont à la portée de n'importe quel attaquant : une PME dont un salarié télécharge un outil via un lien sponsorisé, ou exécute un « test technique » envoyé par un prétendu recruteur, s'expose exactement au même scénario d'entrée que Binance.

Ce que ça change pour votre entreprise

Plusieurs mesures concrètes découlent du rapport, toutes vérifiables par un dirigeant :

• Télécharger les logiciels depuis le site officiel de l'éditeur, jamais via un lien sponsorisé ou un résultat publicitaire de moteur de recherche.
• Interdire l'exécution de code reçu lors d'un processus de recrutement sur une machine professionnelle, et isoler les tests techniques sur un poste dédié ou une machine virtuelle jetable.
• Vérifier qu'un recruteur existe réellement, en passant par le site de l'entreprise qu'il prétend représenter, avant tout échange de fichiers.
• Limiter le nombre de personnes disposant de droits de déploiement et faire expirer automatiquement les jetons d'authentification utilisés par les outils techniques.
• Contrôler que la réinstallation d'un poste suspect s'accompagne bien d'un renouvellement de tous les accès associés à son utilisateur.

Ces réflexes visent les deux incidents les plus déclarés par les petites structures : selon le Baromètre France Num 2025, 21 % des TPE et PME déclarent avoir été visées par de l'hameçonnage, devant les logiciels malveillants, cités par 16 % d'entre elles.