📰 Source : Reuters, publié le 3 novembre 2026. Binance a publié un rapport de sécurité détaillant le déroulement d’une attaque multi-étapes ayant abouti au vol record de 6,3 milliards de dollars en cryptomonnaies le 29 octobre 2026.

🎯 Vecteurs d’accès initiaux :

  • Juin 2026 : Un ingénieur de l’équipe wallet télécharge un outil légitime dont une version malveillante avait été placée dans une publicité en ligne (malvertising), apparaissant en tête des résultats de recherche.
  • Septembre 2026 : Un second ingénieur logiciel télécharge un dépôt de code malveillant après avoir participé à un faux entretien d’embauche, incluant une réunion virtuelle avec le PDG d’une entreprise fictive.

⚙️ Déroulement de l’attaque :

  • 20 octobre : L’attaquant utilise l’ordinateur compromis et un outil IA interne pour prendre le contrôle des systèmes de deux développeurs wallet.
  • 29 octobre : Via l’ordinateur du second développeur wallet et des identifiants volés, un script malveillant est déclenché.
  • En quatre minutes, 233,46 millions de XRP sont transférés depuis cinq hot wallets Binance vers une adresse contrôlée par l’attaquant.
  • D’autres cryptomonnaies dont du bitcoin sont ensuite dérobées.
  • Le dernier transfert non autorisé a lieu à 23h56 GMT, soit près de quatre heures après le début de l’attaque.
  • Les attaquants ont utilisé 50 transactions de signature pour manipuler les comptes.

💰 Impact financier :

  • 6,3 milliards de dollars volés au total.
  • 2,85 milliards de dollars d’actifs gelés par Binance après détection.
  • Binance a annoncé rembourser l’intégralité des fonds volés à ses clients.

🕵️ Attribution : Le FBI attribue l’attaque à un groupe de hackers nord-coréen. La Corée du Nord rejette cette accusation. Binance indique avoir détecté et bloqué 57 cybermenaces liées à la Corée du Nord en 2026.

📌 Type d’article : Rapport d’incident / article de presse d’investigation, visant à documenter publiquement le déroulement technique de l’attaque et les responsabilités identifiées.

🧠 TTPs et IOCs détectés

Acteurs de menace

TTP

  • T1566.003 — Phishing: Spearphishing via Service (Initial Access)
  • T1204.002 — User Execution: Malicious File (Execution)
  • T1195.002 — Supply Chain Compromise: Compromise Software Supply Chain (Initial Access)
  • T1656 — Impersonation (Defense Evasion)
  • T1078 — Valid Accounts (Defense Evasion)
  • T1059 — Command and Scripting Interpreter (Execution)
  • T1496 — Resource Hijacking (Impact)
  • T1657 — Financial Theft (Impact)

Malware / Outils

  • Malicious code repository (other)
  • Malicious script (other)

🟢 Indice de vérification factuelle : 65/100 (haute)

  • ✅ reuters.com — source reconnue (liste interne) (20pts)
  • ✅ 8558 chars — texte complet (fulltext extrait) (15pts)
  • ⬜ aucun IOC extrait (0pts)
  • ⬜ pas d’IOC à vérifier (0pts)
  • ✅ 8 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : Lazarus Group (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.reuters.com/world/binance-says-hackers-used-fake-job-interview-compromise-computer-before-63-2026-11-03/