6,3 milliards volés en 20 minutes : comment Binance s’est fait hacker !

**Résumé de l’émission « Silicon Carnet » – Analyse du hack de Binance et des menaces nord‑coréennes** Jeudi soir, à 21 h (paris), la plateforme de cryptomonnaies Binance a subi le plus gros vol jamais enregistré : 6,3 milliards de dollars ont disparu en moins de vingt minutes, touchant dix blockchains différentes (XRP, Solana, Bitcoin, Tron, Ethereum, etc.). Le piratage a été réalisé non pas par une faille de la blockchain, mais par l’accès à un ordinateur portable d’un ingénieur DevOps de Binance. Les hackers ont exploité le service interne qui déclenche les retraits, ont pris le contrôle d’un « hot wallet » contenant plusieurs milliards de dollars et ont vidé les fonds via un programme appelé « Sweep », construit à partir d’une fonction 7702 qui transforme un simple wallet en un script automatisé capable de « sweeper » chaque dépôt reçu. **Chronologie et méthode technique** 1. **Compromission du poste** : un ingénieur a vu son laptop infecté, probablement par du phishing ou un logiciel malveillant introduit via un test de recrutement. 2. **Accès au service de retrait** : le malware a donné les droits nécessaires pour envoyer des ordres depuis le hot wallet de Binance. 3. **Exécution du Sweep** : le script a lancé des transactions d’environ 170 000 $ chacune, transférant les fonds vers plusieurs adresses externes sur dix blockchains. 4. **Réaction de l’écosystème** : Tether et Circle, émetteurs de stablecoins, ont gelé près de 1,8 milliard de dollars, limitant l’étendue du vol. Binance a annoncé qu’elle rembourserait intégralement les utilisateurs et a repris les retraits quelques jours plus tard. **Qui sont les auteurs ?** Les analystes pointent vers le groupe Lazarus, l’unité de cyber‑opérations de la Corée du Nord, et plus précisément la sous‑cellule « TraderTraitor », spécialisée dans les attaques contre les plateformes de crypto‑actifs. Lazarus utilise principalement le social engineering : ils ciblent les humains, infiltrent les équipes via de faux recrutements ou des contacts « business », puis exploitent les accès privilégiés. **Structure de Lazarus** - **TraderTraitor** : focus sur les exchanges (Binance, Bybit) et les protocoles DeFi. - **APT38/Blunorov** : ciblage des banques traditionnelles. - **Famous Colima** et autres équipes : infiltrations via des postes de travail ou des fournisseurs externes. Ces équipes fonctionnent comme une branche quasi militaire de l’État nord‑coréen : formation intensive, longues heures, loyauté assurée sous la menace du régime. Les hackers les plus talentueux bénéficient de conditions de travail privilégiées, mais les rangs inférieurs vivent une forme d’esclavage numérique, contraints à 12 heures de travail quotidien sans contact familial. **Financement du régime nord‑coréen** Depuis 2017, les cyber‑opérations ont rapporté environ 13 milliards de dollars, dont 7,4 milliards en 2026 seulement. L’ONU estime que ces revenus financent 40 % du programme d’armement nord‑coréen. En proportion du PIB (≈ 34 milliards $), les 7,4 milliards représentent près de 22 % de l’économie du pays, faisant du hacking la première source de revenu de l’État. **Techniques de blanchiment** Les hackers privilégient les stablecoins centralisés (USDC, USDT) qu’ils déposent dans des protocoles de prêt pour les convertir en ether (ETH) non centralisé, rendant le gel difficile. Cette méthode, observée lors du vol de Binance, montre une compréhension avancée de la finance décentralisée (DeFi). **Autres incidents récents** - **Bybit (février 2025)** : vol de 1,5 milliard $, également attribué à Lazarus. - **Drift (protocol DeFi)** : infiltration pendant plus de six mois via des rencontres en personne et des échanges de PDFs, aboutissant à un vol de ≈ 285 milliards $ (le chiffre exact varie selon les sources). Les attaquants ont exploité une chaîne d’approvisionnement logicielle, installant une extension VS Code malveillante. - **Ledger** : compromission de clés physiques vendues via des revendeurs tiers (Allemagne, Thaïlande). Des puces espion ont été insérées, permettant le vol des secrets de récupération. Ledger rassure que les achats sur son site officiel restent sûrs. - **Poly Market** : troisième piratage en dix mois, causé par la faille d’un prestataire externe, entraînant le vol de ~ 3 milliards $ en moins d’une heure. **Débat sur la décentralisation** Greg et Nico soulignent que les plateformes centralisées (ex. : Binance, Tether, Circle) sont capables de geler les fonds, offrant une forme de protection que les systèmes purement décentralisés ne possèdent pas. Le spectre de la décentralisation se situe entre : - **Extrême décentralisation** : souveraineté totale de l’utilisateur, aucune possibilité de récupération en cas de vol. - **Modèle bancaire** : intermédiaires capables de bloquer ou de rembourser les transactions frauduleuses. Les intervenants recommandent aux utilisateurs de choisir des exchanges solides, transparents et capables de couvrir les pertes, plutôt que de miser exclusivement sur des portefeuilles matériels ou des solutions « self‑custody » qui, bien que théoriquement sûres, restent vulnérables à la chaîne d’approvisionnement. **Conseils pratiques aux détenteurs de cryptos** 1. **Privilégier les exchanges majeurs** : Binance, Coinbase, Kraken offrent des mécanismes de remboursement et de gel des fonds. 2. **Diversifier les actifs** : ne pas concentrer tout le capital dans un seul protocole ou stablecoin. 3. **Utiliser des ETF ou des produits traditionnels** : exposer son portefeuille au Bitcoin via des fonds cotés évite la détention directe et les risques de vol. 4. **Vérifier la chaîne d’approvisionnement** : acheter les hardware wallets directement auprès des fabricants, éviter les revendeurs tiers. 5. **Renforcer la posture de sécurité** : appliquer le principe du moindre privilège, désactiver les accès administratifs non nécessaires, former le personnel aux techniques de phishing. **Perspectives** Malgré la gravité du hack, la communauté crypto a montré une capacité de réponse rapide : gel des stablecoins, remboursements, amélioration des processus internes. Les attaques de Lazarus restent parmi les plus sophistiquées, combinant social engineering, infiltration longue durée et exploitation de vulnérabilités de la chaîne d’approvisionnement. En conclusion, le vol de Binance illustre deux réalités : d’une part, les failles humaines et logistiques restent le maillon le plus faible, même dans les infrastructures les plus avancées ; d’autre part, la présence d’acteurs étatiques comme la Corée du Nord montre que le cyber‑crime devient une source stratégique de financement militaire. Les utilisateurs doivent donc réévaluer leurs stratégies de garde, privilégier les plateformes capables d’intervenir en cas d’incident, et rester vigilants face aux menaces de plus en plus ciblées et coordonnées. **Fin de l’émission** Greg, Nico et le sponsor Granola concluent en rappelant l’importance de l’automatisation des tâches répétitives pour libérer du temps et améliorer la productivité, avant de remercier l’audience et de promettre un prochain épisode. *Ce résumé synthétise les points clés du transcript, en respectant la limite de 1 200 mots.*