Ce que l’on sait du vol
Binance a publié son premier rapport d’incident le 3 novembre. La préparation a duré environ cinq mois. En juin, un ingénieur DevOps de l’équipe portefeuilles cherche un outil d’assistance au code par IA sur un moteur de recherche et télécharge une version altérée de Homebrew. Binance repère une activité anormale, remplace le poste et change les identifiants concernés. Le mal est déjà fait.
En septembre, un autre ingénieur est approché sur une plateforme de recrutement tout à fait légitime par un faux « directeur de projet ». L’exercice de code proposé pendant l’entretien contient du code malveillant. Sur l’un des postes compromis, l’attaquant trouve un jeton autorisant le déploiement de conteneurs, ce qui lui ouvre la porte du service de signature des portefeuilles.
Le jour de l’attaque, les intrus restent un peu plus de deux heures et demie dans les systèmes. Ils font signer une cinquantaine de transactions qui confient à un contrat sous leur contrôle une partie des droits sur un portefeuille « chaud », via la fonction EIP-7702 d’Ethereum. Cette délégation vit sur la blockchain : suspendre les retraits ne l’annule pas, et Binance a dû construire en urgence une procédure de révocation. Le FBI attribue l’opération à des acteurs liés à la Corée du Nord.
Côté bilan, près de 2,85 milliards de dollars ont été gelés ou interceptés selon le rapport, et Binance affirme avoir reconstitué 98 % des actifs touchés sur ses fonds propres. Le record précédent, celui de Bybit en février 2025, s’élevait à 1,5 milliard.
Le scénario n’a rien d’exotique. Une recherche sur Google, un recruteur aimable, un secret stocké au mauvais endroit : n’importe quelle structure dotée d’un service informatique et de quelques prestataires connaît ces trois situations chaque semaine.
Le guide de Cognition, en quelques mots
Jack Cable a mis en ligne son guide le 3 novembre sur le blog de Cognition, l’éditeur de l’agent de développement Devin. Il replace Binance dans une série noire de quelques semaines : une extension Claude Code pour Cursor publiée en version malveillante, la faille PHP2Shell dans le moteur PHP, une exécution de code à distance sans authentification dans GitLab, de nouvelles failles sur les VPN et pare-feu, et une autorité de certification dont la clé privée valait littéralement 4.
Pour lui, les bonnes pratiques connues depuis des années fonctionnent toujours, et l’IA rend simplement leur absence plus vite exploitable. Il range ses recommandations en deux horizons, aujourd’hui et sous 30 jours, que nous avons reformulées et commentées.
À lancer dès aujourd’hui
Comptes et postes de travail
Postes des développeurs et des administrateurs
Code, dépendances et journaux
À boucler sous 30 jours
Parc informatique
Secrets et environnements de développement
Code et dépendances
Ce que le guide laisse de côté
Le texte de Cognition s’adresse à une entreprise du logiciel qui emploie ses propres développeurs. Un centre hospitalier, un EHPAD, un service de prévention et de santé au travail ou une communauté de communes fonctionne autrement : le code est écrit par des éditeurs, l’infrastructure est souvent infogérée, et les postes à risque appartiennent parfois au prestataire. Pour ces organismes, la moitié des mesures ci-dessus se joue chez les sous-traitants.
L’article 32 du RGPD impose des mesures de sécurité adaptées au risque, et l’article 28 oblige le responsable de traitement à ne retenir que des sous-traitants offrant des garanties suffisantes, avec un droit d’audit. Après Binance, quelques questions simples méritent d’être posées par écrit à chaque éditeur : où sont stockés les secrets donnant accès à la production, un poste de développeur compromis permet-il d’atteindre les données de vos clients, quel délai appliquez-vous avant d’intégrer une nouvelle dépendance, conservez-vous des journaux hors de portée d’un administrateur ?
Une compromission de cette nature, si elle touche des données personnelles, se notifie à la CNIL dans les 72 heures (article 33), et aux personnes concernées lorsque le risque est élevé (article 34). Chez Binance, l’alerte interne a déclenché le gel des retraits en quelques minutes. La plupart des organismes que nous accompagnons mettraient plusieurs jours à savoir qui appeler. Une procédure de gestion des violations doit donc tenir sur une page, citer des noms et des numéros, et avoir été testée au moins une fois dans l’année.
Pour les établissements concernés par NIS2, ces mesures recoupent largement les attentes en matière de gestion des accès, de sécurité de la chaîne d’approvisionnement et de détection des incidents. Elles forment une base de travail raisonnable, à compléter par l’analyse propre à chaque établissement.
Le faux recruteur, un risque pour tous les services
Chez Binance, le contact est venu d’une plateforme reconnue, avec un profil crédible et un exercice technique en apparence banal. Aucun filtre antivirus ne remplace la consigne simple : on n’exécute jamais sur un poste professionnel un fichier fourni par un recruteur, un candidat ou un « partenaire » inconnu. Les services RH reçoivent eux aussi des CV piégés et des liens vers de prétendus portfolios. La sensibilisation doit couvrir ces cas concrets, dès l’arrivée de chaque salarié.