Binance : le piratage à 6,34 milliards de dollars et l’outil d’intelligence artificielle compromis

EElias

Alors, le point important, c’est que Binance ne décrit pas une intrusion qui aurait commencé le jour du vol. Selon The Guardian, Binance indique que l’opération aurait commencé en juin 2026, après le téléchargement involontaire d’un logiciel malveillant par un ingénieur. L’attaque se serait ensuite construite par étapes : en septembre, un autre développeur aurait été visé par une fausse campagne de recrutement, puis l’attaquant aurait pris le contrôle de systèmes liés aux portefeuilles numériques. Binance indique que cette prise de contrôle a eu lieu le 20 octobre, avec l’aide de l’ordinateur déjà compromis et d’un outil interne d’intelligence artificielle. Le vol d’actifs, lui, s’est produit le 29 octobre. On a donc un écart de plusieurs mois entre le premier accès présumé et le moment où les fonds ont été dérobés. C’est ce décalage qui rend l’affaire intéressante à examiner : l’outil d’intelligence artificielle apparaît dans la chronologie, mais il ne constitue pas, à lui seul, toute l’explication. Il s’inscrit dans une chaîne comprenant un logiciel malveillant, une opération de recrutement frauduleuse et l’accès aux systèmes de développeurs.

EElias

Bon, il faut distinguer les étapes plutôt que d’imaginer un outil qui aurait, tout seul, ouvert les coffres numériques. En septembre, selon la chronologie de Binance rapportée par The Guardian, un développeur a été visé par une fausse campagne de recrutement. Le développeur aurait ensuite téléchargé un logiciel malveillant au cours d’un faux entretien d’embauche. Puis, le 20 octobre, l’attaquant se serait servi de l’ordinateur compromis et d’un outil interne d’intelligence artificielle pour prendre le contrôle des systèmes de deux développeurs responsables de ces portefeuilles. Autrement dit, l’outil fait partie des moyens employés après que des accès ont été obtenus ; les éléments disponibles ne disent pas que l’intelligence artificielle a découvert seule une faille ou décidé de détourner des fonds. Il faut également éviter de confondre l’outil interne compromis avec le logiciel malveillant : Binance les présente comme deux éléments distincts de la séquence. L’image la plus juste est celle d’une porte ouverte progressivement, avec plusieurs étapes, plutôt que celle d’une intelligence artificielle qui aurait forcé une porte à elle seule.

EElias

Binance indique que deux développeurs chargés des portefeuilles ont vu leurs systèmes pris sous contrôle par l’attaquant le 20 octobre. Le 29 octobre, l’attaquant aurait utilisé l’ordinateur du second développeur, avec des identifiants volés au premier, pour déclencher un script malveillant. Binance évalue à environ 6,34 milliards de dollars les actifs numériques qui auraient été dérobés. C’est un montant considérable, mais il faut le lire comme le total annoncé du vol, pas comme une somme dont chaque élément serait nécessairement resté aux mains de l’attaquant. Binance affirme que 2,85 milliards de dollars auraient été gelés ou interceptés. La séquence décrite par Binance relie donc la prise de contrôle de systèmes de développeurs à un vol d’actifs numériques de grande ampleur, sans que les éléments disponibles précisent davantage le fonctionnement des portefeuilles concernés.

EElias

Binance affirme qu’elle assumerait les pertes sans les répercuter sur ses utilisateurs. L’entreprise dit aussi avoir réservé plus de 100 % des fonds nécessaires pour couvrir le préjudice ; il s’agit de sa déclaration sur les ressources mises de côté. Binance indique avoir reconstitué 98 % des actifs concernés au 31 octobre 2026. Ce chiffre porte sur les actifs concernés et ne doit pas être confondu avec les 2,85 milliards de dollars qui auraient été gelés ou interceptés. Les deux informations ne décrivent pas exactement la même chose : l’une porte sur des actifs reconstitués, l’autre sur une part du montant du vol que Binance dit avoir arrêtée ou rendue inaccessible. La différence compte, parce qu’un auditeur pourrait sinon additionner ces chiffres ou croire qu’ils se rapportent au même calcul. Binance a également présenté ses excuses aux utilisateurs, à ses partenaires et aux acteurs du secteur pour l’inquiétude et les perturbations causées. Les annonces financières de l’entreprise distinguent donc les pertes qu’elle dit prendre en charge, les fonds qu’elle affirme avoir réservés et les actifs qu’elle dit avoir reconstitués.

EElias

La première limite, c’est que la chronologie détaillée vient de Binance, qui rend compte de l’incident dont elle a été victime. Les éléments présentés sont les conclusions publiées par Binance, et les faits disponibles ne précisent pas si une enquête indépendante les a confirmés. La seconde concerne l’attribution : le FBI attribue le piratage à la Corée du Nord, mais cette attribution est contestée. Kim Yo-jong a rejeté l’accusation en la qualifiant de rhétorique absurde. Il faut donc présenter la responsabilité nord-coréenne comme une attribution du FBI, et non comme un fait établi sans contestation. Même prudence pour l’outil d’intelligence artificielle : Binance indique qu’il a été utilisé dans la prise de contrôle de systèmes, mais les informations disponibles ne détaillent pas sa conception, ses permissions, ni la façon exacte dont il a été exploité. On ne peut donc pas conclure que l’outil a créé la vulnérabilité, ni qu’il a pris des décisions de manière autonome. D’après The Guardian, l’attaquant se serait servi de l’ordinateur compromis et de l’outil interne d’intelligence artificielle pour prendre le contrôle des systèmes des deux développeurs. C’est une distinction essentielle pour comprendre l’incident sans transformer le mot intelligence artificielle en explication unique.

EElias

Il faut d’abord retenir qu’une attaque peut progresser longtemps avant que le vol soit visible. Dans le récit de Binance, le premier téléchargement malveillant remonte à juin, la fausse campagne de recrutement à septembre, la prise de contrôle de systèmes au 20 octobre et le vol au 29 octobre. Cette succession rappelle qu’un recrutement apparemment ordinaire peut aussi devenir un moyen d’approcher des personnes qui disposent d’accès techniques. Binance indique qu’un outil interne d’intelligence artificielle a été utilisé lors de la prise de contrôle des systèmes de deux développeurs, mais les informations disponibles ne précisent pas davantage son rôle ni son fonctionnement. Il ne faut donc pas tirer de cette affaire une règle plus large que les faits ne le permettent, ni prétendre que l’outil d’intelligence artificielle est la cause unique du vol. Le cas met plutôt en évidence l’enchaînement entre logiciel malveillant, ingénieurs ciblés, systèmes de portefeuilles et usage d’un outil compromis. Enfin, les sommes gelées ou interceptées, les actifs reconstitués et les engagements de Binance sont des éléments distincts, rapportés par l’entreprise. Pour les utilisateurs, l’enjeu est de suivre l’évolution de ces résultats sans confondre annonces de couverture et récupération effective des actifs. Le fait central, lui, reste une opération de plusieurs mois qui a abouti à un vol d’une ampleur exceptionnelle.