La Corée du Nord a piraté Binance pour 6,3 milliards de dollars

TRM Labs a attribué le vol record de 6,3 milliards de dollars chez Binance à TraitorTrader, un groupe de hackers nord-coréen déjà lié à la faille de 1,5 milliard de dollars chez Bybit en février 2025. La société d’intelligence blockchain a cité ce qu’elle décrit comme des preuves irréfutables, tant on-chain qu’off-chain, reliant l’attaque à des opérateurs soutenus par l’État.

Le rapport d’incident publié par Binance le 3 novembre a révélé que les attaquants ont utilisé des techniques d’ingénierie sociale pour compromettre l’appareil professionnel d’un ingénieur, se faisant passer pour des recruteurs afin de déployer un logiciel malveillant. Les intrus ont ensuite exploité un outil interne d’IA compromis pour accéder au service de signature de portefeuilles de la plateforme.

Ari Redbord, directeur mondial des politiques publiques et des affaires gouvernementales chez TRM Labs, a averti que malgré une réponse du secteur sans précédent, de tels incidents ne feront que s’intensifier.

Un gel coordonné capture 40 % des actifs volés

La réaction du secteur à la faille de sécurité de Binance a marqué un tournant en termes de rapidité et de coordination. Tether a gelé 971,1 millions d’USDt seulement 37 minutes après le premier transfert de fonds, faisant partie d’un total de 2,67 milliards de dollars en stablecoins immobilisés par plusieurs émetteurs. Redbord a souligné qu’aucun incident précédent n’avait vu une action aussi rapide, avec 40 % du montant volé bloqué avant que les hackers ne puissent le déplacer off-chain.

Le Beacon Network de TRM, lancé en 2025 pour permettre le partage d’informations en temps réel entre entreprises, a joué un rôle central dans la réponse. Redbord a noté que le volume d’alertes sur la plateforme est passé de quelques-unes par jour à des centaines, voire un millier, dans les jours suivant l’attaque. Ce système a permis aux sociétés d’agir de concert, immobilisant les fonds avant même le début des tentatives de saisie.

Cette volonté de coordination fait suite à la dissolution fin août de la T3 Financial Crime Unit, un partenariat créé par TRM avec Tron et Tether en septembre 2024. Bloomberg a rapporté le 4 novembre que des réponses tardives et un manque de coordination ont conduit à la dissolution du groupe. Tether a confirmé vouloir maintenir sa collaboration avec TRM via le Beacon Network.

Redbord a mis en garde contre le fait que même des efforts de récupération réussis ne dissuaderont pas nécessairement de futures attaques. Le vol du 29 octobre représentait environ un tiers du PIB nord-coréen et la moitié des 12,5 milliards de dollars volés par des hackers liés à l’État depuis 2017. Même si les attaquants ne récupèrent qu’un milliard de dollars du piratage de Binance, le retour potentiel reste suffisamment important pour justifier la poursuite de leurs opérations.

Appel à des opérations offensives menées par les gouvernements

Redbord a soutenu que les seules mesures défensives ne suffiront pas à contrer les campagnes de piratage soutenues par un État. Il a appelé les gouvernements à mener des opérations cyber offensives ciblant l’infrastructure de piratage de la Corée du Nord, ainsi que les réseaux de blanchiment et les institutions financières sur lesquels les hackers s’appuient pour convertir les actifs volés en monnaie utilisable.

Le rapport sur le déficit de capacités de TRM a identifié un écart croissant entre attaquants et défenseurs, alimenté par l’adoption rapide par les hackers de nouvelles technologies comme l’IA. Redbord a souligné que les forces de l’ordre et les équipes de conformité ont besoin de capacités en IA pour identifier et corriger les vulnérabilités à la même vitesse que leurs adversaires les exploitent.

Il a présenté la situation comme un conflit nécessitant une réponse de niveau militaire. Les gouvernements devraient riposter par des cyberattaques à chaque fois que la Corée du Nord mène un piratage, a-t-il déclaré, qualifiant la campagne en cours de cyber-guerre plutôt que d’activité criminelle. Sans actions offensives contre l’appareil d’État qui orchestre ces opérations, il estime que la Corée du Nord continuera d’exploiter les bénéfices financiers tant que ce modèle restera efficace.