Faux entretiens DPRK et piratage Binance : ce que les équipes finance doivent faire

Le plus grand vol de crypto de l'histoire a commencé par une offre d'emploi. Chainalysis rapporte que des attaquants nord-coréens ont attiré un employé de Binance dans un processus d'entretien fictif, puis l'ont utilisé pour implanter un logiciel malveillant et s'infiltrer plus profondément dans l'exchange. Pour les dirigeants financiers, la leçon est directe : les personnes qui détiennent des accès privilégiés aux portefeuilles et aux systèmes constituent la surface d'attaque, et votre logiciel de comptabilité crypto, vos contrôles et vos preuves d'audit doivent en tenir compte.

Cet article expose ce que Chainalysis dit s'être produit, pourquoi la méthode dépasse le cadre d'un seul exchange, et ce que les cabinets comptables, les auditeurs et les directeurs financiers devraient changer dans leur environnement de contrôle. Il s'en tient à ce que rapporte la source et traite le reste comme une analyse de ce que ces faits signifient pour les fonctions finance.

Ce que Chainalysis dit s'être passé chez Binance

Selon Chainalysis, le vol de 6,4 milliards de dollars perpétré par des acteurs nord-coréens chez Binance a commencé par une fraude à l'emploi, une tactique que les enquêteurs du cabinet suivent depuis des années. L'attaque a débuté en septembre lorsqu'un ingénieur a reçu une invitation à un entretien d'embauche. Binance a décrit comment les attaquants ont passé des semaines à gagner la confiance de l'employé, en l'approchant d'abord via une plateforme d'emploi légitime avec une opportunité professionnelle.

La séquence de l'intrusion

Après deux séries d'entretiens avec une société fictive, l'employé a été invité à télécharger un devoir d'entretien. Ce fichier contenait du code malveillant et a donné aux attaquants leur point d'ancrage initial. À partir de là, ils ont déployé un logiciel malveillant et exploité l'accès à un outil d'IA interne pour progresser plus profondément dans les systèmes de Binance.

Rien dans cette chaîne n'a nécessité de briser la cryptographie ou de trouver une faille dans un contrat intelligent. Il a fallu de la patience, un personnage de recruteur crédible et une personne disposant de suffisamment d'accès pour valoir l'effort. Chainalysis décrit l'ampleur de la violation comme sans précédent, mais pas la méthode d'entrée.

Pourquoi un seul employé a compté

Alec Zebrick, Senior Manager of Global Services chez Chainalysis, a décrit ce qu'il appelle des « entretiens contagieux » : des opérations répétées de la DPRK qui ciblent des employés ayant des accès privilégiés et exploitent leurs identifiants et permissions pour infiltrer les systèmes internes. Les employés ayant accès à des infrastructures sensibles sont des cibles particulièrement précieuses. L'ingénieur de Binance correspond exactement à ce schéma.

Un mode opératoire affiné sur des victimes plus petites

L'affaire Binance est la dernière d'une série. Chainalysis affirme avoir attribué plus de 14,3 millions de dollars de pertes sur les 18 derniers mois à des stratagèmes similaires d'entretiens fictifs liés à la DPRK. Les cibles vont des détenteurs individuels de crypto et portefeuilles privés aux organisations, protocoles et DAO.

S'entraîner avant la grosse cible

Tom McLouth, analyste principal du renseignement chez Chainalysis, a déclaré que le cabinet a identifié des dizaines d'autres compromissions via des entretiens d'embauche ayant conduit à des compromissions de portefeuilles au niveau individuel. Les pertes lors de ces incidents antérieurs allaient de dizaines de milliers à des millions. Ce qui importe davantage, selon lui, c'est ce qu'elles ont appris aux attaquants : au fil des compromissions successives, les acteurs de la DPRK perfectionnaient et faisaient évoluer leur méthodologie. L'analyse de Chainalysis est que ces incidents antérieurs ont permis aux acteurs nord-coréens d'affiner leurs méthodes sur de petites cibles avant de les utiliser sur des cibles de plus grande valeur, et que l'attaque contre Binance pourrait être l'aboutissement de mois, voire d'années, de préparation.

Pour un lecteur financier, c'est un cadre utile. Une petite perte inexpliquée chez un client actif dans la crypto ou dans votre propre trésorerie peut ne pas être un événement isolé. Elle peut être un point de données dans un schéma, et la manière dont elle a été investiguée et documentée pourrait compter plus tard.

Où sont allés les identifiants volés

Chainalysis et ses partenaires ont observé plusieurs cas où les clés privées de portefeuilles de victimes ont été volées dans le stockage cloud après un entretien malveillant. Dans certains cas, les victimes ont signalé que les phrases de récupération n'avaient jamais été téléchargées sur l'appareil infecté. Cela suggère que l'accès des attaquants allait au-delà des fichiers locaux, potentiellement via des identifiants cloud ou des sessions de navigateur compromis. Le cabinet note que cela est cohérent avec la découverte de Microsoft selon laquelle les logiciels malveillants de la DPRK recherchent sur les systèmes infectés des phrases de récupération de crypto-monnaies et des artefacts de gestionnaires de mots de passe.

Le point pratique est que les identifiants collectés tôt dans une opération peuvent ouvrir des comptes connectés bien au-delà de la machine infectée. Un contrôle qui se demande seulement « la clé était-elle stockée sur l'ordinateur portable ? » manque les voies du cloud et du navigateur.

L'écosystème plus large de la fraude à l'emploi de la DPRK

Les faux entretiens sont un élément d'un système plus vaste. Chainalysis décrit un mode opératoire à plusieurs volets dans lequel les mêmes acteurs exploitent les plateformes de recrutement, compromettent les infrastructures d'entreprise, infiltrent des entreprises légitimes et utilisent la crypto-monnaie pour déplacer les produits.

Des travailleurs IT frauduleux sur la masse salariale

De l'autre côté du mode opératoire se trouve le stratagème des travailleurs IT à grande échelle. Des opérateurs nord-coréens se font passer pour des candidats légitimes pour obtenir un emploi dans des entreprises du monde entier, percevant des salaires, accédant potentiellement à des systèmes sensibles et générant des revenus pour l'État. Les Nations unies estiment que cet écosystème génère un montant annuel important pour le régime, bien que le chiffre exact ne soit pas reproduit dans les éléments disponibles ici, il n'est donc pas cité dans cet article.

Ces travailleurs croisent souvent directement la crypto. Beaucoup ont tenté de s'intégrer dans des entreprises crypto, et ils utilisent aussi la crypto pour blanchir leurs produits. Ils sont généralement déployés à l'étranger et utilisent des VPN et des documents d'identité volés pour être embauchés. Une fois embauchés, ils demandent souvent à être payés en stablecoins. Chainalysis a observé une telle activité on-chain, notamment un cas où des portefeuilles recevaient des paiements réguliers compatibles avec un salaire. La crypto est ensuite transférée à des intermédiaires. Le mois dernier, Chainalysis a rapporté un réseau de ressortissants russes et de la DPRK sanctionnés par les États-Unis pour leur rôle dans des stratagèmes de travailleurs IT dirigés par la DPRK.

Les dépôts morts sur blockchain

Chainalysis signale également une technique émergente qu'elle appelle Blockchain Dead Drops. Ses recherches ont identifié une augmentation quintuple des cyberattaques assistées par blockchain au cours de l'année écoulée, motivée par des acteurs étatiques et l'utilisation potentielle de modèles d'IA à poids ouverts. Les acteurs nord-coréens ont commencé à utiliser ces tactiques, connues sous le nom d'« Etherhiding », au début de 2025 pour maintenir un lien entre les machines compromises dans les stratagèmes d'entretiens fictifs et l'infrastructure de commande et contrôle du logiciel malveillant. Les transactions blockchain sont un endroit plus résilient pour héberger cette infrastructure que l'hébergement centralisé que les forces de l'ordre peuvent saisir.

Une technique répartit les instructions sur deux blockchains, TRON et Aptos, qui pointent les appareils infectés vers une troisième, BSC, où la charge utile est stockée. Si l'interrogation de TRON échoue, la machine se rabat sur Aptos, et dans les deux cas elle atterrit sur BSC. Plus récemment, la DPRK a utilisé une approche par « récepteur nul », où une instruction est intégrée dans une adresse spécialement conçue que personne ne contrôle et qui n'est pas censée détenir des actifs ; l'adresse elle-même se décode en une instruction que les machines infectées lisent.

La pertinence comptable est subtile mais réelle. Certaines activités on-chain liées à ces opérations ne sont pas du tout des transferts de valeur. Les équipes qui filtrent les portefeuilles ou rapprochent les données on-chain doivent s'attendre à des transactions qui existent pour transporter des instructions plutôt que pour déplacer des fonds.

Ce que cela signifie pour les cabinets comptables et les directeurs financiers

Il s'agit d'un enjeu financier et d'audit autant que de sécurité. Le vol de Binance montre qu'une seule personne accréditée peut être la voie vers une perte à l'échelle d'un exchange, et la fonction comptable est proche de ces personnes : opérateurs de trésorerie, contrôleurs avec droits d'approbation, ingénieurs ayant accès à l'infrastructure de signature.

Accès, séparation des tâches et garde des clés

Commencez par cartographier qui peut initier, approuver, consulter ou récupérer les clés de portefeuille et qui peut accéder au stockage cloud, aux gestionnaires de mots de passe et aux sessions de navigateur qui les contiennent. Étant donné l'observation de Chainalysis selon laquelle les phrases de récupération ont été prises même lorsqu'elles n'avaient jamais été téléchargées localement, les revues de garde des clés doivent couvrir l'exposition au cloud et au navigateur, pas seulement les appareils. Séparez les personnes qui peuvent déplacer des actifs de celles qui les rapprochent, et assurez-vous qu'aucun compte compromis ne puisse faire les deux.

Le recrutement fait aussi partie de l'environnement de contrôle. Les travailleurs IT frauduleux qui passent le filtrage avec des documents d'identité volés et des VPN sont un problème de menace interne et d'exposition aux sanctions. Lorsque des sous-traitants ou du personnel à distance sont payés en stablecoins, la finance doit savoir quels portefeuilles reçoivent ces paiements et pouvoir les expliquer.

Preuves, rapprochement et reporting

En cas de perte, la piste d'audit compte. Les enregistrements de qui détenait l'accès, quand les clés ont été renouvelées et comment les soldes de portefeuille se rapprochaient du grand livre avant et après un incident détermineront comment une perte est comptabilisée, divulguée et, le cas échéant, signalée. Un logiciel de comptabilité crypto qui relie l'activité au niveau des portefeuilles, les permissions des utilisateurs et les rapprochements aide à produire ces preuves rapidement. Pour une analyse de l'exposition liée, voir notre article sur comment un piratage de Binance vous expose dans vos comptes.

Les cabinets qui utilisent un logiciel de tenue de livres crypto ou un logiciel de comptabilité d'actifs numériques plus large doivent vérifier que l'outil enregistre la propriété des portefeuilles, les flux d'approbation et les exceptions d'une manière testable par un auditeur. Un rapprochement propre est une preuve plus faible si la clé sous-jacente a pu être exfiltrée sans que personne ne le remarque.

Ce que les déclarants individuels et les petits détenteurs doivent en retenir

Bien que cet article s'adresse aux entreprises, Chainalysis indique que les affaires antérieures d'entretiens fictifs ont touché des détenteurs individuels de crypto et des portefeuilles privés, avec des pertes allant de dizaines de milliers à des millions. Les conseillers servant des particuliers devraient transmettre les bases : traiter les approches professionnelles non sollicitées impliquant le téléchargement d'un devoir comme à haut risque, ne jamais conserver les phrases de récupération dans le stockage cloud ou des notes synchronisées avec le navigateur, et tenir des registres clairs de tout vol à des fins fiscales et de déclaration. Le traitement fiscal d'une perte par vol varie selon la juridiction, alors confirmez les règles locales avec un conseiller qualifié plutôt que de supposer qu'une déduction est disponible.

Prochaines étapes pratiques ce trimestre

Une courte liste de contrôle

Le tableau ci-dessous transforme les étapes de l'attaque rapportée en questions de contrôle. Il est tiré de la séquence décrite par Chainalysis et Binance, et non de nouvelles données.

Où aller ensuite

Examinez le filtrage des sanctions et AML pour tout bénéficiaire payé en stablecoins, et gardez le contexte de traçage en vue : notre résumé de l'attribution TraderTraitor et du tableau de traçage et l'analyse de comment les acteurs de la DPRK blanchissent les fonds volés couvrent le côté aval. Pour le cadre plus large, voir notre pilier sur le reporting de conformité crypto.

Documentez la revue. Si un incident survient un jour, pouvoir montrer que la cartographie des accès, les contrôles de garde des clés et le filtrage des bénéficiaires ont été effectués avant l'événement est ce qui sépare une position défendable d'une course précipitée.

FAQ

Comment l'attaque contre Binance a-t-elle commencé ?

Chainalysis rapporte qu'elle a commencé en septembre avec un ingénieur recevant une invitation à un entretien d'embauche. Après des semaines à gagner sa confiance et deux séries d'entretiens avec une société fictive, l'employé a téléchargé un devoir d'entretien contenant du code malveillant, ce qui a donné aux attaquants un point d'ancrage.

Quel montant Chainalysis a-t-il lié à des stratagèmes similaires d'entretiens fictifs ?

Plus de 14,3 millions de dollars de pertes sur les 18 derniers mois, selon Chainalysis. Le cabinet indique que ces compromissions antérieures ont probablement permis aux acteurs de la DPRK d'affiner leurs méthodes sur des cibles plus petites avant de se tourner vers des cibles de plus grande valeur.

Pourquoi cela importe-t-il aux comptables et aux auditeurs ?

Parce que le point d'entrée était une personne disposant d'un accès privilégié, et non une faille de protocole. Les contrôles sur qui peut accéder aux clés, approuver les transferts et rapprocher les soldes, ainsi que la piste de preuves qui les entoure, déterminent la capacité d'une entreprise à détecter, expliquer et déclarer une perte.

Un logiciel de comptabilité crypto peut-il empêcher ce type d'attaque ?

Aucun outil n'arrête à lui seul une attaque d'ingénierie sociale. Un logiciel de comptabilité crypto peut soutenir la réponse en enregistrant la propriété des portefeuilles, les permissions et les rapprochements afin que l'exposition soit visible et les preuves prêtes, mais la sécurité des points de terminaison et les contrôles d'embauche restent des exigences distinctes.

Que sont les dépôts morts sur blockchain ?

Chainalysis utilise ce terme pour désigner la pratique consistant à stocker des instructions de logiciels malveillants sur des blockchains publiques, parfois appelée Etherhiding, afin que le lien de commande et contrôle soit plus difficile à saisir que l'hébergement conventionnel. Le cabinet rapporte une augmentation quintuple de ces attaques assistées par blockchain au cours de l'année écoulée.

Source : Chainalysis