Le secteur des crypto-monnaies vient d’être frappé par deux incidents majeurs : le piratage de Binance, potentiellement le plus grand vol de l’histoire du secteur, et une attaque ciblant Polymarket via un script tiers. Poste interne ou dépendance web externe, ces deux cas rappellent la vulnérabilité de l’écosystème crypto face à des attaques sophistiquées, potentiellement menées par des groupes APT comme Lazarus.
Tribune – Georgy Kucherin, chercheur principal en sécurité chez Kaspersky GReAT, livre son analyse :
La fin du mois d’octobre a été marquée par deux incidents majeurs de cybersécurité dans le secteur des crypto-monnaies, impliquant Binance et Polymarket. Le 30 octobre, Binance a révélé avoir subi un piratage, ses premières conclusions indiquaient que l’ordinateur portable compromis d’un ingénieur DevOps aurait permis à un attaquant d’accéder à un conteneur de services et de soumettre des transactions de retrait non autorisées. La plateforme d’échange a indiqué n’avoir trouvé aucune preuve de fuite de clés privées de portefeuilles, a suspendu temporairement les dépôts et les retraits, et s’est engagée à couvrir les pertes des utilisateurs. La veille, le 29 octobre, les utilisateurs de Polymarket ont été touchés par un autre piratage lié à la compromission d’un script tiers de surveillance des utilisateurs réels (RUM) de DebugBear, intégré au site web de la plateforme.
Ces deux affaires mettent en évidence des vecteurs d’attaque très différents. Dans un cas, il s’agit d’un poste de travail interne et dans l’autre, un composant web tiers. Des investigations complémentaires devront déterminer précisément la façon dont l’ordinateur portable de l’ingénieur DevOps de Binance et DebugBear ont été compromis, bien que l’exploitation de vulnérabilités au cours du processus ne puisse être écartée. Parallèlement, ces incidents démontrent que les plateformes d’échange de crypto-monnaies ne sont pas à l’abri des cyberattaques et peuvent être compromises par divers vecteurs, les systèmes internes comme les dépendances externes pouvant servir de surface d’attaque.
Comme le montre notre expérience de terrain, les collaborateurs des plateformes d’échange, en particulier les spécialistes techniques, demeurent des maillons faibles dans les attaques visant à voler des crypto-monnaies. Même des ingénieurs et développeurs chevronnés peuvent être victimes de cyberattaques et, dans certains cas, télécharger par inadvertance des logiciels malveillants. Nous avions précédemment signalé le cas d’un développeur du secteur des crypto-monnaies qui avait téléchargé une extension malveillante pour un environnement de développement, entraînant le vol de 500 000 dollars sur ses portefeuilles.
L’attaque contre Binance semble constituer le plus important vol de crypto-monnaies jamais enregistré, et une opération d’une telle ampleur étant difficile à mener, l’hypothèse selon laquelle certains piratages de plateformes relèvent en réalité d’acteurs de type APT ne peut être exclue. Les premiers signalements concernant l’incident de Binance pointent vers l’implication possible de plusieurs groupes, certains mentionnant expressément le groupe APT Lazarus. Lazarus est reconnu pour ses cyberattaques à motivation financière, notamment des opérations ciblant les crypto-monnaies, et dispose d’une solide expérience en la matière. En 2016, le groupe avait été accusé du piratage de la banque centrale du Bangladesh dans une tentative de vol d’un milliard de dollars. Il ne s’agissait pas d’un cas isolé : tout au long de la décennie actuelle, Lazarus est resté actif dans les attaques contre les plateformes de crypto-monnaies. Par exemple, la compromission de Bybit en 2025 s’est traduite par des pertes d’environ 1,5 milliard de dollars. Dans le même temps, concernant les attaques menées contre Binance et Polymarket, l’implication éventuelle de Lazarus demeure à l’étude et des conclusions définitives ne pourront être tirées qu’une fois l’enquête achevée.
Les détenteurs d’actifs en crypto-monnaies sont devenus des cibles de plus en plus privilégiées par les cybercriminels ces dernières années, les terminaux dépourvus de solutions de sécurité suscitant un intérêt tout particulier pour les attaquants. En pratique, même des profils techniquement aguerris peuvent être victimes de telles offensives, raison pour laquelle nous recommandons vivement d’installer des solutions de sécurité aussi bien sur les équipements personnels que professionnels.