Des pirates se sont introduits chez Chainalysis elle-même – la firme qui a trouvé en huit heures la piste nord-coréenne dans le piratage de Binance

Une société qui vend à prix d’or à la police, aux services de renseignement et aux plateformes d’échange des outils pour traquer les criminels de la crypto n’a pas su protéger sa propre maison. Chainalysis l’a officiellement reconnu : un attaquant externe a obtenu un accès non autorisé à ses systèmes et outils internes, puis en a extrait des données d’utilisateurs de la plateforme. L’aveu est tombé le 30 octobre – le jour même où cette même Chainalysis, avec des airs d’oracle omniscient, a désigné le coupable du plus grand casse de l’histoire de la crypto : selon elle, environ 6,4 milliards de dollars ont été dérobés dans les portefeuilles de Binance par le groupe nord-coréen TraderTraitor.

Dès qu’on lit les détails fournis par la société elle-même, la précision de détective s’évapore. On apprend seulement que l’intrusion a été repérée « ce mois-ci ». L’attaquant a emporté des identifiants d’utilisateurs, des noms complets, des adresses e-mail professionnelles et des fonctions au sein des organisations – y compris chez les clients qui reçoivent en ce moment les lettres peu réjouissantes de Chainalysis. Selon la société, certaines victimes avaient déjà été prévenues plus tôt, en toute discrétion. Combien d’enregistrements ont fuité au total et quels comptes ont été vidés, les meilleurs analystes de la planète ne l’ont toujours pas compté : chaque client se voit promettre un décompte individuel « une fois l’analyse terminée ». Les brèches par lesquelles l’intrus est entré sont colmatées au pied levé, en ce moment même.

Pendant ce temps, le rapport public laisse un vide béant à la place de toutes les questions essentielles : quel jour précis l’intrusion a été découverte, combien de semaines l’attaquant a fait la loi dans le réseau, par quelle vulnérabilité il est entré et de quels « outils internes » il a eu le temps de se servir. Pas un chiffre, pas une date, pas un seul fait technique.

Les informations volées, Chainalysis les qualifie d’un ton rassurant de « non sensibles ». C’est charmant, si l’on oublie qui achète ses logiciels : les principaux clients de la maison sont les forces de l’ordre, les administrations fiscales et les services de renseignement, les plateformes crypto et les banques. Les noms complets, adresses e-mail professionnelles et fonctions d’enquêteurs en activité spécialisés dans la criminalité crypto ne sont pas un « détail non sensible », mais un carnet d’adresses en or, prêt à l’emploi, pour l’hameçonnage ciblé et le chantage. Chainalysis le sait parfaitement : dans le même texte, elle prie instamment ses clients de se méfier des e-mails inattendus de réinitialisation de mot de passe, des notifications de confirmation de connexion et des escrocs qui appellent au nom de ses employés.

C’est la faute à l’IA, Binance n’y est pour rien

L’explication officielle de ce fiasco vaut le détour. Elle commence par le grand classique « tout le monde y passe » : Chainalysis aurait été touchée « comme beaucoup d’autres plateformes technologiques ces dernières semaines » – on pirate tout le monde en ce moment, ne soyez pas trop sévères. Puis l’artillerie lourde du marketing entre en scène : la faute à une « hausse des cyberattaques pilotées par l’IA dans tout le secteur » et à de mystérieuses « techniques agentiques offensives ». Quel agent, qui l’a lancé, comment une intelligence artificielle a franchi le périmètre d’une entreprise dont la sécurité est le métier – pas un mot. En revanche, on promet de soigner la brèche avec la même poudre à la mode : des consultants externes et des « grands modèles de langage sophistiqués » ont été mobilisés pour l’audit. L’IA a cambriolé, l’IA montera la garde.

Par deux fois, dans son court texte, la société souligne nerveusement que cette intrusion n’a aucun lien avec le vol de milliards chez Binance. Nous voulons bien le croire. L’ironie est ailleurs. Quand c’est la plateforme d’un autre qui a été vidée, huit heures ont suffi aux experts de Chainalysis pour poser un diagnostic précis, rattaché à un État bien précis : les sorties de fonds ont commencé le 29 octobre à 16 h 20, heure de New York, et dès 0 h 30 on présentait au monde la Corée du Nord. Nous avons analysé en détail hier à quel point il est commode de mettre n’importe quel trou de plusieurs milliards sur le compte des manigances de Pyongyang. Mais il a suffi que quelqu’un s’introduise dans les propres serveurs de Chainalysis pour que le flair légendaire des détectives tombe aussitôt en panne : l’intrus n’a ni drapeau, ni groupe, ni traces, hormis le mot nébuleux « agentique ».

Plus drôle encore, le jonglage avec les formulations autour des mots de passe. En tête du communiqué, la société affirme avec entrain n’avoir trouvé aucune trace d’accès à des « identifiants d’authentification », quels qu’ils soient. Mais quelques paragraphes plus loin, dans la lettre aux clients, la formulation maigrit discrètement : il est seulement dit que l’attaquant n’a pas atteint les mots de passe « en clair ». Autrement dit, il faut croire que les mots de passe hachés ont fort bien pu partir vers une destination inconnue – sans parler de la question de savoir pourquoi une entreprise de cybersécurité, en 2026, mentionne encore les « mots de passe en clair » comme une catégorie à part. Quant au conseil final adressé aux clients, « activer l’authentification à deux facteurs si votre organisation ne l’a pas encore fait », il trahit malgré lui un secret de Polichinelle : sur une plateforme fermée destinée aux forces de sécurité et aux enquêteurs financiers, on pouvait jusqu’à aujourd’hui travailler tranquillement sans second facteur.

Comment la vraie sécurité se fait remplacer par une vitrine de certifications et de beaux slogans, nous l’avons déjà raconté dans notre analyse de Vanta. Chez Chainalysis, la vitrine respecte tous les canons du genre : « experts de classe mondiale », « approche à l’échelle de toute l’entreprise », « renforcement de la posture de sécurité ». Il ne manque que la réponse aux questions simples : combien d’enregistrements ont été dérobés, combien de jours l’intrus est resté à l’intérieur et par quelle porte il est entré. Au bout du compte, le tableau est saisissant : une maison capable de remonter en huit heures, blockchain à l’appui, une piste nord-coréenne dans la poche des autres ne trouve à dire, sur le cambriolage de sa propre cuisine, que ceci : la faute revient à une IA sans visage, Binance n’y est assurément pour rien, et seuls ont fuité les noms, e-mails et fonctions de gens dont le métier est d’attraper les hackers.