SEAL évalue à huit semaines la présence de TraderTraitor chez Binance

SEAL situe le début de l'intrusion chez Binance en septembre

Lire aussi : La Corée du Nord a volé 12,8 milliards de dollars en crypto selon TRM

Dans un rapport publié le 5 novembre 2026, Security Alliance (SEAL) évalue à « ~8 weeks » (environ huit semaines) la durée de l'opération de TraderTraitor chez Binance, de septembre jusqu'au piratage. Le rapport ne fixe pas le jour de début de l'intrusion : la période y est notée « Sept ?? ».

Selon SEAL, le piratage de Binance du 29 octobre 2026 porte sur environ 6,4 milliards de dollars. Le rapport indique que l'attaque a été rapidement attribuée à TraderTraitor, un groupe lié à la Corée du Nord, par TRM, Pangolin Intelligence, Elliptic, Chainalysis, le Federal Bureau of Investigation (FBI) et « beaucoup d'autres » (traduit de l'anglais).

Binance désigne un faux entretien d'embauche comme cause suspectée

Selon SEAL, le document de Binance intitulé « Initial Findings and Response » (premières constatations et réponse) retient comme cause suspectée la compromission de l'appareil d'un développeur. Le logiciel malveillant aurait été transmis par ingénierie sociale, une invitation à un entretien d'embauche servant d'appât.

SEAL rattache l'incident de Binance à un ensemble d'activités de TraderTraitor reposant sur des sociétés écrans et des dépôts de code hébergés sur GitLab. Binance n'a pas communiqué les adresses exactes utilisées, mais selon SEAL, la chronologie et les détails concordent avec ce schéma. Binance rapporte qu'un ingénieur, désigné « Engineer B », a passé deux séries d'entretiens, chaque fois avec des interlocuteurs différents.

SEAL écrit que Binance « has not yet provided any meaningful technical indicators » (n'a encore fourni aucun indicateur technique significatif, traduit de l'anglais).

SEAL juge erroné le rapprochement fait entre le piratage de Binance et Contagious Interview, un autre sous-groupe nord-coréen qui recourt lui aussi à de faux entretiens. Pour SEAL, un modèle de menace (l'analyse des scénarios d'attaque d'une entreprise) calé sur Contagious Interview « will fail against TraderTraitor » (échouera face à TraderTraitor, traduit de l'anglais). Le rapport précise que la préparation, les opérateurs et les actions menées après l'intrusion diffèrent entre les deux groupes.

SEAL compare quatre intrusions attribuées à TraderTraitor

Le rapport de SEAL publié le 5 novembre 2026 met en regard la durée de quatre opérations attribuées à TraderTraitor.

Donnée	Valeur	Date	Source
Durée d'opération chez LayerZero	environ 6 semaines	du 6 mars au 18 avril 2026	SEAL
Durée d'opération chez AFX	environ 3 semaines	du 9 au 22 juillet 2026	SEAL
Durée d'opération chez Bitget	environ 6 semaines	d'août (jour non précisé) au 24 septembre 2026	SEAL
Durée d'opération chez Binance	environ 8 semaines	de septembre (jour non précisé) au 29 octobre 2026	SEAL

Chez Bitget, selon SEAL, le vol du 24 septembre 2026 a eu lieu après au moins 24 jours de présence de TraderTraitor dans l'environnement informatique. Chez Bitget, selon SEAL, aucune clé privée n'a été dérobée : le système de signature légitime a été détourné pour traiter des transactions qui n'auraient pas dû l'être, un schéma que SEAL retrouve chez LayerZero et chez Binance.

SEAL voit dans la durée de ces opérations un avantage pour les équipes de défense : « In every case the intrusion was there to be found » (dans chaque cas, l'intrusion pouvait être détectée, traduit de l'anglais). SEAL indique attendre le rapport final de Bitget sur son incident.

En France, seuls les PSCA autorisés peuvent fournir des services crypto

Selon l'Autorité des marchés financiers (AMF), depuis le 1er juillet 2026, les professionnels qui proposent des services sur crypto-actifs doivent détenir le statut de prestataire de services sur crypto-actifs (PSCA), créé par le règlement européen MiCA (Markets in Crypto-Assets). Les sociétés qui ne disposaient que de l'ancien statut français de prestataire de services sur actifs numériques (PSAN) n'ont plus le droit d'exercer.

Dans une page publiée le 27 juillet 2026, l'AMF indique que les PSCA relèvent d'une autorisation et d'une supervision, avec des exigences renforcées en matière de cybersécurité, d'organisation et de gouvernance. Selon une actualité de l'AMF du 23 juin 2026, l'Autorité européenne des marchés financiers (ESMA) rappelle que les protections de MiCA ne valent que pour l'entité juridique autorisée dans l'Union européenne, ni pour ses entités affiliées ni pour celles autorisées hors de l'Union (traduit de l'anglais) ; l'AMF publie la liste blanche des PSCA.

L'AMF rappelle par ailleurs que le Fonds de garantie des dépôts et de résolution (FGDR) ne couvre pas les crypto-actifs en cas de faillite d'une plateforme, à la différence des placements financiers traditionnels.

Questions fréquentes

Combien de temps TraderTraitor est-il resté chez Binance avant le piratage ?

Selon le rapport de Security Alliance (SEAL) publié le 5 novembre 2026, l'opération de TraderTraitor chez Binance a duré environ huit semaines, de septembre jusqu'au piratage du 29 octobre 2026. Le rapport note la période « Sept ?? » : le jour de début de l'intrusion n'y est pas fixé. SEAL compare cette durée à celles de trois autres intrusions attribuées au même groupe : environ six semaines chez LayerZero, environ trois semaines chez AFX et environ six semaines chez Bitget.

Quelle est la cause suspectée du piratage de Binance du 29 octobre 2026 ?

Selon le rapport de Security Alliance (SEAL) du 5 novembre 2026, le document de Binance « Initial Findings and Response » retient comme cause suspectée la compromission de l'appareil d'un développeur. Le logiciel malveillant aurait été transmis par ingénierie sociale, une invitation à un entretien d'embauche servant d'appât. SEAL relève que Binance rapporte qu'un ingénieur, « Engineer B », a passé deux séries d'entretiens avec des interlocuteurs différents. SEAL ajoute que Binance n'a pas encore fourni d'indicateurs techniques significatifs.

Quelle différence SEAL fait-il entre TraderTraitor et Contagious Interview ?

Dans son rapport du 5 novembre 2026, Security Alliance (SEAL) juge erroné le rapprochement fait entre le piratage de Binance et Contagious Interview, un autre sous-groupe nord-coréen qui utilise aussi de faux entretiens d'embauche. SEAL affirme qu'un modèle de menace calé sur Contagious Interview échouera face à TraderTraitor. Selon le rapport, la préparation, les opérateurs et les actions menées après l'intrusion diffèrent. SEAL décrit TraderTraitor comme connu pour une sélection minutieuse des cibles et des campagnes de longue durée, alors que Contagious Interview est plus dispersé.

Quelle a été la durée des intrusions de TraderTraitor chez LayerZero, AFX et Bitget ?

Selon le rapport de Security Alliance (SEAL) publié le 5 novembre 2026, TraderTraitor est resté environ six semaines chez LayerZero (du 6 mars au 18 avril 2026), environ trois semaines chez AFX (du 9 au 22 juillet 2026) et environ six semaines chez Bitget (d'août, jour non précisé, au 24 septembre 2026). Pour SEAL, la longueur de ces opérations représente un avantage pour les défenseurs : dans chaque cas, l'intrusion pouvait être détectée.

Quels prestataires peuvent proposer des services sur crypto-actifs en France depuis le 1er juillet 2026 ?

Selon la page de l'Autorité des marchés financiers (AMF) du 27 juillet 2026, depuis le 1er juillet 2026, les professionnels qui proposent des services sur crypto-actifs doivent détenir le statut de prestataire de services sur crypto-actifs (PSCA), créé par le règlement européen MiCA. Les sociétés qui n'avaient que l'ancien statut de prestataire de services sur actifs numériques (PSAN) ne sont plus autorisées à proposer leurs services. L'AMF précise aussi que le Fonds de garantie des dépôts et de résolution ne couvre pas les crypto-actifs en cas de faillite d'une plateforme.