Binance : vol record de cryptos 💰, Supermarchés : frigos dégivrés en Europe 🇪🇺, LLMJacking : clés d'API détournées 🤖

Bonjour et bienvenue dans l'édition du mardi 3 novembre !

A la une aujourd'hui:

• Binance : des hackers nord-coréens dérobent 6,36 milliards de dollars, un record
• Des hackers décongèlent à distance les réfrigérateurs de supermarchés dans quatre pays européens
• Une faille critique du firmware UEFI menace les serveurs et centres de données mondiaux
• Cursor : des extensions Claude Code malveillantes installaient des portes dérobées SSH
• LLMJacking : le détournement d'accès aux IA coûte jusqu'à 100 000 dollars par jour

Binance : des hackers nord-coréens dérobent 6,36 milliards de dollars, un record

Points Clés :

• Le FBI attribue au groupe nord-coréen TraderTraitor le vol de 6,4 milliards de dollars en cryptomonnaies
• Ce butin dépasse les 1,46 milliard dérobés à Bybit en février 2025 et constitue un record historique
• Environ 2,85 milliards de dollars de fonds volés ont déjà été gelés sur les blockchains concernées

Description :

Le FBI, épaulé par les services secrets et le fisc américains, attribue au groupe nord-coréen TraderTraitor le vol de plus de 6,4 milliards de dollars en cryptomonnaies, le plus important jamais enregistré. Les fonds, dérobés sur onze blockchains, sont convertis principalement en Ethereum avant un blanchiment attendu via des services DeFi (Decentralized Finance) ; 2,85 milliards de dollars ont déjà été gelés. Binance a progressivement rouvert ses retraits, suspendus à la suite de l'incident.

Pourquoi c'est important :

Cette attribution confirme le poids du vol de cryptomonnaies dans les activités des groupes liés à la Corée du Nord, soupçonnés d'avoir dérobé plus de 6,5 milliards de dollars ces dernières années. TraderTraitor perfectionne ses méthodes, piégeant des outils de développement et se faisant passer pour des recruteurs grâce à l'intelligence artificielle. Le gel d'une partie des fonds montre néanmoins que la traçabilité de la blockchain permet de limiter le blanchiment.

Des hackers décongèlent à distance les réfrigérateurs de supermarchés dans quatre pays européens

Points Clés :

• Des attaquants ont basculé à distance des réfrigérateurs et congélateurs en mode dégivrage, jusqu'à 50 °C
• Environ 40 magasins Delhaize et 15 Carrefour en Belgique ont dû jeter leurs produits frais et surgelés
• Des enseignes en Suède, en Irlande et au Luxembourg sont touchées, après des attaques similaires en France en octobre

Description :

Après la France, des cyberattaquants ont pris le contrôle de systèmes de réfrigération de supermarchés en Belgique, en Irlande, au Luxembourg et en Suède, les basculant en mode dégivrage avec des températures atteignant 50 °C. En Belgique, une quarantaine de magasins Delhaize et une quinzaine de Carrefour ont dû jeter leurs produits frais et surgelés. Les enseignes ICA et Coop en Suède ainsi que SuperValu en Irlande ont également signalé des attaques semblables.

Pourquoi c'est important :

Cette vague d'attaques illustre la vulnérabilité des équipements connectés utilisés dans la distribution alimentaire, où une simple modification à distance suffit à provoquer des pertes massives de marchandises. Elle survient moins d'un mois après des incidents comparables en France, où des contrôleurs Danfoss dotés d'un micrologiciel obsolète avaient été compromis. On ignore toutefois si les mêmes méthodes ont été employées, et aucune attribution n'a été établie à ce stade.

Une faille critique du firmware UEFI menace les serveurs et centres de données mondiaux

Points Clés :

• CVE-2026-97631, notée 9,5 sur 10, permet l'exécution de code avant le chargement du système d'exploitation
• La faille, vieille de seize ans, touche TianoCore EDK II, base de la plupart des firmwares UEFI
• La publication prématurée d'un correctif par AMI a révélé les détails avant la divulgation coordonnée

Description :

Des chercheurs d'Anthropic et de Google ont découvert une vulnérabilité critique, référencée CVE-2026-97631 et notée 9,5 sur 10, dans TianoCore EDK II, le code de référence dont dérivent la plupart des firmwares UEFI de serveurs. Présente depuis seize ans dans le démarrage réseau PXE (Preboot eXecution Environment), elle provoque un débordement de tampon exploitable pour exécuter du code malveillant avant même le chargement du système d'exploitation. Ses détails ont fuité après la publication prématurée d'un correctif par AMI (American Megatrends International), l’un des plus grands acteurs de l’informatique du monde développant les BIOS/UEFI pour des millions de carte mères.

Pourquoi c'est important :

Cette faille frappe à un moment décisif : le code malveillant s'exécute avant que le système d'exploitation et les contrôles de sécurité habituels ne soient actifs, ouvrant l'accès à des composants sensibles comme le module TPM sur PC. Les centres de données, qui utilisent massivement le démarrage réseau PXE, sont particulièrement exposés. L'exploitation suppose toutefois un accès préalable au réseau cible. En attendant les correctifs, la désactivation temporaire du démarrage PXE peut atténuer le risque.

Cursor : des extensions Claude Code malveillantes installaient des portes dérobées SSH

Points Clés :

• Deux versions modifiées de l'extension Anthropic.claude-code ont été diffusées sur la place de marché de Cursor le 29 octobre 2026
• La charge utile collectait des informations système et tentait d'installer des portes dérobées SSH persistantes avec tunnel inverse
• Cursor a retiré les paquets, fermé temporairement sa place de marché et neutralisé l'infrastructure de l'attaquant

Description :

Des versions modifiées de l'extension Anthropic.claude-code, que Cursor attribue à un tiers et non à Anthropic, ont été proposées quelques heures sur sa place de marché le 29 octobre 2026. La charge utile collectait des informations sur la machine hôte et tentait d'ajouter une clé SSH contrôlée par l'attaquant, d'activer le service SSH et d'établir un tunnel inverse vers un serveur externe. Des mécanismes de persistance sous macOS et Windows pouvaient survivre à la suppression de l'extension.

Pourquoi c'est important :

Cet incident illustre comment une extension de développement malveillante peut transformer un environnement de codage de confiance en point d'entrée. Des restrictions de privilèges et des erreurs de codage ont toutefois limité l'efficacité de la porte dérobée, l'activation de SSH exigeant des droits administrateur. Cursor a néanmoins constaté l'insertion de clés non autorisées et l'installation de persistance, ce qui impose une remédiation sur les postes affectés au-delà de la simple désinstallation.

LLMJacking : le détournement d'accès aux IA coûte jusqu'à 100 000 dollars par jour

Points Clés :

• Des organisations perdent jusqu'à 100 000 dollars par jour en consommation frauduleuse de services d'IA
• Les attaquants volent des clés d'API, créent des clés supplémentaires et contournent les limites de débit
• Un service clandestin, Jet Night, revend à bas prix des jetons probablement issus de clés volées

Description :

Des cybercriminels détournent les accès d'entreprises aux modèles de langage pour consommer des ressources d'IA à leurs frais, selon un rapport des équipes Mandiant de Google. Les factures frauduleuses peuvent dépasser 100 000 dollars par jour et ont atteint un million de dollars cumulés chez certaines victimes avant que les accès ne soient révoqués. Les attaquants volent des clés d'API, génèrent des clés supplémentaires, souscrivent des abonnements facturés aux victimes et contournent les limites de débit.

Pourquoi c'est important :

Cette pratique, appelée LLMJacking, progresse depuis deux ans et Google s'attend à ce qu'elle devienne prioritaire par rapport au cryptojacking. L'écosystème se professionnalise : certains attaquants obtiennent l'accès initial, d'autres monétisent les jetons volés, revendus à bas prix par des services comme Jet Night. Cette affaire souligne la nécessité de protéger les clés d'API, de limiter les privilèges des comptes et de surveiller la facturation des services d'IA.

Avant de partir, j'ai 2 (petits) services à te demander :

1. Réponds à ce mail avec ton avis/ressenti sur cette édition. C'est toujours un plaisir de pouvoir échanger avec toi sur ces sujets, je réponds à tout le monde ! Tu peux aussi donner ton avis en cliquant sur les boutons ci-dessous.
2. Si tu as trouvé cette newsletter utile, partage-la à tes proches. C'est ce qui m'aide le plus à la faire grandir.

Bon mardi à toi !