Piratage SignalPlus : moins de 82 000 $ perdus après une fausse invitation Teams, Binance et Deribit coupent ses clés API

L’intrusion chez SignalPlus est limitée, de l’aveu même de la société. SignalPlus, plateforme de trading d’options basée à Hong Kong, a indiqué dans un message publié sur X le jeudi 5 novembre qu’un intrus avait pénétré son réseau interne dans la nuit du mardi au mercredi 4 novembre et prélevé moins de 82 000 $ sur un petit nombre de comptes d’utilisateurs. L’entreprise affirme rembourser les sommes. Le même jour, Binance et Deribit ont révoqué par précaution toutes les clés API de leurs clients liées à SignalPlus, coupant l’outil des comptes sur les deux plateformes.

Voilà tout l’incident tel que les trois sociétés le décrivent. Aucune des deux plateformes ne signale de faille dans ses propres systèmes : Binance a écrit que « les systèmes de Binance ne sont pas affectés » et que « les fonds des utilisateurs restent en sécurité », selon CryptoPotato, et Deribit affirme n’avoir aucune indication que ses systèmes ou ses données aient été touchés. Aucune entreprise, aucun enquêteur ni aucune société de sécurité n’a désigné d’auteur, et aucune source ne relie l’intrusion chez SignalPlus au piratage de Binance du 29 octobre, bien plus lourd.

Un mot sur nos sources. Les communiqués de SignalPlus, de Binance et de Deribit ont été publiés sur X, que nous n’avons pas pu ouvrir. Ce qui suit s’appuie sur les médias qui les citent ou les intègrent, surtout crypto.news, CryptoPotato, CoinInsider et Bitcoin.com News, ainsi que sur le résumé publié par Binance.

Piratage de SignalPlus : moins de 82 000 $ perdus, remboursements en cours

SignalPlus chiffre ses pertes à « moins de 82 000 $ », rapporte crypto.news. Seuls les comptes dont les clés API n’avaient pas de liste blanche d’adresses IP ont été touchés, et la société parle d’« un petit nombre de comptes » sans donner de chiffre. Elle dit avoir commencé à rembourser les utilisateurs concernés au cas par cas et s’est engagée à les rembourser tous. Ceux qui pensent avoir perdu des fonds sont invités à la contacter afin qu’elle examine leur dossier.

L’entreprise reconnaît aussi une faille dans son propre dispositif : elle n’avait pas rendu obligatoire la liste blanche d’adresses IP pour les clés que ses utilisateurs connectaient. « Nous assumons la responsabilité de cet oubli », a écrit SignalPlus, selon crypto.news. Ses services sont suspendus en mode maintenance pendant un examen de sécurité, avec une reprise progressive attendue dans les jours qui viennent. Aucune date n’a été donnée.

SignalPlus a aussi précisé qu’une clé désactivée ne signifie pas que le compte d’échange associé ou ses actifs aient été compromis, d’après CoinInsider. Les révocations ont été appliquées à tous les comptes connectés, qu’ils aient été touchés ou non.

Un compte Telegram détourné, une fausse invitation Teams et l’ordinateur d’un ingénieur

Selon le récit de SignalPlus, l’attaque n’a pas commencé chez SignalPlus. Elle est partie du compte Telegram d’un interlocuteur chez un prestataire technologique tiers, dont l’attaquant avait pris le contrôle. Le prestataire n’est pas nommé.

Se faisant passer pour cet interlocuteur, l’attaquant a envoyé à un ingénieur de SignalPlus une invitation à une réunion Microsoft Teams. L’invitation était fausse, et l’accepter a compromis l’ordinateur de l’ingénieur. L’intrus est ensuite resté discret un moment. Dans la nuit du 3 au 4 novembre, blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il a commencé à utiliser les droits d’accès de l’ingénieur pour se déplacer dans le réseau interne de l’entreprise. SignalPlus affirme que son équipe a repéré l’activité, l’a bloquée et a refermé les accès utilisés.

La société énumère les correctifs prévus : des exigences plus strictes pour l’accès aux API, une sécurité renforcée sur les appareils de développement, des contrôles d’accès internes plus serrés et une autre gestion des clés. Elle promet aussi de partager davantage d’informations sur les menaces avec les plateformes d’échange, les partenaires technologiques et les sociétés de sécurité.

Plusieurs points manquent dans ces communiqués. SignalPlus n’a pas dit quel logiciel malveillant a été employé, combien d’utilisateurs sont concernés, ni si des clés API de clients ou leurs secrets ont été copiés. Bitcoin.com News relève qu’on ignore si les attaquants ont eu accès aux identifiants des clients.

Binance et Deribit coupent les clés, CZ conseille de révoquer les siennes ailleurs

SignalPlus fonctionne grâce aux API des plateformes. Les clients gardent leurs actifs sur la plateforme d’échange et donnent à l’outil une clé qui lui permet de lire les soldes et de passer des ordres à leur place. SignalPlus, fondée en 2021, propose des tableaux de bord de trading d’options pour Deribit, Binance, Bybit, OKX et Coincall, d’après CryptoPotato, et Bitcoin.com News la décrit comme une fintech proposant des outils de trading assistés par IA, de l’analyse d’options et de l’exécution.

Dès que SignalPlus a signalé le problème, Binance a retiré toutes les clés API qui lui étaient liées, par mesure immédiate de précaution, indique le résumé publié par Binance. La plateforme demande aux utilisateurs de SignalPlus de se connecter directement à Binance pour vérifier leurs positions et leurs ordres ouverts, d’attendre que SignalPlus confirme la résolution complète avant de reconnecter une clé, et d’activer la liste blanche d’adresses IP. Elle prie aussi toutes les plateformes tierces intégrées à Binance de revoir leurs contrôles de sécurité, de surveiller toute activité inhabituelle et de la contacter au moindre doute. La cofondatrice de Binance Yi He a relayé la même demande, selon crypto.news.

Deribit, une place majeure pour les options et les contrats à terme sur crypto, a fait de même le 5 novembre. Elle a révoqué les clés API des clients connectées à SignalPlus et prévenu que le trading, la surveillance et l’automatisation passant par l’outil sur Deribit s’étaient arrêtés. Ses conseils rejoignent ceux de Binance : vérifier ordres et positions, activer la liste d’adresses IP autorisées, attendre SignalPlus.

Le cofondateur de Binance Changpeng Zhao est allé plus loin sur X. « Si vous utilisez SignalPlus sur une autre plateforme, il est temps de révoquer toutes vos clés API », a-t-il écrit, selon CryptoPotato. Il a ajouté qu’il est en général recommandé de ne pas confier ses clés API à une plateforme tierce, rapporte Bitcoin.com News. Aucune source ne dit que Bybit, OKX ou Coincall aient révoqué de leur côté les clés SignalPlus : sur ces places, la démarche revient à l’utilisateur.

Aucun lien établi avec le piratage de Binance du 29 octobre

Le calendrier invite à faire un rapprochement, que les sources ne font pas. Bitcoin.com News écrit que Binance ne décrit aucun lien établi entre l’affaire SignalPlus et le vol d’octobre, et qu’aucun élément ne relie les deux. La brèche d’octobre a touché l’infrastructure de portefeuilles de Binance elle-même ; celle-ci concerne des clés détenues par un outil indépendant. Le bilan publié par Binance le 3 novembre évoquait de faux entretiens d’embauche, des logiciels de développement piégés et un outil interne d’IA compromis, rappelle crypto.news. Le FBI a attribué le vol d’octobre à TraderTraitor, groupe lié à la Corée du Nord. Personne n’a attribué l’intrusion chez SignalPlus à ce groupe ni à un autre.

Clé API Binance : révoquer, renouveler, restreindre par adresse IP

Une clé API est un laissez-passer. Quiconque la détient peut faire sur votre compte d’échange tout ce qu’elle autorise, sans se connecter et sans second facteur. C’est le prix à payer de tout robot de trading, suivi de portefeuille ou tableau de bord d’options, et la raison pour laquelle notre guide sur le fonctionnement des plateformes d’échange centralisées range l’accès au compte parmi les questions de garde.

Pour les lecteurs qui ont connecté SignalPlus ou un outil comparable, les gestes qui découlent des conseils des plateformes sont simples :

• Ouvrez la page de gestion des API de chaque plateforme utilisée avec l’outil et supprimez toute clé dont vous n’avez plus besoin, y compris sur les places qui n’ont rien révoqué, comme Bybit, OKX ou Coincall.
• Si vous reconnectez un outil plus tard, créez une nouvelle clé au lieu de réutiliser l’ancienne, et seulement après que le fournisseur a confirmé la correction du problème, comme le demandent Binance et Deribit.
• Limitez chaque clé à une courte liste d’adresses IP (liste blanche, ou « allowlist » chez Deribit). SignalPlus indique que seuls les comptes sans cette protection ont été touchés.
• Laissez la permission de retrait désactivée. Un tableau de bord ou un outil d’exécution a besoin de lire et de trader, pas de sortir des fonds.
• Vérifiez les ordres ouverts et les positions directement sur la plateforme, car des ordres automatiques passés par l’outil peuvent rester actifs.

Des plateformes ont déjà coupé l’accès à un outil de ce genre. Fin 2022, des utilisateurs du fournisseur de robots de trading 3Commas ont signalé des transactions non autorisées sur leurs comptes FTX et Binance. Le 11 décembre, son directeur général, Yuriy Sorokin, a contesté des captures d’écran qui mettaient la société en cause. Le 28 décembre, jour où Zhao s’est dit « raisonnablement sûr » que des clés 3Commas avaient fuité, Sorokin a confirmé que les fichiers divulgués par un pirate étaient authentiques et demandé à Binance, KuCoin et à d’autres plateformes de révoquer toutes les clés connectées à 3Commas, a rapporté Cointelegraph. En octobre, la cyberattaque contre GMO Internet au Japon impliquait des identifiants enregistrés sur des serveurs de trading loués. Le risque pèse sur celui qui stocke les clés, et la restriction par adresse IP est ce qui limite les dégâts quand elles fuitent.

Fausses réunions et logiciels malveillants : la méthode décrite par Mandiant

Aucune source ne rattache l’intrus de SignalPlus à un groupe connu, et son communiqué ne nomme aucun logiciel malveillant. La technique qu’il décrit est en revanche bien documentée. Dans un rapport publié le 9 février 2026, Mandiant, filiale de Google, a décrit une attaque contre une fintech crypto menée par UNC1069, un acteur motivé par l’argent qui, selon elle, est « soupçonné avec un haut degré de confiance d’avoir un lien avec la Corée du Nord ».

Dans ce cas, la victime avait été approchée depuis le compte Telegram détourné d’un dirigeant du secteur. Après quelques échanges cordiaux est venu un lien Calendly vers un appel de 30 minutes sur une fausse page Zoom. Pendant l’appel, une fausse panne audio a poussé la victime à coller dans son ordinateur des commandes de « dépannage », une ruse connue sous le nom de ClickFix. Ces commandes ont installé des logiciels malveillants. Mandiant a compté sept familles de logiciels sur une seule machine macOS, qui ont volé les identifiants du Trousseau, les cookies du navigateur, les mots de passe enregistrés et des données Telegram.

Le rapport de Mandiant porte sur Zoom, pas sur Teams, et sur une autre victime. Ce qui compte pour le lecteur, c’est le schéma : le compte d’un contact de confiance, un lien de réunion, puis la demande d’exécuter ou d’installer quelque chose. Vérifier une invitation inattendue par un second canal, et refuser tout « correctif » qui demande de coller une commande, coupe la chaîne dès le départ.

Ce que SignalPlus n’a pas encore dit

SignalPlus n’a pas nommé le prestataire dont l’interlocuteur a été usurpé, ni le logiciel malveillant. Elle n’a pas dit combien de comptes ont été touchés, quelle somme elle a déjà remboursée, ni si des secrets d’API ont quitté ses systèmes. Elle n’a pas donné de date de retour de ses services, et aucune autre plateforme n’a dit si elle avait agi. Binance et Deribit demandent aux utilisateurs d’attendre que SignalPlus confirme la résolution complète avant de reconnecter quoi que ce soit. Tant que SignalPlus ne l’a pas fait, toute clé re-liée à l’outil est une clé que les plateformes demandent de ne pas créer.