Dans la nuit du 29 au 30 octobre 2026, 6,3 milliards de dollars ont quitté les portefeuilles de Binance en moins de quatre heures, sur neuf chaînes, sans qu’aucune clé privée ne soit identifiée comme compromise. Les premières conclusions de la plateforme pointent vers un ordinateur portable d’ingénieur DevOps infecté. Les analyses on-chain révèlent pour leur part une mécanique fondée sur les autorisations EIP-7702 et une course contre les gels de stablecoins.
🔑 En bref
- Binance évoque un portable DevOps compromis et n’a trouvé aucune preuve de fuite de clé privée à ce stade.
- 50 autorisations EIP-7702 pré-signées ont permis de vider le portefeuille chaud Binance 14 sur Ethereum.
- 2,7 milliards de dollars ont été gelés, tandis que 729 millions d’USDT ont été convertis avant la chute des gels.
- TRM Labs, ZachXBT, Blockaid et Pangolin Intelligence attribuent l’attaque à la Corée du Nord ; Binance n’attribue l’attaque à personne.
Ce que Binance dit, et ce qu’elle ne dit pas
L’annonce officielle, publiée sur le centre d’aide de la plateforme le 29 octobre 2026 à 22 h 23 UTC, reste volontairement prudente. Elle parle d’une « enquête initiale » et de conclusions préliminaires, répète que les fonds des utilisateurs sont en sécurité et que Binance couvrira l’intégralité des pertes avec son fonds SAFU (fonds d’actifs sécurisés) et ses propres ressources. Un nouveau Proof of Reserves (preuve de réserves) doit être publié après la remédiation.
Trois mesures immédiates ont été prises : la suspension temporaire des dépôts et des retraits pendant les contrôles de sécurité, la révocation de l’autorisation de l’adresse affectée, et la mobilisation des autorités compétentes ainsi que des partenaires d’analyse on-chain pour tracer et récupérer les fonds.
Trois points restent toutefois dans le flou, et ce sont les plus importants :
| Point ouvert | Question posée | Statut |
|---|---|---|
| Compromission du portable | Comment l’ordinateur a été infecté et ce que l’attaquant y a trouvé | Non documenté |
| Permissions du conteneur | Quels droits le conteneur de service détenait et pourquoi le système a jugé les transactions légitimes | Non documenté |
| Impact réel | Les 6,3 milliards sont une valeur estimée des actifs touchés, pas une perte nette confirmée | Pas de répartition par chaîne |
C’est ce silence sélectif qui définit la situation. La plateforme a communiqué une hypothèse technique, la plus vraisemblable mais encore non démontrée, et s’est abstenue d’attribuer l’attaque à un acteur. Ni Lazarus, ni la Corée du Nord, ni aucun groupe ne sont officiellement mis en cause par Binance à ce stade.
Chronologie : quatre heures, neuf chaînes
Les reconstructions on-chain publiées par TRM Labs et Bitquery donnent une image précise de la nuit. L’attaque a commencé sur le XRP Ledger entre 20 h 04 et 20 h 09 UTC : cinq portefeuilles Binance y ont envoyé 233,46 millions de XRP vers une adresse qui n’existait pas une minute plus tôt. Solana a suivi cinq minutes plus tard, puis Base et Optimism. Un quart d’heure plus tard, les trois plus gros drains ont démarré à quelques minutes d’intervalle.
| Heure (UTC) | Chaîne | Opération |
|---|---|---|
| 20 h 04 à 20 h 09 | XRP Ledger | 233,46 millions de XRP envoyés par cinq portefeuilles |
| + 5 min | Solana | Drain suivant, puis Base et Optimism |
| Environ 20 h 20 | Ethereum | Transaction unique de 50 autorisations EIP-7702 |
| 20 h 23 (3 min 24 s après la délégation) | Ethereum | 167 464 ETH et 63 autres jetons, dont 1,615 milliard d’USDT |
| 20 h 41, 20 h 59, 21 h 04 | Ethereum | Nouveaux balayages du même portefeuille |
| 21 h 44, 22 h 39, 23 h 56 | Ethereum | Balayages après la suspension des retraits |
| 00 h 10 | Ethereum | Révocation de l’autorisation EIP-7702 |
Le portefeuille Bitcoin principal de Binance a envoyé 18 270 BTC en un seul bloc, découpés aussitôt en tranches rondes de 1 000 BTC et de 100 BTC, une méthode dite de « peel chain » destinée à compliquer le suivi des fonds. Le portefeuille chaud TRON a, pour sa part, viré 612,7 millions d’USDT et 46,4 millions de TRX.
EIP-7702 : le mécanisme clé
Depuis la mise à niveau Pectra d’Ethereum de mai 2025, un compte ordinaire peut signer une autorisation EIP-7702 lui permettant de déléguer son comportement à un contrat intelligent (smart contract). Chaque appel au compte exécute alors le code de ce contrat, et la délégation persiste jusqu’à la signature d’une nouvelle autorisation.
L’attaquant a soumis une transaction contenant 50 autorisations, toutes signées par le portefeuille chaud Binance 14, le plus actif d’Ethereum, et toutes pointant vers un contrat « sweeper » n’acceptant d’instructions que de l’opérateur. Chaque autorisation n’est valable que pour un nonce précis, c’est-à-dire un certain compte de transactions du portefeuille. Ce portefeuille traitant un flux continu de retraits, son compteur avançait en permanence. En préparant des signatures pour 50 nonces consécutifs, l’attaquant garantissait qu’une d’elles serait encore valide à l’exécution. Une seule a suffi.
Le point critique est là : la blockchain montre que chaque drain portait une signature valide du système de Binance. L’enregistrement ne montre pas qui a demandé au système de signer, ni comment. C’est précisément ce que Binance confirme implicitement en déclarant n’avoir trouvé aucune preuve de fuite de clé privée.
Compromission de l’infrastructure de signature
L’annonce de Binance pointe vers un portable compromis, lecture cohérente avec les données on-chain mais non démontrée. TRM Labs estime que le scénario le plus probable n’est pas un vol de clé, mais une compromission de l’infrastructure de signature elle-même : l’attaquant aurait obtenu la capacité de faire signer par Binance des transactions de son choix, sur plusieurs chaînes et types de clés, en moins d’une demi-heure. Le lot de 50 autorisations pré-signées suggère un accès limité dans le temps, ou des signatures obtenues uniquement via un système donné.
« Cela ressemble à une compromission de l’infrastructure de signature. Nous ne pensons pas qu’une clé ait fuité. »
Ido Ben-Natan, PDG de Blockaid
Le PDG de Blockaid parle d’un « misuse » de clé plutôt que d’un vol, c’est-à-dire d’un système de signature trompé ou compromis pour autoriser des transactions malveillantes sans extraction de la clé sous-jacente. Il a précisé à Cointelegraph qu’il s’agit d’une évaluation préliminaire.
Une autre lecture mérite d’être mentionnée : la chronologie révèle une préparation d’au moins 36 heures. Le portefeuille opérateur de l’attaquant a reçu trois petits retraits de Tornado Cash dès le matin du 28 octobre. Dans la journée du 29, le code a été déployé et testé sur deux portefeuilles, puis répété sur un troisième, avant d’être installé sur un portefeuille chaud Binance quatre heures plus tard. Cette logique de test et de répétition correspond aux schémas d’attaques nord-coréennes déjà documentés.
La course contre les gels : 2,7 milliards immobilisés, 729 millions convertis
Les stablecoins disposent d’un interrupteur : leurs émetteurs peuvent geler une adresse et bloquer tout mouvement. L’attaquant a donc dû agir vite. Le premier gel est intervenu à 21 h 01 UTC, 37 minutes après le drain Ethereum principal, mais 700 millions d’USDT avaient déjà quitté le récepteur principal vers deux nouveaux portefeuilles.
| Émetteur ou acteur | Heure (UTC) | Montant gelé |
|---|---|---|
| Tether (USDT) | 21 h 01 | 971,1 millions d’USDT |
| Tether (USDT, autres portefeuilles) | Non précisée | 205 millions (Ethereum), 378,7 millions (TRON), 8,4 millions (Avalanche), 6,2 millions (Polygon) |
| Circle (USDC) | 21 h 04 | 823 millions d’USDC, avant tout mouvement |
| Ripple (RLUSD) | 22 h 01 | 40,5 millions de RLUSD |
| World Liberty Financial (USD1) | 22 h 10 | 27,8 millions d’USD1 |
| Conseil de sécurité d’Arbitrum | 00 h 08 | 8 426 ETH et 74,6 millions d’ARB, déplacés dans un portefeuille verrouillé |
Le bilan est sévère pour l’attaquant : six des onze gels de Tether ont touché des portefeuilles déjà vides. Sur les 1,76 milliard d’USDT bloqués, 71 % ont été immobilisés. Mais 729 millions d’USDT ont été convertis avant que les gels ne tombent, via UniswapX, 1inch Fusion, les pools Uniswap et SunSwap sur TRON. Une partie a aussi servi de collatéral sur Aave, où 60 millions d’USDT ont permis d’emprunter environ 19 760 ETH avant le gel des marchés concernés.
Le prix payé a été élevé : selon les données disponibles, le pirate a accepté environ 15 % au-dessus du prix du marché pour ses stablecoins sur les plateformes de swap, et jusqu’à 10 % de surcoût lors de certains passages par des market makers. Ce surcoût traduit un besoin de liquidité immédiat et non négociable.
Ce que l’attaquant contrôle encore
C’est le chiffre le plus important de l’affaire. Selon TRM Labs, le pirate contrôle encore plus de 420 000 ETH et les 18 270 BTC, soit environ 2,4 milliards de dollars hors de portée de tout émetteur de stablecoins. Bitquery mesurait, de son côté, environ 3,1 milliards de dollars encore détenus par l’attaquant à 3 h 54 UTC, dont l’essentiel en ETH et en BTC.
Le pirate a même dépassé le butin initial. Il a dérobé environ 200 000 ETH mais en détenait 490 361 selon Bitquery, le solde supplémentaire ayant été acheté avec les stablecoins volés. Deux tiers des ETH n’ont jamais bougé, tout comme le XRP et le SOL. Les 18 270 BTC sont répartis dans 19 adresses, la plupart détenant exactement 1 000 BTC, et n’ont pas été dépensés. Aucune somme n’a atteint une plateforme d’échange, un mixeur ou un pont, du moins jusqu’à la lecture des chaînes par Bitquery.
TRM Labs anticipe la suite : sur la base des vols précédents, les fonds devraient transiter par des ponts inter-chaînes, des services de swap et des bureaux OTC. Le cabinet souligne que 325 millions d’USDT ont été vendus à des market makers et des solveurs par un portefeuille qui venait de recevoir les fonds. Un filtrage des contreparties en temps réel aurait suffi à bloquer l’opération.
Attribution, marché et précédents
Trois cabinets ont convergé vers la même réponse, sans que Binance l’ait reprise à son compte. TRM Labs attribue l’attaque au groupe TraderTraitor, unité nord-coréenne, avec une « haute confiance ». Les arguments : trois petits retraits de Tornado Cash pour financer le portefeuille opérateur, une préparation antérieure au vol, et des signatures obtenues à l’avance puis exécutées en une seule rafale. Le FBI avait déjà nommé ce groupe pour le vol de 1,5 milliard de dollars subi par Bybit en février 2025. TRM relève toutefois une différence : le blanchiment observé repose sur de grands swaps via market makers et protocoles de prêt, et non sur le schéma centré sur les ponts suivi après Bybit.
ZachXBT et Blockaid désignent également la Corée du Nord, de même que Pangolin Intelligence selon le Wall Street Journal. Binance, en revanche, n’a attribué l’attaque à personne et indique travailler avec les autorités pour confirmer l’identité des auteurs.
Il convient aussi de replacer l’incident dans une série plus large. En septembre, Bitget avait subi un vol de 387,5 millions de dollars, également attribué à la Corée du Nord via l’exploitation de failles zero-day dans des appliances de sécurité tierces ; seuls 1,1 million de dollars avaient pu être gelés. Le même jour que l’attaque contre Binance, CoinDCX a perdu 16 millions de dollars et Polymarket environ 2,6 millions via un fournisseur tiers.
Côté marché, le Bitcoin a perdu 4,5 % pour toucher un plus bas de six semaines à 76 368 dollars, avant de rebondir autour de 78 434 dollars. L’Ether a chuté de 5,2 % à 2 178 dollars et le BNB de plus de 4,7 %. Les liquidations ont dépassé 1,5 milliard de dollars en 24 heures. Coinbase a perdu 4,8 % et Strategy près de 6 % en cotation prolongée. Standard Chartered estime que les prix pourraient rester sous pression avant de trouver un socle.
Pour les déposants, l’absence de perte sur les fonds des utilisateurs repose sur le SAFU. La co-CEO Yi He a indiqué que les retraits devraient reprendre dans les 48 heures, les dépôts fonctionnant déjà de nouveau. Un précédent existe : en 2022, Binance avait déjà été victime d’une frappe de deux millions de BNB, et l’intervention de la plateforme avait ramené la perte de 570 millions à environ 115 millions de dollars.
Conclusion : une version de travail, un test grandeur nature
La question décisive reste ouverte. Le rapport technique complet devra dire ce qui s’est réellement passé sur ce portable, quelles autorisations le conteneur de service détenait, et pourquoi l’autorisation EIP-7702 n’a été révoquée qu’à 00 h 10 UTC, alors que les retraits étaient suspendus depuis 22 h 33. Tant que ce document n’est pas publié, les conclusions de Binance restent cohérentes avec les données on-chain, plausibles, mais provisoires.
Avec 6,3 milliards de dollars d’impact estimé et environ 2,7 milliards déjà gelés, l’incident dépasse de très loin le vol de 1,5 milliard de dollars de Bybit, qui détenait le record depuis février 2025. Scénario central : une attribution nord-coréenne confirmée par les autorités améliorerait la lisibilité de l’affaire, sans changer la donne sur les fonds encore contrôlés. Scénario alternatif : une compromission plus large de l’infrastructure de signature, révélée par le rapport complet, obligerait les plateformes centralisées à revoir leurs contrôles sur les signatures automatisées. Dans les deux cas, il ne s’agit plus seulement de sécurité des plateformes : c’est un test grandeur nature de la capacité du secteur à geler, tracer et confisquer des actifs à l’échelle de la finance traditionnelle.
Sources
- Binance, centre d’aide, annonce officielle du 29 octobre 2026 (22 h 23 UTC)
- TRM Labs, analyses on-chain de la nuit du 29 au 30 octobre 2026
- Bitquery, reconstruction on-chain des transferts et des soldes restants
- Blockaid, déclarations d’Ido Ben-Natan à Cointelegraph, octobre 2026
- ZachXBT et Pangolin Intelligence, attributions rapportées par le Wall Street Journal, octobre 2026
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
