Le 29 octobre 2026, des fonds ont commencé à quitter les portefeuilles chauds de Binance sur plusieurs blockchains. Binance chiffre à 6,3 milliards de dollars les actifs affectés, Chainalysis à 6,4 milliards : le plus important vol de cryptomonnaies jamais enregistré. Les investigations pointent désormais vers TraderTraitor, un groupe lié à la Corée du Nord.
🔑 En bref
- Binance estime à 6,3 milliards de dollars les actifs affectés ; Chainalysis évalue les transferts non autorisés à 6,4 milliards de dollars.
- Les transferts ont débuté vers 16 h 20 (heure de l’Est), et les gels coordonnés ont commencé à 17 h 14.
- Chainalysis attribue l’attaque à TraderTraitor, appelé Lazarus Group dans le secteur, sur la base du croisement de fonds avec le piratage de Bitget.
- Binance affirme couvrir l’intégralité des pertes ; les retraits restent désactivés le temps de confirmer la sécurité de l’environnement.
Un mécanisme d’attaque plus complexe qu’une simple fuite
Sur Ethereum, l’attaquant a utilisé un portefeuille opérationnel alimenté par Tornado Cash pour soumettre des autorisations signées valides. Ces autorisations ont permis à un portefeuille chaud de Binance d’exécuter du code déposé par l’attaquant. D’autres portefeuilles affectés auraient, eux, effectué des transferts signés ordinaires. Ce point est central : les cryptomonnaies étant contrôlées par des clés privées, la compromission d’une plateforme ne signifie pas nécessairement la fuite de ces clés. Binance affirme n’avoir trouvé à ce stade aucune preuve d’une fuite de clé privée de portefeuille.
L’enquête a d’abord orienté les chercheurs vers un ordinateur portable compromis appartenant à un ingénieur. Le co-directeur général Richard Teng a expliqué que cela avait donné à l’attaquant accès à un « conteneur de services », dans lequel des transactions de retrait non autorisées avaient été soumises. Binance a ensuite indiqué que d’autres points d’entrée avaient été découverts, sans les détailler. La co-directrice générale Yi He a résumé la priorité de la plateforme sur X : la sécurité d’abord, avec des retraits désactivés jusqu’à confirmation d’un environnement sûr.
« Pour être clair : l’attaquant n’a pas simplement utilisé les permissions d’un ingénieur, et il ne s’agissait pas d’une action unique en un clic. Il s’agissait d’un processus d’attaque plus complexe. Notre enquête n’a attribué aucune responsabilité à une personne physique. »
Richard Teng, co-directeur général, Binance
Ce scénario explique pourquoi les premières hypothèses de compromission individuelle ont été nuancées : l’attaque reposait sur une chaîne d’opérations plutôt que sur un seul accès.
Chronologie et conversion rapide des stablecoins
L’attaquant a tenté de convertir rapidement les stablecoins, considérés comme gelables par leurs émetteurs, en actifs tels que l’ETH, dont le gel n’est pas directement possible à leur niveau. Il a d’abord transféré 500 millions de dollars de stablecoins vers un portefeuille chargé de les échanger. En près de 20 minutes, 325 millions de dollars ont été convertis contre 285 millions de dollars d’ETH. Dix minutes plus tard, les 175 millions de dollars restants ont été envoyés vers des portefeuilles de transit, probablement pour gagner du temps sur les listes de blocage.
| Étape | Moment | Montant |
|---|---|---|
| Transferts non autorisés débutent | 16 h 20 (heure de l’Est) | Non précisé |
| Transfert initial vers un portefeuille d’échange | Non précisé | 500 M$ |
| Conversion stablecoins contre ETH | Environ 20 minutes | 325 M$ convertis contre 285 M$ d’ETH |
| Envoi du solde vers des portefeuilles de transit | Environ 10 minutes plus tard | 175 M$ |
| Début des gels coordonnés | 17 h 14 (heure de l’Est) | Non précisé |
Les investigateurs de Chainalysis ont observé des milliers de transactions en peu de temps. De nombreuses adresses recevaient d’abord exactement 1 TRX, puis des fonds supplémentaires, avant de les transférer vers d’autres adresses. Ces séquences, ainsi que la circulation répétée des fonds entre adresses déjà utilisées, font penser à un processus automatisé destiné à obscurcir leur trajectoire. BFMTV indique que l’essentiel du vol s’est déroulé en une vingtaine de minutes, tandis que la chronologie de Chainalysis situe le début des transferts à 16 h 20 : les sources ne retiennent pas toutes les mêmes repères temporels.
Attribution à TraderTraitor et gel des fonds
Chainalysis attribue le vol à TraderTraitor, un groupe de cybercriminalité nord-coréen ciblant les plateformes, les protocoles décentralisés et les investisseurs afin de financer le régime. Cette évaluation repose notamment sur le croisement, observé en temps réel, de fonds volés à Binance avec des fonds issus du piratage de Bitget en septembre 2026, qui a coûté 388 millions de dollars. Chainalysis a annoncé cette conclusion le 30 octobre à 0 h 30 (heure de l’Est). TRM Labs et Elliptic ont également orienté leurs analyses vers TraderTraitor ou Lazarus Group. TRM Labs a relevé plusieurs similitudes avec le vol de Bybit de 1,5 milliard de dollars en février 2025, quatre fois moins important que celui de Binance selon le FBI.
« Cela implique que les attaquants n’ont plus besoin des clés du coffre. Ils ciblent les systèmes et les personnes habilitées à les utiliser. »
Jayant Dave, directeur de la sécurité de l’information, Check Point
Binance n’a pas directement confirmé de lien avec la Corée du Nord. La plateforme indique travailler étroitement avec ses partenaires des forces de l’ordre pour confirmer l’identité des auteurs. Des agences occidentales affirment que les fonds volés par des opérationnels nord-coréens serviraient notamment à financer les programmes nucléaires et de missiles du pays ; le régime nie toute implication.
Des chiffres de gel non homogènes
- Tether et Circle ont annoncé avoir gelé à eux deux environ 2,4 milliards de dollars.
- Chainalysis indique environ 2,8 milliards de dollars gelés dans sa publication.
- BFMTV avance environ 3 milliards de dollars gelés et 3,3 milliards de dollars restant entre les mains des pirates.
Les sources ne précisent pas si ces écarts résultent de moments de calcul différents ou de périmètres de suivi distincts. Un gel ne signifie pas non plus que les fonds ont déjà été récupérés. World Liberty Financial indique avoir coopéré avec ses partenaires pour immobiliser des fonds. Coinbase se dit non affectée et surveille la situation, tandis que Binance.US précise que sa plateforme n’est pas concernée. Dans les heures précédant la confirmation officielle, plusieurs observateurs avaient signalé des inquiétudes : le bitcoin a reculé de plus de 4 %, et l’ethereum comme le solana ont également connu des baisses marquées.
Chainalysis touchée par une intrusion et contexte de Binance
Au milieu de cette traque, Chainalysis a reconnu avoir subi une cyberattaque. L’intrusion a été détectée en octobre, et un communiqué de quatre phrases a été publié vendredi à 22 h 14 (heure de Paris). L’entreprise qualifie l’incident de « similaire à celui de nombreuses autres plateformes tech ces dernières semaines » et indique que l’attaquant a employé des « techniques agentiques offensives », c’est-à-dire des agents d’intelligence artificielle. Chainalysis affirme n’avoir trouvé aucune trace d’accès aux contenus d’enquête, aux identifiants d’authentification ou aux jetons de session, et n’établit aucun lien avec le vol de Binance.
Selon des extraits de l’email adressé aux clients, publiés par Blockchain.News, l’intrus a consulté les identifiants utilisateurs, les noms complets, les adresses email et les intitulés de rôle au sein des organisations clientes. Chainalysis qualifie ces données de « non sensibles ». L’attaquant n’aurait pas consulté les graphes d’investigation, les notes, les dossiers, les résultats de requêtes, les mots de passe en clair ni les secrets d’authentification à deux facteurs. Le nombre de clients concernés n’a pas été publié. Le Journal du Coin souligne qu’une telle liste peut faciliter le ciblage d’hameçonnages, tandis qu’une alerte de la CISA publiée en 2022 indique que TraderTraitor a déjà utilisé de fausses offres d’emploi adressées à des salariés du secteur crypto.
Binance a été fondée en Chine en 2017 et revendique 335 millions d’utilisateurs, tandis que la BBC évoque plus de 300 millions de comptes enregistrés. L’entreprise déclarait détenir plus de 160 milliards de dollars d’actifs sous garde en 2024. Son ancien directeur général Changpeng Zhao a été condamné en avril 2024 aux États-Unis pour violation de la législation antiblanchiment, puis gracié l’année précédente par Donald Trump. La plateforme est soupçonnée en France de manquements au contrôle des fonds de ses clients, et elle a partiellement suspendu ses activités dans l’Union européenne cet été, faute d’agrément MiCA.
« Même quand vous pensez être sur une plateforme parmi les plus solides au monde, il peut se faire hacker. »
Stéphane Ifrah, analyste, Coinhouse
Ce constat rejoint l’analyse de Ari Redbord, responsable des politiques chez TRM Labs, qui décrit l’affaire comme un moment charnière pour l’industrie, tout en estimant que l’attaquant conserve encore une somme considérable. Le traçage et la récupération des fonds restent donc très éloignés de leur terme final.
Perspectives et scénarios
Trois scénarios se dessinent à court terme. Le premier, le plus favorable, repose sur la poursuite des gels et sur la coordination entre plateformes, émetteurs de stablecoins et autorités, ce qui pourrait permettre une récupération partielle des montants immobilisés. Le deuxième est celui d’un traçage long : les fonds convertis en ETH, répartis sur des adresses de transit et potentiellement mélangés via des services dédiés ou des partenaires offshore, resteraient difficiles à restituer. Le troisième porte sur les effets structurels : la vigilance accrue des plateformes, la pression réglementaire sur les conditions de conservation et la sécurisation des accès humains et logiciels devraient s’imposer comme priorités du secteur.
Pour les acteurs du marché, le message central est que la sécurité d’une plateforme ne se résume pas à la protection des clés privées. Les attaques ciblent désormais les systèmes internes, les personnes habilitées et les outils automatisés. Les chiffres définitifs de gel, de récupération et d’indemnisation restent à confirmer.
Sources
- Journal du Coin
- Google Actualités (lien de redirection)
- Chainalysis, analyse et réponse à l’exploit Binance
- BFMTV
- BBC News
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
