Binance a confirmé le 30 octobre 2026 le vol de plus de 6,3 milliards de dollars en cryptomonnaies, répartis sur dix blockchains différentes, après la compromission du poste de travail d’un ingénieur. Il s’agit du plus important piratage de l’histoire des plateformes d’échange de cryptomonnaies, loin devant les 1,5 milliard de dollars dérobés à Bybit en février 2025. Deux sociétés spécialisées en analyse blockchain, TRM Labs et Elliptic, pointent une piste nord-coréenne, sans confirmation officielle à ce stade.
Que s’est-il passé chez Binance ? #
Selon le compte-rendu d’incident de Binance, rapporté par TechCrunch, l’enquête interne a établi qu’un attaquant a d’abord compromis l’ordinateur portable d’un ingénieur. Cet accès a permis d’atteindre un conteneur de service interne, puis de soumettre des transactions de retrait non autorisées depuis les portefeuilles chauds (hot wallets) de la plateforme.
Binance affirme n’avoir trouvé aucune preuve que ses clés privées aient fuité, ce qui orienterait vers un abus des mécanismes de signature existants plutôt que vers un vol direct de clés. L’entreprise a suspendu l’ensemble des dépôts et retraits pendant l’investigation et assure que « les fonds des utilisateurs sont en sécurité », une affirmation qu’elle n’a pour l’instant pas démontrée publiquement. Elle annonce la publication prochaine d’une preuve de réserves actualisée une fois la remédiation terminée.
Comment l’attaque s’est-elle déroulée ? #
D’après le rapport de TRM Labs, le vol s’est déroulé en moins de quatre heures, le 29 octobre entre 20h05 et 23h56 UTC. Sur Ethereum, l’attaquant a fait signer au portefeuille chaud de Binance 50 autorisations de délégation EIP-7702 pointant vers un contrat sous son contrôle. Chacune étant associée à un nonce de transaction différent, l’une d’entre elles restait garantie de rester valide au moment de l’exécution.
Une transaction exécutée environ trois minutes plus tard a transféré 167 464 ETH et 63 jetons, dont 1,615 milliard de USDT. Sur les neuf autres blockchains touchées (Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Optimism, Base, Avalanche et Polygon), aucune délégation de ce type n’a été utilisée : les fonds ont transité par des transferts signés de façon classique. TRM Labs en déduit que l’infrastructure de signature des portefeuilles chauds de Binance a probablement été compromise plus largement. Binance n’a pas publié de cause racine détaillée au-delà de la compromission du poste de l’ingénieur.
Quelle est la piste privilégiée par les enquêteurs ? #
TRM Labs attribue le vol au groupe nord-coréen TraderTraitor, déjà pointé du doigt par le FBI dans le piratage de Bybit, sur la base de recoupements on-chain et off-chain : petits retraits via Tornado Cash pour financer un portefeuille opérateur, préparation de l’attaque bien avant son exécution, et signatures collectées à l’avance puis exécutées en une seule salve. Ces méthodes rappellent le piratage de KelpDAO en avril 2026.
Elliptic confirme indépendamment la piste nord-coréenne et relève qu’une partie des fonds volés a transité par le même portefeuille que celui utilisé lors du piratage de 351,6 millions de dollars visant Bitget en septembre 2026, déjà attribué à des acteurs liés à la Corée du Nord. Cette attribution reste celle de sociétés privées d’analyse blockchain, non celle d’une autorité judiciaire : elle doit être lue comme une évaluation à haute confiance plutôt que comme une certitude établie.
Combien d’argent a été volé, et combien récupéré ? #
| Blockchain | Montant volé (estimation) |
|---|---|
| Ethereum | ≈ 3,79 Md$ (200 630 ETH et 185 jetons) |
| Bitcoin | 18 270 BTC (≈ 1,47 Md$) |
| Tron | ≈ 628 M$ |
| XRP Ledger | ≈ 296 M$ (233,46 M XRP) |
| Solana | ≈ 96 M$ |
| Arbitrum / Optimism / Base | ≈ 39 M$ |
| Avalanche | ≈ 28 M$ |
| Polygon | ≈ 10 M$ |
Binance indique avoir vu geler un montant vérifié de 2,54 milliards de dollars avant minuit UTC le jour de l’attaque. Tether a bloqué environ 1,77 milliard de USDT, Circle environ 825 millions de USDC, Ripple 40,5 millions de RLUSD et World Liberty Financial 27,8 millions de USD1. Le conseil de sécurité d’Arbitrum a par ailleurs forcé le transfert de 8 426 ETH et 74,6 millions de jetons ARB.
Avant ces gels, l’attaquant avait déjà écoulé environ 325 millions de USDT auprès de teneurs de marché, avec une décote de plus de 10 % par rapport au prix du marché : un signe de volonté de liquider rapidement le butin plutôt que d’en maximiser la valeur.
Quels risques pour les utilisateurs de Binance ? #
Les montants gelés concernent les adresses de l’attaquant, pas directement les comptes des utilisateurs. À ce stade, aucune communication publique ne détaille de plan d’indemnisation ni ne confirme que l’intégralité des avoirs clients sera couverte si une partie des fonds reste irrécupérable. L’historique du secteur, Binance en 2019, Bybit en 2025, montre que les grandes plateformes disposent généralement de réserves pour couvrir ce type de perte, mais la confirmation chiffrée reste attendue avec la preuve de réserves promise par Binance.
Pour les utilisateurs, le risque immédiat est aussi indirect : ce type d’incident est traditionnellement suivi d’une vague de phishing se présentant comme Binance, avec de fausses communications de remboursement ou de fausses demandes de vérification de compte.
Comment se protéger si vous utilisez une plateforme crypto ? #
- Ne cliquez sur aucun lien reçu par e-mail, SMS ou réseau social prétendant venir de Binance pour « sécuriser » ou « rembourser » votre compte : passez systématiquement par l’application officielle ou une adresse tapée vous-même.
- Activez une authentification à deux facteurs matérielle (clé FIDO2) plutôt qu’un simple code par SMS sur tout compte d’échange de cryptomonnaies.
- Limitez les sommes conservées sur une plateforme centralisée au strict nécessaire pour vos opérations courantes, et transférez le reste vers un portefeuille dont vous contrôlez seul les clés. Un stockage autonome n’élimine toutefois pas tous les risques si le matériel lui-même est compromis, comme l’a montré l'implant détecté sur des portefeuilles Ledger revendus par un intermédiaire non officiel.
- Vérifiez vos relevés d’activité et vos autorisations de retrait dans les jours qui suivent une annonce de ce type, même si votre compte personnel n’a pas été directement visé.
Le schéma de préparation patiente observé ici, petits retraits de financement puis exécution groupée, se retrouve aussi dans des campagnes ciblant directement les particuliers détenteurs de cryptomonnaies, comme la campagne WaterPlum qui utilisait de faux entretiens d’embauche.
L’avis du CSIRT #
Ce dossier n’est pas un cas isolé propre aux plateformes crypto. La chaîne de compromission décrite par Binance, un poste de travail d’ingénieur compromis donnant accès à un conteneur de service capable d’initier des opérations à haute valeur, est transposable à n’importe quelle organisation qui laisse un poste de travail standard atteindre directement une infrastructure sensible.
La priorité immédiate pour toute équipe sécurité est de vérifier que les systèmes qui déclenchent des opérations financières ou des changements à fort impact (signature de transactions, validation de paiements, déploiement en production) exigent une authentification renforcée depuis un poste dédié et cloisonné, et non depuis un poste de développement ou d’administration générique.
Côté détection, surveillez les écarts par rapport au comportement habituel plutôt que des signatures connues : une succession d’opérations à forte valeur en quelques minutes, en dehors des horaires ou des volumes habituels, doit déclencher une alerte même si chaque transaction prise isolément semble correctement autorisée. Le piège classique après ce type d’incident est de se concentrer sur le colmatage technique (révocation d’accès, rotation de clés) sans revoir la séparation des responsabilités : si une seule machine compromise suffit à initier des opérations de cette ampleur, le problème est aussi organisationnel. Après remédiation, vérifiez concrètement qu’aucun poste utilisateur standard ne conserve plus un accès direct à ces fonctions critiques.
Points clés #
Binance a confirmé le vol de plus de 6,3 milliards de dollars en cryptomonnaies sur dix blockchains, après la compromission du poste de travail d’un ingénieur ayant permis d’initier des retraits non autorisés depuis ses portefeuilles chauds. Deux sociétés d’analyse blockchain, TRM Labs et Elliptic, attribuent l’attaque au groupe nord-coréen TraderTraitor, sans confirmation officielle à ce stade. Environ 2,7 milliards de dollars ont été gelés grâce à l’intervention rapide des émetteurs de stablecoins, mais l’attaquant conserve encore plusieurs milliards de dollars d’actifs. Au-delà du secteur des cryptomonnaies, l’incident rappelle qu’un poste de travail compromis ne doit jamais pouvoir, seul, déclencher des opérations financières critiques.