Binance piratée : 6,3 milliards de dollars déplacés, la Corée du Nord soupçonnée

En une soirée, des pirates ont fait sortir l'équivalent de 6,3 milliards de dollars de portefeuilles associés à Binance. La plateforme a confirmé l'incident vendredi 30 octobre 2026 et suspendu les retraits pendant ses vérifications. Plusieurs enquêteurs spécialisés désignent déjà un groupe de pirates lié à la Corée du Nord. Mais une question essentielle mérite d'être posée avant de parler de pertes de 6,3 milliards : quelle part de ces fonds les attaquants peuvent-ils encore utiliser ?

Selon TRM Labs, qui a retracé les transactions sur les blockchains, les mouvements frauduleux se sont concentrés sur une vingtaine de minutes dans la soirée du jeudi 29 octobre, avant d'autres sorties de fonds. Le montant dépasse de très loin le précédent record établi lors du piratage de Bybit en février 2025. L'enquête sur la manière dont les attaquants ont obtenu les autorisations nécessaires est encore ouverte.

À retenir

• 6,3 milliards de dollars : l'estimation des actifs concernés communiquée par Binance, et non un bilan définitif des sommes irrécupérables.
• Environ 3 milliards de dollars gelés, selon Binance, grâce à l'action d'émetteurs de cryptomonnaies et de partenaires du secteur.
• TraderTraitor, groupe associé à la Corée du Nord, est désigné par TRM Labs et d'autres analystes. Cette attribution n'est pas encore une conclusion judiciaire publique sur l'attaque de Binance.
• Les retraits ont été suspendus pendant les contrôles de sécurité. Binance promet de couvrir les pertes, mais la résolution complète de l'incident reste à vérifier.

Une attaque menée sur plusieurs blockchains

L'incident ne se limite pas à un portefeuille ou à une seule cryptomonnaie. TRM Labs affirme avoir suivi des transferts depuis des portefeuilles de Binance sur dix blockchains, notamment Ethereum, Bitcoin, Tron, Solana et le XRP Ledger.

D'après cette analyse, l'opération principale débute le 29 octobre vers 20 h 05 UTC, soit 21 h 05 en France métropolitaine. Des fonds sont envoyés vers des adresses contrôlées par les attaquants. Environ vingt minutes suffisent pour l'essentiel du détournement ; d'autres transferts interviennent plus tard. L'estimation de TRM atteint 6,36 milliards de dollars au moment des transactions. Elle varie ensuite avec le cours des actifs.

Les chiffres les plus élevés concernent Ethereum et Bitcoin. Pour mesurer l'ampleur de l'opération, TRM recense notamment des sorties totalisant 18 270 bitcoins et plusieurs milliards de dollars d'actifs présents sur Ethereum. Le groupe aurait préparé certaines étapes de l'attaque au moins 36 heures à l'avance, notamment en effectuant des essais avant le déclenchement des transferts massifs.

Le caractère spectaculaire du montant ne doit pas masquer le fait technique central : ces transactions semblaient suffisamment autorisées pour être exécutées par les systèmes de signature des portefeuilles concernés.

Comment les pirates ont-ils pu obtenir ces autorisations ?

Dans son communiqué officiel du 30 octobre, Binance indique que l'ordinateur portable compromis d'un ingénieur DevOps pourrait avoir permis à un attaquant d'entrer dans un conteneur de service, puis de soumettre des retraits non autorisés.

Un ingénieur DevOps intervient notamment sur les outils qui permettent de faire fonctionner et de déployer des services informatiques. Un conteneur est un environnement d'exécution isolé : s'il est compromis et dispose d'accès sensibles, il peut devenir un relais vers d'autres composants. Cela ne signifie pas, à lui seul, que cet ingénieur a commis une faute ou qu'il connaissait l'attaque.

Binance précise n'avoir trouvé aucune preuve de fuite des clés privées de ses portefeuilles. Cette formule est importante : elle décrit l'état de son enquête, pas une garantie absolue que toute compromission est exclue. La plateforme a ensuite évoqué plusieurs points d'intrusion et une attaque plus complexe que ne le laissait penser la première hypothèse.

De son côté, TRM Labs examine les transactions elles-mêmes. Sur Ethereum, ses analystes décrivent l'utilisation d'une fonction appelée EIP-7702, qui permet à un compte, après autorisation, d'exécuter temporairement du code de contrat intelligent. Selon TRM, les pirates auraient exploité des autorisations signées à l'avance pour prendre la main sur le fonctionnement d'un portefeuille actif, ou hot wallet, c'est-à-dire un portefeuille relié à l'infrastructure nécessaire aux transactions courantes.

La société signale 50 autorisations préparées et observe aussi des transferts signés de façon classique sur d'autres réseaux. Elle soupçonne donc une compromission de l'infrastructure capable de faire signer les transactions, au-delà du seul poste informatique évoqué initialement.

Ces éléments ne permettent pas encore de reconstituer avec certitude toute la chaîne de l'intrusion. Binance a annoncé un rapport technique après la fin de ses investigations.

6,3 milliards détournés, mais combien définitivement perdus ?

C'est la distinction décisive de cette affaire. Un actif transféré frauduleusement n'est pas nécessairement un actif définitivement récupéré par son voleur.

Certains jetons, notamment des stablecoins adossés au dollar, peuvent être gelés par leurs émetteurs. Concrètement, les pirates peuvent toujours voir ces jetons sur une adresse, mais ne plus être en mesure de les déplacer. À l'inverse, du bitcoin ou de l'ether détenu directement par l'attaquant ne peut pas, en règle générale, être immobilisé par un simple ordre adressé à un émetteur central.

Binance indique avoir fait geler près de 3 milliards de dollars d'actifs. Dans son premier état des lieux, TRM Labs détaillait environ 2,7 milliards de dollars d'actifs bloqués sur les réseaux qu'elle avait analysés. Les deux chiffres ne sont pas nécessairement contradictoires : ils ne correspondent pas au même instant ni forcément au même périmètre de confirmation.

TRM estimait parallèlement qu'environ 2,4 milliards de dollars en bitcoins et en ethers restaient hors de portée des mécanismes de gel des émetteurs à l'heure de son relevé initial. Cette estimation évoluera au fil de la localisation et des mouvements des fonds. Elle ne constitue ni une clôture des comptes ni une preuve que toutes les autres sommes ont été récupérées.

Il serait donc trompeur d'affirmer dès aujourd'hui que Binance a définitivement perdu 6,3 milliards de dollars. Il serait tout aussi trompeur de considérer que les trois milliards gelés sont déjà revenus dans ses caisses : gel, récupération effective et indemnisation des clients sont trois étapes différentes.

Pourquoi les soupçons se portent sur la Corée du Nord

TRM Labs attribue l'attaque au groupe TraderTraitor avec un degré de confiance qu'elle présente comme élevé. Elle invoque des indices issus des transactions visibles sur les blockchains, mais aussi des renseignements recueillis hors chaîne. D'autres spécialistes, dont Chainalysis, ont publiquement rapproché cette opération des campagnes attribuées à ce groupe.

Cette piste repose notamment sur la préparation en amont, la mise en place de moyens pour déplacer les actifs et des similarités avec des détournements antérieurs. Le détail de toutes les preuves indépendantes n'a toutefois pas été rendu public. L'attribution doit donc être présentée comme l'évaluation d'analystes spécialisés, pas comme l'identité définitivement établie des auteurs.

L'antécédent est documenté. Le FBI américain a officiellement attribué à TraderTraitor le vol d'environ 1,5 milliard de dollars subi par Bybit en février 2025. C'est ce précédent qui donne une portée particulière aux accusations actuelles. Il ne suffit cependant pas, à lui seul, à démontrer la responsabilité du même groupe dans l'affaire Binance.

Que risquent les utilisateurs de Binance ?

Binance affirme que les fonds de ses clients sont protégés et qu'elle prendra en charge les pertes, en mobilisant son fonds de protection SAFU et ses ressources propres. Elle a également annoncé qu'elle publierait une preuve de réserves actualisée après les opérations de remédiation. Ces engagements sont ceux de Binance ; leur réalisation complète devra être constatée.

Les retraits ont été interrompus pour sécuriser les systèmes, tandis que des communications ultérieures de l'entreprise ont indiqué que les dépôts fonctionnaient. Binance a évoqué une reprise des retraits dans les jours suivant l'incident, sans qu'il faille transformer cet objectif en garantie d'ouverture à une heure précise.

Pour les clients, le premier risque concret est donc l'indisponibilité temporaire de leurs avoirs, même lorsque leur solde affiché n'a pas changé. Le second est la confusion : dans les heures qui suivent un piratage de cette ampleur, de faux comptes de support, demandes de vérification et prétendues procédures de remboursement peuvent chercher à soutirer des identifiants ou des fonds.

Aucune demande de transfert vers une nouvelle adresse, de phrase de récupération ou de paiement de « frais de déblocage » ne doit être considérée comme légitime sur la seule foi d'un message reçu. Les utilisateurs ont intérêt à consulter directement les annonces et l'assistance accessibles depuis le site officiel, sans passer par un lien reçu par messagerie.

Les questions encore ouvertes

À ce stade, quatre vérifications permettront de mesurer la portée réelle de la crise :

• La cause exacte : comment l'attaquant est-il passé d'un ou plusieurs points d'entrée à l'autorisation de retraits sur différentes blockchains ?
• Le bilan financier final : quelles sommes sont simplement gelées, lesquelles sont effectivement récupérées et quelle part restera irrécupérable ?
• La sécurité des services : les retraits pourront-ils reprendre durablement après des contrôles indépendants et une remise à niveau de l'infrastructure ?
• L'attribution de l'attaque : les indices techniques permettront-ils aux enquêteurs et aux autorités de confirmer publiquement l'identité des responsables ?

Le piratage de Binance montre surtout qu'une sécurité reposant sur plusieurs couches peut être mise en échec si un attaquant obtient la capacité d'ordonner ou de faire signer des opérations à grande échelle. Dans l'immédiat, la transparence du rapport technique promis par la plateforme sera aussi importante que le montant finalement récupéré.

Sources et méthode

Cette synthèse a été vérifiée le 30 octobre 2026, à partir du communiqué de Binance, du traçage publié par TRM Labs, de l'alerte officielle du FBI sur Bybit, ainsi que des recoupements de Reuters et de l'AFP. Les montants et informations opérationnelles peuvent évoluer ; les évaluations des enquêteurs privés sont distinguées des déclarations de Binance et des conclusions officielles.

Dans la rubrique Tech :

Partager cet article

WhatsAppFacebookLinkedInXCopier le lien