Binance a confirmé une faille de sécurité majeure affectant environ 6,3 milliards de dollars d'actifs numériques, avec près de 3 milliards de dollars gelés, tandis que la plateforme d'échange de cryptomonnaies collabore avec les réseaux blockchain, les émetteurs de stablecoins et les forces de l'ordre pour endiguer ce qui pourrait devenir le plus grand vol de cryptomonnaies jamais enregistré.

L'annonce du 30 octobre faisait suite à des retraits suspects totalisant initialement 2,77 milliards de dollars sur cinq blockchains la veille au soir. Selon l'enquête préliminaire de Binance, les attaquants auraient compromis l'ordinateur portable d'un ingénieur DevOps, accédé à un conteneur de service interne et soumis des transactions de retrait non autorisées.

La plateforme a temporairement suspendu les dépôts et les retraits — une mesure de confinement standard dans le cadre d'une enquête de sécurité en cours — révoqué l'autorisation de l'adresse concernée et s'est engagée à couvrir l'intégralité des pertes via son Secure Asset Fund for Users (SAFU), une réserve d'urgence créée en 2018 et alimentée par une partie des frais de trading, ainsi que ses fonds propres. Binance a indiqué que les soldes des clients restaient protégés, même si l'enquête n'a pas encore établi le montant final récupérable ni l'ampleur totale de la compromission.

L'ordinateur portable d'un ingénieur compromis lié à la faille de Binance

L'incident a commencé à attirer l'attention le 29 octobre, lorsque des chercheurs blockchain ont détecté des transferts inhabituellement importants depuis des portefeuilles associés à Binance vers des adresses situées en dehors de l'infrastructure de garde publiquement identifiée de la plateforme. Les premiers rapports faisaient état de sorties d'environ 2,77 milliards de dollars (Crypto Adventure).

Le traçage ultérieur a révélé un incident bien plus important. L'annonce de sécurité du 30 octobre de Binance a évalué l'impact estimé à 6,3 milliards de dollars, soit une escalation significative par rapport aux chiffres préliminaires.

Le point d'entrée suspecté était l'ordinateur portable compromis d'un ingénieur DevOps. Les enquêteurs estiment que l'attaquant a utilisé cet accès pour atteindre un conteneur de service capable de soumettre des instructions de retrait non autorisées. Binance n'a trouvé aucune preuve que les clés privées des portefeuilles aient été directement exposées, ce qui suggère que l'attaque aurait exploité des permissions opérationnelles internes plutôt qu'un vol classique de clés privées. Cette distinction est importante car elle déplace la question de la sécurité de la garde des clés vers les systèmes d'autorisation internes sur lesquels les plateformes s'appuient pour déplacer les fonds des clients — précisément les systèmes que l'enquête n'a pas encore entièrement expliqués.

Environ 6,36 milliards de dollars ont été déplacés sur 10 blockchains pendant l'incident, selon l'analyse on-chain de TRM Labs. La majorité de l'activité s'est déroulée sur une période d'environ 20 minutes à partir de 20h05 UTC le 29 octobre.

Les transferts ont impliqué Ethereum, Bitcoin, Tron, XRP Ledger et Solana, ainsi que des mouvements plus modestes sur plusieurs autres réseaux. Sur Ethereum, les enquêteurs ont identifié l'utilisation de la délégation de compte EIP-7702, qui aurait permis à un contrat contrôlé par l'attaquant de rediriger des fonds depuis un hot wallet de Binance, le type de portefeuille connecté à Internet dont les plateformes dépendent pour traiter les retraits courants. EIP-7702 est un mécanisme Ethereum permettant certaines fonctions de délégation de compte.

D'autres réseaux affectés ont montré des transactions signées classiques, soulevant des questions sur la manière dont les systèmes d'autorisation de retrait internes de Binance ont été accédés. La relation exacte entre ces techniques on-chain et l'appareil de l'employé compromis fait toujours l'objet d'une enquête.

Tether, Circle et des partenaires blockchain gèlent 3 milliards de dollars

Plusieurs grands émetteurs de cryptomonnaies ont pris des mesures pour bloquer les actifs associés à l'attaquant présumé. Tether a gelé plus de 1,567 milliard d'USDT liés à l'incident, tandis que Circle a bloqué plus de 800 millions d'USDC en coordination avec les enquêteurs.

Ripple aurait également restreint environ 200 millions de dollars d'actifs concernés, et World Liberty Financial a gelé environ 27 millions de dollars en jetons USD1. Des mesures supplémentaires ont impliqué des fournisseurs d'infrastructure blockchain, dont le Security Council d'Arbitrum, qui a restreint les actifs liés à l'exploitation.

Ensemble, ces mesures ont contribué à environ 3 milliards de dollars d'actifs gelés, selon les derniers chiffres confirmés par Binance. Le gel d'actifs empêche leur transfert via les contrats de jetons ou les réseaux concernés — une capacité que détiennent au niveau des contrats les grands émetteurs de stablecoins comme Tether et Circle — mais ne signifie pas nécessairement que les fonds ont été restitués à Binance.

L'exposition restante est considérable. Sur la base de l'estimation préliminaire de 6,3 milliards de dollars de la plateforme, environ 3,3 milliards de dollars se situent en dehors du montant gelé déclaré. Ce chiffre ne correspond toutefois pas nécessairement à la perte finale irrécupérable, car les efforts de traçage et de récupération se poursuivent.

Binance a fait appel aux forces de l'ordre, aux émetteurs de jetons et aux sociétés de renseignement blockchain pour tracer des fonds supplémentaires et empêcher tout nouveau mouvement. La plateforme s'est également engagée à reconstituer les pertes via sa réserve d'urgence SAFU et ses fonds propres, tout en promettant une mise à jour de sa preuve de réserves une fois la remédiation achevée.

Un groupe de pirates nord-coréen lié à l'attaque

L'enquête a soulevé des inquiétudes quant à une possible implication de cybercriminels nord-coréens. TRM Labs a attribué l'attaque à TraderTraitor, une opération de piratage liée à la Corée du Nord associée à des vols sophistiqués de cryptomonnaies. La société a exprimé un haut degré de confiance dans son évaluation, fondée sur l'activité blockchain et d'autres renseignements.

Ce lien suspecté est significatif compte tenu de l'historique de la Corée du Nord dans le ciblage des plateformes de cryptomonnaies. En février 2025, des pirates liés au pays avaient dérobé environ 1,5 milliard de dollars à Bybit lors d'une attaque qui avait exposé les faiblesses de la sécurité des portefeuilles institutionnels — un vol qui constituait alors le plus grand piratage de cryptomonnaies jamais enregistré avant cet incident. Le dernier incident fait également suite à la faille de septembre affectant le portefeuille de Bitget, impliquant 387,5 millions de dollars, dans laquelle des identifiants d'accès internes compromis avaient permis des commandes de retrait non autorisées sans exposer directement les clés privées — un schéma qui rappelle étroitement les mécanismes suspectés de la faille de Binance.

Pour Binance, les priorités immédiates restent la protection des soldes des clients, la sécurisation de l'infrastructure opérationnelle et la récupération des actifs affectés. Le cofondateur Changpeng Zhao, qui a quitté son poste de directeur général en 2023, a reconnu que l'incident semblait être un piratage et a exprimé sa confiance dans le fait que les clients seraient intégralement couverts, dans un poste sur X.

L'incident a également pesé sur les marchés des cryptomonnaies, le Bitcoin passant sous les 79 000 dollars lors de la réaction initiale et le BNB enregistrant une baisse plus marquée alors que les traders évaluaient les conséquences opérationnelles et financières potentielles pour la plateforme. Binance n'a pas annoncé de calendrier confirmé pour le rétablissement des dépôts et des retraits.

Un post-mortem technique complet est attendu une fois l'enquête terminée. Il devrait apporter des éclaircissements supplémentaires sur le point d'entrée de l'attaque, les systèmes affectés et les défaillances d'autorisation de retrait.

La part des quelque 3,3 milliards de dollars restants qui sera finalement récupérée, la reprise des dépôts et des retraits et les révélations du post-mortem détermineront la manière dont l'ampleur finale de l'incident sera mesurée. Alors que des milliards de dollars font toujours l'objet d'efforts de traçage et de récupération, l'impact financier final reste incertain. Cette faille figure déjà parmi les incidents de sécurité les plus graves de l'histoire des plateformes d'échange de cryptomonnaies, et son ampleur pourrait dépasser tous les vols de cryptomonnaies précédemment enregistrés si les chiffres préliminaires sont confirmés.