L'aspect le plus alarmant de ce qui a été décrit comme le plus grand vol de l'histoire de l'humanité est que la cryptographie a fonctionné exactement comme prévu. Personne n'a craqué une clé privée maîtresse dans la soirée du 29 octobre 2026. À la place, un attaquant aurait accédé à un conteneur de services interne via l'ordinateur portable compromis d'un ingénieur DevOps et aurait ordonné à l'infrastructure de signature de Binance de se vider elle-même.

En une vingtaine de minutes, 6,3 milliards de dollars ont disparu sur 10 blockchains, notamment Bitcoin, Ethereum, Solana et XRP. L'incident a dépassé le précédent record funeste établi en février 2025, lorsque le groupe Lazarus, de Corée du Nord, avait drainé environ 1,5 milliard de dollars de Bybit. L'incident de Binance a été rapporté ici : https://technext24.com/news/hackers-steal-6-3-bn-from-binance-crypto-heist/

Alors que les alertes on-chain se propageaient sur X, le cofondateur de Binance, Changpeng Zhao (CZ), a publié la première reconnaissance publique dans une publication d'une retenue notable : « User funds are safe! It does look like a hack on Binance. Appreciate the quick freeze from Tether ($971m) and Circle ($823m). » La publication est disponible à l'adresse https://x.com/cz_binance/status/2113029289155178716?a=_Um3FD_EavLoFhA6AWU\u0026s=19.

Quelques minutes plus tard, Zhao a ajouté : « I don't manage Binance (.com) anymore, but as a shareholder, I expect all user funds will be fully covered. »

Dès le vendredi 30 octobre, environ 3 milliards de dollars de stablecoins et de jetons volés avaient été gelés on-chain, soit moins de la moitié du montant total dérobé. Le FBI et TRM Labs avaient relié le vol avec un haut degré de confiance à l'unité TraderTraitor nord-coréenne.

L'attaque est survenue au moment où le marché absorbait 1,49 milliard de dollars de positions à effet de levier liquidées et où le Bitcoin passait sous les 78 000 dollars. Le PDG de Binance, Richard Teng, a réagi dans une allocution vidéo, promettant un filet de sécurité corporate de 6,34 milliards de dollars.

« We are committed to covering all hacked losses through our company funds. Your assets are safe », a déclaré Teng, insistant sur le fait que le drain n'avait touché que les hot wallets corporate. « We never use any customer funds, so they are not impacted. »

Cependant, considérer le vol de Binance comme un échec isolé de la crypto passe à côté du schéma plus large. Le drain du 29 octobre était le final d'un effondrement mondial de la cybersécurité ayant duré 31 jours. Tout au long de ce qui est devenu l'« octobre noir », les périmètres défensifs protégeant les serveurs web, les banques et les infrastructures d'actifs numériques ont cédé en même temps.

La fissure fondatrice PHP2Shell

Sept jours avant que les portefeuilles de Binance ne soient vidés, Zhao avait publié un avertissement sur X qui s'est avéré prophétique. « Call me paranoid, but be extra careful visiting ANY website in the next few days, as some web admins are not always up-to-date with security patches », a-t-il écrit le 21 octobre, en référence à deux vulnérabilités nouvellement divulguées dans PHP. Le rapport associé est disponible à l'adresse https://technext24.com/policy-and-tech/nigeria-php2shell-cybersecurity-response/.

Le lendemain, il a poursuivi avec une maxime d'ingénierie : « No crypto wallet is 100% safe. No software is bug-free. No tech is 100% secure. » Sa deuxième publication est disponible à l'adresse https://x.com/cz_binance/status/2113462904435642556?a=jQb9RLbCOmUH6MqtmH8\u0026s=19.

Les vulnérabilités à l'origine de l'avertissement de Zhao étaient connues sous le nom de PHP2Shell et référencées comme CVE-2026-109618 et CVE-2026-109619. Ces deux bugs mémoire de type use-after-free présentaient une gravité critique de 9,2 selon le CVSS v4.0 et touchaient toutes les installations par défaut du runtime PHP de la version 5.4 à la version 8.5.11.

PHP propulse environ 70 % de l'infrastructure côté serveur de l'internet. Les vulnérabilités permettaient à des attaquants non authentifiés d'exécuter du code à distance et d'exposer la mémoire du serveur, y compris les jetons de session, les clés privées TLS et les mots de passe de base de données, avant même que le code applicatif d'un site ne s'exécute.

L'exploitation aurait commencé aux alentours du 17 octobre, quatre jours avant que le PHP Group ne publie des correctifs d'urgence le 21 octobre. Les versions corrigées étaient 8.5.12, 8.4.27, 8.3.36 et 8.2.35, les versions que les opérateurs des serveurs concernés devaient installer pour fermer cette brèche. Le CTO de Cloudflare, Dane Knecht, a immédiatement signalé « early attacks emerging » et a averti que les pare-feux applicatifs web ne constituaient qu'une solution temporaire.

« This is a goldmine for hackers », a déclaré Shahak Shalev, directeur mondial des recherches sur les arnaques et l'IA chez Malwarebytes. « They can hijack real websites to take advantage of the site's reputation to do things like phishing people and serve malicious software from the trusted channel. The opportunities are endless. »

Les plateformes d'échange de crypto et les fintechs modernes construisent souvent leurs systèmes centraux en Go, Rust ou TypeScript. Toutefois, les chercheurs en sécurité de Halborn ont noté que PHP reste largement utilisé pour les sites marketing, les portails d'assistance et les panneaux d'administration back-office qui entourent ces systèmes. Beaucoup de ces services contiennent des clés API actives et des secrets de webhook.

Alors que cette infrastructure web sous-jacente était sous pression, des acteurs malveillants ont passé le mois d'octobre à récolter des identifiants et à compromettre des institutions sur tous les continents.

En Afrique du Sud, la société de pathologie Ampath Laboratories a été attaquée par le groupe ransomware ByteToBreach. Le même acteur malveillant avait auparavant ciblé des institutions nigérianes, notamment Sterling Bank et la Corporate Affairs Commission (CAC), plus tôt dans l'année. ByteToBreach a revendiqué l'exfiltration de 80 millions de dossiers de patients.

Des attaquants ont également ciblé des entreprises de la finance traditionnelle et de la distribution. En Corée du Sud, des pirates ont utilisé un outil d'IA chinois pour compromettre 16 entreprises financières d'ici le milieu du mois, volant 68 000 dossiers. Ils ont ensuite ciblé Daishin Securities, exposant 38 490 dossiers, ainsi que Mirae Asset et le groupware interne de la plateforme d'échange crypto Bithumb le 28 octobre.

En Italie, des fraudeurs ont utilisé un clone vocal généré par IA de trois minutes imitant un avocat pour convaincre des dirigeants de Fideuram, la branche banque privée d'Intesa Sanpaolo, de transférer 108 millions de dollars vers des comptes étrangers. Au Japon, la société IT GMO Internet a fait l'objet d'une demande de rançon de 50 millions de dollars après la compromission de ses serveurs de change et cloud. Le distributeur MUJI a exposé 27,26 millions de dossiers clients, tandis que Cathay Pacific a perdu 53 000 dossiers de réservation lors d'une intrusion chez un fournisseur.

Le secteur des actifs numériques a subi des incidents supplémentaires avant l'attaque contre Binance. Le fabricant de portefeuilles matériels Ledger a révélé le 12 octobre que des implants LTE eSIM malveillants cachés dans des appareils vendus via le revendeur tiers CryptoBilis avaient siphonné 86 millions de dollars de fonds d'utilisateurs.

Le 20 octobre, le fabricant de portefeuilles concurrent Keystone a indiqué avoir dû détruire 18 835 appareils invendus après qu'une intrusion dans un outil de suivi tiers a exposé 25 964 dossiers d'acheteurs et une clé de vérification de fabrication. Entre le 28 et le 29 octobre, Coinbase a confirmé que des données clients avaient été exposées via le fournisseur d'analytique Amplitude. Le marché de prédiction Polymarket a suspendu les échanges internationaux après qu'un script détourné du fournisseur britannique de surveillance DebugBear a drainé 2,65 millions de dollars de plus de 700 comptes.

Trois mutations structurelles

Trois mutations structurelles aident à expliquer pourquoi des défaillances de sécurité sont apparues simultanément dans le système mondial en octobre 2026.

Premièrement, la subversion des flux de travail remplace de plus en plus le vol direct de clés. Comme l'a écrit Zhao le 21 octobre, « AI doesn't need to break Bitcoin's cryptography to cause damage; leaked data already enables more phishing, social engineering, etc. »

Chez Binance, les attaquants n'auraient pas volé les clés privées. Ils ont compromis le poste de travail d'un ingénieur, accédé à un conteneur de services qui demande des retraits et exploité la confiance implicite de la couche de signature dans ce conteneur. Après avoir obtenu l'accès, ils ont utilisé la fonctionnalité EIP-7702 d'Ethereum, une capacité protocolaire permettant aux comptes blockchain ordinaires d'acquérir une programmabilité semblable à celle des smart contracts, pour automatiser le drain multi-chaînes en quelques minutes.

Deuxièmement, l'IA offensive est devenue autonome. En octobre, des groupes cybercriminels ont déployé des plateformes d'IA agentique construites sur des grands modèles de langage commerciaux, des systèmes autonomes capables d'enchaîner des tâches multiples avec une supervision humaine minimale, pour scanner les serveurs PHP2Shell non corrigés, automatiser des prises de contrôle d'Active Directory via les sauvegardes ConnectWise et cibler plus de 400 institutions financières en Amérique latine et en Asie plus vite que les équipes humaines ne pouvaient les corriger.

Troisièmement, le périmètre entourant les fournisseurs tiers s'est effondré. Le script DebugBear de Polymarket et le traceur Amplitude de Coinbase figuraient parmi les outils externes utilisés pour atteindre les entreprises touchées. Les fuites d'identifiants cloud chez Railway et LiteLLM ont illustré la même faiblesse : des organisations ont été à plusieurs reprises compromises par des outils ajoutés à leur pile technologique.

Octobre noir a démontré qu'un fonds de réserve d'un milliard de dollars et un stockage à froid de qualité militaire ne peuvent pas protéger un écosystème lorsqu'un seul serveur PHP non corrigé, un script fournisseur empoisonné ou l'ordinateur portable d'un ingénieur compromis peut ordonner à un coffre de se vider.