Des pirates ont dérobé environ 6,3 milliards de dollars à Binance jeudi, dans ce qui constitue désormais le plus important vol de cryptoactifs jamais enregistré, éclipsant les 1,5 milliard de dollars volés à Bybit en février 2025. Des partenaires du secteur ont gelé environ 3 milliards de dollars d'actifs concernés, tandis que les clients de la plateforme attendent la réouverture des retraits.

La société d'analyse blockchain TRM Labs a fait remonter les premiers transferts non autorisés à environ 20 h 05 UTC jeudi, moment où les portefeuilles de Binance ont été vidés sur plusieurs blockchains. Les attaquants ont ciblé des hot wallets, que les plateformes maintiennent connectées à internet pour traiter les retraits. Devant rester en ligne en permanence, les hot wallets sont généralement considérées comme la partie la plus exposée de l'infrastructure d'une plateforme, et les grandes failles de sécurité ont souvent été centrées sur elles.

TRM Labs a attribué l'attaque au groupe nord-coréen TraderTraitor, le même acteur que le Federal Bureau of Investigation américain a tenu responsable du vol visant Bybit. Binance n'a pas publiquement confirmé l'identité des attaquants. Si cette attribution se confirme, les deux plus importants vols de cryptoactifs jamais enregistrés remonteraient à un seul et même groupe.

Les chiffres et le calendrier ci-dessous s'appuient sur la couverture en direct de Cointelegraph de l'incident et sur les déclarations ultérieures de la plateforme. L'enquête est en cours, et les montants des pertes ainsi que le calendrier de rétablissement sont susceptibles d'évoluer.

Binance réserve 6,34 milliards de dollars pour couvrir les pertes

Binance a indiqué avoir réservé plus de 6,34 milliards de dollars de fonds propres pour couvrir les pertes, dont 5 milliards de dollars déjà détenus dans les tokens concernés. Cette allocation exclut les actifs gelés, et la plateforme a précisé qu'elle achetait les tokens restants via des échanges et des transactions de gré à gré. Ensemble, les gels opérés par les partenaires et la réserve financée par l'entreprise illustrent les deux principaux leviers de rétablissement dans un vol de cette ampleur : intercepter les fonds volés au fur et à mesure de leur circulation dans l'écosystème, et reconstituer les soldes des clients à partir du bilan propre de la plateforme.

Un porte-parole a indiqué à Cointelegraph que les 5 milliards de dollars étaient sous la garde de Binance, mais a refusé de divulguer les adresses des portefeuilles, invoquant des raisons de sécurité. La société de sécurité CertiK a déclaré avoir besoin de plus d'informations pour vérifier ces avoirs de manière indépendante.

Le rôle de l'EIP-7702 sous surveillance

La mise à niveau EIP-7702 d'Ethereum a fait l'objet d'un examen attentif après que des attaquants l'ont utilisée pour vider un portefeuille de Binance. L'EIP-7702 est une fonctionnalité qui permet à un portefeuille d'autoriser un logiciel à agir en son nom. Le PDG de Blockaid, Ido Ben-Natan, a déclaré à Cointelegraph que des systèmes de signature compromis ont très probablement permis le vol.

Selon Ben-Natan, les attaquants auraient pu voler les fonds sans l'EIP-7702, mais cette fonctionnalité a pu les aider à contourner les mesures de protection et à vider les actifs en une seule opération.

Le co-PDG de Binance, Richard Teng, a indiqué que l'attaquant avait utilisé une délégation EIP-7702 pour obtenir le droit d'exécution sur une hot wallet sans passer par les contrôles d'approbation habituels de la plateforme. Un « mécanisme d'autodestruction » a détruit les outils et les traces, compliquant l'enquête, a-t-il précisé.

Binance a indiqué que les enquêteurs avaient également découvert des intrusions supplémentaires au-delà de l'ordinateur portable initialement soupçonné d'être compromis. Toutefois, la plateforme n'a signalé aucune preuve de fuite des clés privées des portefeuilles et a déclaré s'attendre à communiquer d'autres résultats techniques d'ici environ 48 heures.

« Pour être clair : l'attaquant n'a pas simplement utilisé les permissions d'un seul ingénieur, et il ne s'agissait pas d'une simple action en « un clic » », a déclaré Teng. « Notre enquête n'a attribué la responsabilité à aucun individu. »

Chainalysis a observé des milliers de transactions en rafale qui pourraient indiquer un blanchiment automatisé, les fonds circulant entre des adresses et revenant parfois à des portefeuilles utilisés précédemment.

Les utilisateurs attendent la réouverture des retraits

Le vol a ébranlé les cours des cryptoactifs et incité le prêteur décentralisé Aave à imposer un gel préventif des nouveaux dépôts et des emprunts. Aave a annoncé sur X que ses marchés ont rouvert vendredi après-midi, tandis que les retraits de Binance restaient suspendus.

Dans une mise à jour publiée vendredi sur X, Binance a indiqué viser une réouverture des retraits par étapes à partir du dimanche 1er novembre, sous réserve de l'achèvement des contrôles de sécurité. Les dépôts et les autres services non affectés sont restés opérationnels.

Dans une annonce officielle, la plateforme a également indiqué qu'elle prévoyait de réaliser un premier instantané de preuve de réserves dans les 12 heures suivant l'annonce, avec des résultats prêts d'ici lundi. Ce rapport est destiné à montrer les actifs détenus par Binance et la couverture des soldes des clients.

Dans une mise à jour publiée samedi, Binance a déclaré avoir reconstitué 90 % des actifs volés et être en bonne voie de rouvrir les retraits d'ici dimanche. Pris ensemble, la réouverture par étapes prévue à partir de dimanche, les résultats techniques promis d'ici environ 48 heures et les données de preuve de réserves attendues lundi constituent le calendrier auquel le rétablissement de la plateforme pourra être mesuré.