Le piratage de 6,3 milliards de dollars de Binance a fait trembler l'industrie des cryptomonnaies, démontrant jusqu'où des hackers soutenus par des États peuvent — et veulent — aller après une série d'incidents de cybersécurité de plus en plus graves, cette fois en frappant la plus grande plateforme d'échange de cryptomonnaies au monde.

TRM Labs, une société d'intelligence blockchain, était en première ligne des efforts pour stopper le vol, publiant un rapport dans la foulée de l'attaque. La société a été l'une des premières à attribuer la violation à TraitorTrader, un groupe de hackers nord-coréen, citant des preuves onchain et offchain « indiscutables ». Le même groupe était derrière le piratage de 1,5 milliard de dollars de Bybit en février 2025.

Dans un rapport post-mortem publié le 3 novembre, Binance a indiqué que les attaquants s'étaient fait passer pour des recruteurs afin d'installer un malware sur l'ordinateur professionnel d'un ingénieur, puis avaient utilisé un outil d'IA interne compromis pour accéder au service de signature de portefeuille de la plateforme.

Ari Redbord, directeur mondial des affaires publiques et gouvernementales de TRM Labs, a déclaré à Cointelegraph que, bien que la réponse coordonnée du secteur à l'attaque fût sans précédent, « nous n'allons faire qu'en voir bien davantage ».

Une réponse sans précédent de l'industrie

La rapidité et l'ampleur de la réaction de l'industrie figuraient parmi les éléments qui ont marqué Redbord. Tether a gelé 971,1 millions de tokens USDt (USDT) à peine 37 minutes après le prélèvement principal, et les émetteurs de stablecoins ont au total gelé des tokens d'une valeur d'environ 2,67 milliards de dollars, selon TRM.

« Rien de tel n'avait jamais été fait auparavant », a déclaré Redbord. « Ils ont pu récupérer 40 % des fonds dès le départ. »

La course pour intercepter les fonds volés avant que les hackers ne puissent les déplacer horsîne est un élément essentiel de la défense contre de telles attaques. Redbord a expliqué que le Beacon Network, un système de partage de renseignements lancé par TRM en 2025, a permis aux entreprises de se coordonner rapidement pour immobiliser les fonds avant de travailler à leur saisie.

« Normalement, je vois quelques alertes Beacon chaque jour, peut-être. Ces derniers jours, j'en ai vu, je ne sais pas, des centaines, voire un millier », a-t-il déclaré.

Cette poussée en faveur de la coordination intervient alors que Bloomberg rapportait le 4 novembre que la T3 Financial Crime Unit, formée par TRM avec Tron et Tether en septembre 2024, s'était dissoute fin août, des sources évoquant des réponses lentes et une mauvaise coordination. Tether a indiqué qu'elle continuerait de travailler avec TRM via Beacon. Ce rapport rappelle à quel point le dispositif de réponse rapide de l'industrie dépend de la coopération entre entreprises — et à quel point de tels arrangements peuvent être fragiles.

Bien que Redbord ait appelé à une plus grande coordination, il a averti que ces efforts pourraient peu dissuader de futures attaques. Il a souligné que le vol du 29 octobre commis par la Corée du Nord équivalait à environ un tiers du PIB du pays et représentait la moitié des 12,5 milliards de dollars volés par des hackers soutenus par des États depuis 2017. Même si les attaquants ne récupèrent qu'un milliard de dollars, le gain potentiel reste énorme, a-t-il fait valoir.

« La Corée du Nord continuera tant que ce sera efficace », a-t-il déclaré.

De la défense à l'offensive

Redbord a estimé que stopper de telles attaques exige une action offensive des gouvernements en réponse à l'utilisation par la Corée du Nord de hackers opérant comme un bras de l'État. Le rapport de TRM sur le déficit de capacités a révélé que l'écart entre les attaquants et les défenseurs en cybersécurité continue de se creuser, porté par l'adoption précoce par les hackers de technologies de pointe telles que l'IA. Il a déclaré que les forces de l'ordre et les équipes de conformité ont besoin de l'IA pour identifier et corriger les vulnérabilités aussi vite que les hackers peuvent les exploiter. La violation de Binance en offre une illustration : un faux message de recruteur a installé le malware, un outil d'IA interne compromis a ouvert le chemin vers l'intérieur, et le service de signature de portefeuille est devenu la cible.

« Chaque fois que la Corée du Nord pirate, nous devrions la pirater en retour », a-t-il poursuivi, appelant à des cyber-opérations offensives et à des actions contre les réseaux de blanchiment et les banques utilisés par les hackers pour convertir leurs gains. « C'est une cyberguerre », a-t-il déclaré.