Des portefeuilles liés au piratage présumé de Binance ont reçu des dizaines de milliers d'ETH de contrats Uniswap et emprunté 19 762 ETH sur Aave contre environ 60 millions de dollars en USDT. Rien n'indique que l'une ou l'autre de ces applications ait été exploitée.

Au 22h07 UTC, environ 253 000 ETH — d'une valeur d'environ 570 millions de dollars — étaient détenus dans deux portefeuilles sans aucun transfert sortant. Contrairement aux stablecoins centralisés, l'ETH n'a aucun émetteur capable de geler l'actif.

Cette activité est survenue alors que l'attaquant derrière les portefeuilles drainant Binance utilisait des échanges décentralisés et des protocoles de prêt comme voies de sortie. Les registres Etherscan de 10 portefeuilles, dont huit sont étiquetés comme exploitants, montrent que l'attaquant présumé convertissait des stablecoins, que les émetteurs peuvent geler, en ETH, qu'aucun émetteur ne peut geler.

Les portefeuilles liés à la plus grande plateforme crypto au monde ont été drainés d'au moins 5,5 milliards de dollars plus tôt jeudi, le total continuant d'augmenter. Binance a déclaré enquêter sur un incident de sécurité sans confirmer si les fonds des utilisateurs étaient touchés. Les experts en sécurité estiment largement que la plateforme a bien été piratée. Si confirmé, l'incident serait le plus grand piratage de l'histoire des 18 ans de l'industrie crypto.

Les émetteurs de stablecoins Tether et Circle ont rapidement mis sur liste noire les adresses associées à l'attaquant présumé, gelant une partie des fonds et les rendant inaccessibles. En tant qu'émetteurs centralisés, les deux sociétés peuvent mettre des adresses sur liste noire afin que leurs jetons ne puissent plus circuler. Plus de 2 milliards de dollars en USDT et USDC ont été gelés à ce jour par différents fournisseurs de stablecoins. L'ETH n'a aucun émetteur, ce qui signifie que les fonds convertis en ETH avant un gel ne peuvent plus être bloqués de la même manière.

Les échanges ont été effectués via Uniswap, un échange décentralisé où les transactions sont réglées automatiquement sans qu'une société n'intervienne comme intermédiaire. Un portefeuille relais a reçu 20 940 ETH, d'une valeur de 45,58 millions de dollars, du contrat UniswapX d'Uniswap à 20h34 UTC. Un autre a reçu 3 552 ETH, d'une valeur de plus de 8 millions de dollars, à 20h47 UTC.

Deux portefeuilles ultérieurs ont reçu environ 18 085 ETH, d'une valeur d'environ 41 millions de dollars, de contrats Uniswap en lots de 7 444 ETH et 10 642 ETH. Ils ont également reçu environ 16 498 ETH, d'une valeur de 37,5 millions de dollars, en lots de 6 946 ETH et 9 552 ETH.

Aave, une application de prêt permettant aux utilisateurs de déposer des cryptos en garantie et d'emprunter d'autres actifs, a offert une seconde voie de sortie. Entre 20h57 et 21h01 UTC, un portefeuille a déposé 10 millions de dollars puis 50 millions de dollars en USDT. Contre ces dépôts, il a emprunté 3 271 ETH, d'une valeur de 7,43 millions de dollars, puis 16 491 ETH, d'une valeur de 37,47 millions de dollars. La voie de l'emprunt mène à la même destination que les échanges : les stablecoins déposés restent en garantie, tandis que l'ETH emprunté ne comporte aucun émetteur ayant le pouvoir de le geler.

Ces transactions ont conduit Odysseas Lamtzidi, fondateur de la société de cybersécurité Phylax Systems, à mettre en garde contre une « contagion en pleine effect ».

Update: They just approved AAVE. Contagion in full effect — Odysseus | phylax.systems (@odysseas_eth) October 29, 2026

Aave a depuis gelé ses marchés V3 sur le mainnet Ethereum, bloquant les nouveaux dépôts et emprunts. Cette mesure souligne une différence structurelle dans les réponses possibles de l'industrie : les émetteurs de stablecoins mettent des adresses individuelles sur liste noire, tandis que les protocoles décentralisés suspendent des marchés entiers.

Kamino, un protocole de finance décentralisée construit sur Solana, a également suspendu ses marchés Solana et Bitcoin par précaution. Kamino a indiqué ne pas être affecté par la situation de Binance et avoir temporairement suspendu les emprunts sur le marché SOL/BTC tout en surveillant les développements et en communiquant avec ses partenaires.

Kamino can confirm that it is currently unaffected by the ongoing Binance situation Out of an abundance of caution, we have temporarily paused borrowing in the SOL/BTC Market We are actively monitoring the situation and are in communication with various partners. Any further… — Kamino (@kamino) October 29, 2026

L'ETH s'est accumulé dans les portefeuilles de l'exploitant présumé plutôt que de continuer à circuler. Un portefeuille étiqueté Exploiter 8 détenait 195 460 ETH, d'une valeur de 444,2 millions de dollars, à 22h03 UTC. Un autre montant de 57 891,77 ETH, d'une valeur de 131,6 millions de dollars, était parvenu à un portefeuille étiqueté Exploiter 11. Ensemble, ces avoirs totalisaient environ 253 000 ETH, soit environ 570 millions de dollars.

Le second groupe de fonds est arrivé après quatre transferts en 28 minutes : de Exploiter 4 vers Exploiter 5, de 5 vers 6, de 6 vers 7 et de 7 vers 11.

L'attaquant a également échangé 36 millions de RLUSD, le stablecoin adossé au dollar de Ripple, contre 15 439 ETH. 52,54 millions de RLUSD supplémentaires restaient non gelés dans le portefeuille de détention, selon une mise à jour on-chain circulant sur X. Etherscan montrait le principal portefeuille récepteur détenant environ 88,5 millions de dollars en RLUSD à 20h41 UTC, correspondant à la somme de ces deux montants. Le gel ou non du RLUSD restant, le mouvement ou non de l'ETH accumulé, la réouverture ou non des marchés suspendus d'Aave et Kamino, et la communication ou non par Binance de l'impact sur les fonds des utilisateurs constituent les développements immédiats à surveiller.

Le co-CEO de Binance, Yi He, a indiqué que Ripple avait depuis gelé environ 200 millions de dollars en RLUSD, en plus des plus de 2 milliards de dollars en USDT et USDC gelés par les fournisseurs de stablecoins.

« Thanks to the Ripple team for promptly freezing approximately 200 million. User Funds are SAFU », a écrit Yi He sur X, en référence au fonds de réserve d'urgence de la plateforme.

« Ripple is closely monitoring reports of a potential exploit involving Binance and its attackers' RLUSD holdings and we are actively freezing affected funds », a déclaré Jack McDonald, senior vice president pour les stablecoins chez Ripple, dans un communiqué. « We're coordinating with relevant parties and stand ready to support any investigation and appropriate action to keep users protected. »

Ripple is closely monitoring reports of a potential exploit involving Binance and its attackers' RLUSD holdings and we are actively freezing affected funds. We're coordinating with relevant parties and stand ready to support any investigation and appropriate action to keep users… — Jack McDonald (@JackMcDonald) October 29, 2026

Tornado Cash, un mixer qui brouille la trace des paiements crypto, n'apparaît jusqu'ici que comme source de financement de l'adresse ayant préparé l'attaque.

Pour un aperçu de la façon dont des incidents de cette ampleur se sont déroulés par le passé, le piratage de Bybit constitue le précédent le plus récent : après cette attaque, le groupe Lazarus, lié à la Corée du Nord, avait converti 84,45 % de l'ETH volé en Bitcoin via Thorchain, un réseau d'échanges inter-chaînes, selon le CEO de Bybit. Le Monero, une crypto de confidentialité masquant l'identité des participants aux transactions, a bondi d'environ 6 % jeudi, suggérant une possible rotation vers cette crypto de confidentialité.

Source : https://decrypt.co/382194/binance-hack-exit-ramps-defi-exchange-ethereum