Trois sociétés d'analyse blockchain ont attribué le piratage de Binance survenu cette semaine à la Corée du Nord, dont deux des plus importantes—TRM Labs et Chainalysis—désignant TraderTraitor, un groupe de pirates nord-coréen, comme responsable de ce qu'elles décrivent toutes deux comme le plus grand vol de cryptomonnaies jamais enregistré.

TRM Labs a indiqué avoir formulé cette attribution « avec un degré de confiance élevé », sur la base d'« renseignements robustes on-chain et off-chain ». La société chiffre le vol à environ 6,36 milliards de dollars, sortis des portefeuilles de Binance sur 10 blockchains, l'essentiel ayant quitté les fonds en environ 20 minutes à partir de 16 h 05, heure de l'Est, jeudi. Cela représente environ quatre fois le piratage de Bybit de 1,5 milliard de dollars de février 2025, que le FBI avait attribué au même groupe, a noté TRM.

Chainalysis, qui évalue le total à environ 6,4 milliards de dollars, a déclaré que la preuve la plus forte est apparue lorsque ses enquêteurs ont vu des fonds volés à Binance se mélanger en temps réel aux produits de l'exploit de Bitget du mois dernier, qui avait été attribué à des acteurs nord-coréens. Un porte-parole de Chainalysis a déclaré à CNN que la société avait « un degré de confiance élevé » quant au fait que la Corée du Nord était derrière le piratage.

Pangolin Intelligence, basée à Singapour, a également indiqué à CNN qu'elle estimait qu'une unité de pirates nord-coréenne était responsable, sur la base de « l'analyse de l'activité on-chain liée à ce piratage et de sa corrélation avec les informations recueillies lors d'incidents connus antérieurs ». La Corée du Nord a par le passé nié les accusations de piratage.

Comment l'attaque s'est déroulée

TRM et Chainalysis ont toutes deux indiqué que le portefeuille opérationnel de l'attaquant avait été financé via Tornado Cash, un mixer de cryptomonnaies. TRM a déclaré que cela, ainsi que d'autres éléments—notamment une préparation ayant commencé bien avant le vol—correspondait à des attaques antérieures liées à la Corée du Nord, telles que le piratage de Bybit et l'exploit de KelpDAO d'avril.

Sur Ethereum, l'attaquant a utilisé une délégation EIP-7702—une fonctionnalité introduite dans la mise à niveau Pectra d'Ethereum qui permet à un portefeuille ordinaire d'exécuter du code de contrat intelligent—pour transformer un hot wallet de Binance (un portefeuille connecté à Internet) en un « sweeper » sous son contrôle, avec 50 autorisations pré-signées préparées à l'avance, selon TRM. Un sweeper transfère automatiquement tous les fonds envoyés à une adresse. Les portefeuilles de Binance sur les neuf autres blockchains ont envoyé des fonds à l'attaquant par des transferts signés ordinaires. Selon l'évaluation de TRM, cela pointe vers une compromission de l'infrastructure de signature des hot wallets de Binance.

Binance a indiqué que son enquête avait commencé avec l'ordinateur portable compromis d'un ingénieur, mais a depuis découvert « d'autres points d'intrusion ». L'attaque contre Bybit avait également commencé par une seule machine compromise : des pirates nord-coréens avaient implanté du code malveillant dans l'infrastructure du fournisseur de portefeuilles Safe après avoir compromis l'ordinateur d'un développeur de Safe, rapportait Decrypt à l'époque.

Blanchiment rapide et gel des actifs

L'attaquant s'est employé à blanchir rapidement ce qu'il ne pouvait conserver. Chainalysis a indiqué observer des « schémas de blanchiment jamais vus auparavant », avec des milliers de transactions en très peu de temps, suggérant le recours à l'automatisation pour faire circuler les fonds à plusieurs reprises entre des adresses.

L'attaquant a également vendu de l'USDT à des teneurs de marché et emprunté de l'ETH contre de l'USDT sur le protocole de prêt Aave pour devancer les gels des émetteurs, selon TRM, et détient désormais plus de 420 000 ETH et 18 270 BTC—environ 2,4 milliards de dollars hors de portée de tout émetteur, puisque ni l'ETH ni le BTC n'ont de société émettrice capable de les geler.

Tether, Circle, Ripple et World Liberty Financial ont gelé environ 2,67 milliards de dollars de stablecoins, et le Security Council d'Arbitrum a gelé 8 426 ETH et 74,6 millions d'ARB, a précisé TRM. Binance évalue le total des fonds gelés à environ 3 milliards de dollars.

Binance s'engage à couvrir les pertes des utilisateurs

Binance a commencé à récupérer les actifs concernés pour les utilisateurs et continue de travailler avec les forces de l'ordre, les émetteurs, les sociétés d'intelligence blockchain et des partenaires du secteur pour tracer, geler et récupérer des fonds supplémentaires.

Binance has begun recovering affected assets for users and continues to work with law enforcement, issuers, blockchain intelligence firms and industry partners to trace, freeze and recover additional funds. The company has already publicly committed to cover losses through… pic.twitter.com/UqtBd37Fpj

— Binance (@binance) October 30, 2026

Dans une mise à jour publiée vendredi, la plateforme a indiqué avoir réservé plus de 6,34 milliards de dollars de fonds propres pour couvrir l'incident, dont 5 milliards déjà détenus dans les exacts jetons qui ont été volés. Elle achète le reste via des canaux de marché et de gré à gré, ce qui « peut prendre plus de temps car certains jetons peuvent avoir une faible liquidité », a précisé Binance. Ces chiffres n'incluent pas les actifs gelés. La rapidité avec laquelle ces achats pourront être achevés, l'ampleur complète de l'intrusion et la question de savoir si davantage de fonds volés pourront être gelés ou récupérés restent des questions en suspens tandis que l'enquête se poursuit.

« Nous traverserons cette tempête », a déclaré Binance.

Un adversaire de longue date

Les pirates nord-coréens ciblent la plateforme depuis longtemps. En août 2025, le directeur de la sécurité de Binance, Jimmy Su, avait déclaré à Decrypt que des attaquants nord-coréens tentaient chaque jour d'être recrutés chez Binance, et les avait qualifiés de menace la plus importante pour les entreprises du secteur crypto.

Mercredi—la veille du début du vol—le département du Trésor américain a sanctionné 10 individus et une entité pour des schémas de travailleurs informatiques nord-coréens ayant déplacé des millions de dollars en cryptomonnaies.