Le vol de 6,3 milliards de dollars commis contre Binance le 29 octobre est le plus grand cambriolage de cryptomonnaies jamais enregistré. Dans les jours qui ont suivi, les groupes de sécurité, les enquêteurs on-chain et les assureurs ont chacun publié de nouveaux détails qui, mis bout à bout, montrent comment l'attaque s'est déroulée et ce qu'il est advenu des fonds.

🚨 NORTH KOREA-LINKED HACKERS MAY HAVE INFILTRATED BINANCE 8 WEEKS BEFORE THE $6.3 BILLION HACK. According to cybersecurity group SEAL, attackers may have gained access to Binance's internal systems as early as September. The attack reportedly involved fake job interviews,… — Nehal (@nehalzzzz1) November 6, 2026

https://x.com/nehalzzzz1/status/2118731305768906983?ref_src=twsrc%5Etfw

De faux recruteurs et une fenêtre de huit semaines

Security Alliance, un groupe de cybersécurité à but non lucratif connu sous le nom de SEAL, a indiqué que des pirates liés à la Corée du Nord avaient compromis en septembre l'appareil d'un ingénieur logiciel de Binance. Selon le groupe, les intrus sont entrés par le biais d'un faux schéma de recrutement, et il estime la fenêtre d'intrusion à environ huit semaines avant l'exploitation.

Comment l'attaque s'est déroulée

Binance a communiqué une chronologie plus longue. Un porte-parole a indiqué que les premières compromissions d'appareils sont survenues en juin et en septembre, mais que les attaquants n'ont obtenu l'accès nécessaire pour atteindre les opérations de portefeuille que le 20 octobre. SEAL a précisé que son chiffre de huit semaines ne couvre que la période de septembre à octobre et ne s'étend pas au début de la campagne plus large décrite par la plateforme.

La brèche de juin a commencé lorsqu'un autre employé a téléchargé une installation de Homebrew falsifiée alors qu'il tentait de configurer un outil de codage IA. Binance a détecté l'incident, remplacé l'appareil et renouvelé les identifiants concernés, mais entre-temps, les attaquants avaient déjà collecté des informations sur le personnel travaillant sur l'infrastructure des portefeuilles.

Le 20 octobre, les attaquants ont utilisé l'ordinateur compromis de l'ingénieur et un outil IA interne pour prendre le contrôle des appareils de deux ingénieurs de l'infrastructure des portefeuilles. Ils ont ensuite localisé un jeton de permission de déploiement, utilisé lors de l'exploitation du 29 octobre.

SEAL a identifié au moins quatre sociétés écrans liées aux campagnes de faux recrutement en 2026 : citalab.net, citalab.com, bitfit.io et oddium.io. Le groupe a indiqué que des schémas multi-étapes similaires étaient apparus dans d'autres vols. Il estime que les attaquants ont disposé d'environ six semaines d'accès avant le piratage de Bitget de 388 millions de dollars, d'environ six semaines d'accès à LayerZero avant la faille à l'origine de l'exploitation de Kelp DAO de 293 millions de dollars, et d'environ trois semaines avant l'exploitation AFX de 24 millions de dollars.

Le FBI a attribué l'attaque au groupe TraderTraitor, lié à la Corée du Nord. Kim Yo Jong, sœur du dirigeant nord-coréen Kim Jong Un, a rejeté ces accusations.

Fonds gelés et réaction du marché

Sentora, une société d'analyse DeFi, a décrit la réponse comme le plus grand gel d'actifs on-chain coordonné de l'histoire de la DeFi. Circle a bloqué 823 millions d'USDC dans un seul portefeuille avant que l'attaquant ne puisse les déplacer. Ripple a gelé environ 40 millions de dollars en RLUSD, et World Liberty Financial a gelé 27 millions de dollars en USD1 ainsi que 48 millions de jetons WLFI. Les seuls gel de stablecoins totalisent environ 890 millions de dollars. Bitcoin et Ether ne disposent d'aucun émetteur capable de bloquer les fonds de cette manière ; Sentora a recensé 18 270 BTC et plus de 420 000 ETH parmi les avoirs de l'attaquant après l'endiguement.

Les marchés de prêt DeFi ont enregistré 1,59 milliard de dollars de sorties nettes en une seule journée, soit environ 3 % de la valeur totale verrouillée. Environ 60 % de ces fonds sont revenus en trois jours, et Sentora n'a constaté aucune créance douteuse dans les marchés qu'elle a évalués. À titre de comparaison, l'exploitation de Kelp DAO en avril a déclenché 10,9 milliards de dollars de retraits en cinq jours, soit environ 21 % de la valeur de prêt verrouillée, aucun de ces fonds n'étant revenu durant cette période. Sentora a attribué cette différence à l'emplacement des actifs endommagés : la perte de Binance est restée sur la plateforme d'échange, tandis que l'actif de Kelp servait de garantie sur les marchés de prêt.

Elliptic a indiqué qu'environ 1 650 BTC, d'une valeur de 124 millions de dollars, avaient été convertis à partir d'autres actifs volés au 6 novembre, soit presque le double du chiffre de la veille. L'essentiel de cette croissance provenait de XRP échangés via THORChain. Les 18 270 BTC d'origine sont restés intacts sur 19 adresses. La société d'analyse a comptabilisé plus de 20 000 portefeuilles et 65 000 transactions sur 16 blockchains, avec environ 3,11 milliards de dollars toujours présents sur des adresses liées au vol.

Binance restaure la plupart des actifs concernés

Binance a indiqué le 4 novembre avoir remplacé environ 98 % des actifs concernés en utilisant ses propres ressources. Les 2 % restants concernent des jetons moins liquides, qu'elle achète via les canaux de marché et de gré à gré. Le 5 novembre, elle a demandé à la DAO d'Arbitrum d'approuver la restitution de 8 425,997 ETH et de 74 559 805,2 ARB, un processus qui devrait prendre environ 49 jours. Ces deux éléments — le rachat et l'approbation de la DAO — restent les points en suspens de l'effort de remplacement.

Les assureurs examinent la question de plus près

Reuters a rapporté vendredi que les assureurs interrogent plus étroitement leurs clients crypto. Jacqueline Quintal, de Marsh, ne s'attend pas à des changements significatifs en matière de tarification, de couverture ou de capacité, mais les assureurs pourraient demander à leurs clients de corriger leurs vulnérabilités, et de nombreuses polices excluent les attaques soutenues par des États — une exclusion pertinente au regard de l'attribution par le FBI de ce vol au groupe TraderTraitor, lié à la Corée du Nord.

Cet article est initialement paru sur CoinCentral.