Des attaquants ont drainé la majeure partie d'environ 6,3 milliards USD depuis les hot wallets de Binance en une vingtaine de minutes, et la séquence complète du casse est désormais disponible sous forme de chronologie. Selon la société d'analyse blockchain TRM Labs, les voleurs ont fait signer les transactions par le propre système de signature de l'échange.

Un échange de cryptomonnaies conserve une partie des fonds de ses clients dans des hot wallets qui restent en ligne pour traiter les retraits, le reste étant stocké hors ligne en cold storage. Chaque retrait passe d'abord par une infrastructure de signature qui vérifie les requêtes par rapport aux politiques internes ; ce n'est qu'ensuite qu'elle les signe avec les clés des hot wallets. Quiconque contrôle cette couche n'a donc pas besoin de clé privée du tout. Binance a signalé le vol le 29 octobre 2026 et a cité d'autres points d'entrée le lendemain.

Le schéma ressemble étroitement au piratage de Bybit de février 2025, où la couche d'approbation avait également défailli, sans qu'aucun bug de contrat ne soit en cause. TRM attribue l'attaque à la Corée du Nord avec un degré de confiance élevé. Dans sa reconstitution de l'attaque, elle évalue la perte à 6,36 milliards USD répartis sur dix chaînes. Elliptic, en revanche, aboutit à 6,43 milliards USD sur onze chaînes, chaque actif étant valorisé au moment du transfert. Un rapport sur la cause racine promis par l'échange devrait préciser la cause exacte.

36 heures de préparation via Tornado Cash

Les préparatifs ont commencé au moins 36 heures avant le vol. À partir du 28 octobre 2026, un wallet opérateur nouvellement créé a reçu de petits montants via le mixer Tornado Cash — trois retraits de 0,1 ETH chacun, selon Elliptic. Aux alentours de 16h00 UTC le 29 octobre 2026, les attaquants ont déployé le contrat sweeper sur la blockchain. Le programme draine les soldes en masse et n'accepte des commandes que du wallet opérateur. Selon la société de sécurité Immunefi, il ne compte qu'environ 130 lignes de code.

Plus tôt dans la même journée, les attaquants avaient testé une première version du code sur deux wallets. Environ quatre heures avant l'attaque, ils ont répété la version finale sur un troisième wallet, après quoi les fonds de test sont revenus à l'opérateur. Les attaquants ont donc vérifié le code deux fois et l'ont répété une fois. TRM y voit le même schéma que dans le piratage de Bybit et l'attaque contre KelpDAO en avril 2026.

Comment le piratage de Binance s'est déroulé, minute par minute

Dans un premier communiqué, Binance a désigné l'ordinateur portable, possiblement compromis, d'un ingénieur DevOps comme point d'entrée. Via cette machine, les attaquants auraient accédé à un conteneur de service et soumis des retraits non autorisés ; selon cette version, aucun signe de fuite de clés privées n'était initialement apparent. Le 30 octobre 2026, however, l'échange a signalé d'autres points d'entrée et décrit une attaque complexe qu'aucune personne seule n'avait menée. Binance n'a pas encore précisé lesquels, de sorte que l'ordinateur portable demeure une première affirmation non prouvée.

Les sorties de fonds ont commencé à 20h05 UTC le 29 octobre 2026 sur le XRP Ledger. À 20h09, cinq wallets Binance y avaient envoyé 233,46 millions de XRP — d'une valeur d'environ 296 millions USD — vers une seule adresse, chaque wallet s'arrêtant à son solde minimum. Peu après 20h10, Solana a suivi avec 970 500 SOL, ainsi qu'Optimism. À 20h20, le hot wallet Bitcoin a envoyé 18 270 BTC d'une valeur d'environ 1,47 milliard USD ; une soi-disant peel chain a scindé le montant en tranches de 1 000 et 100 BTC au sein du même bloc. Au même moment, le hot wallet Tron perdait 612,7 millions de USDT et 46,4 millions de TRX en deux minutes. Avec le sweep Ethereum à 20h24, la phase principale avait duré environ 20 minutes. Enfin, une seconde vague a touché Avalanche et Polygon vers 23h05.

TRM tire sa conclusion centrale de cette séquence. Prise isolément, la délégation Ethereum pourrait ressembler à du phishing. Or, les attaquants ont drainé neuf autres chaînes par des transferts signés ordinaires, sans aucune délégation. TRM en conclut donc que le système de signature des hot wallets a lui-même signé pour l'attaquant. Les données d'Elliptic confortent cette lecture : un second hot wallet Ethereum nommé « Binance 16 » dispose de sa propre clé, et il a envoyé 28 006 ETH et d'autres tokens directement à l'attaquant, pour un total de 174 millions USD au moment du vol.

Comment 50 autorisations ont déverrouillé le sweeper

Sur Ethereum, les attaquants ont utilisé une fonctionnalité introduite avec la mise à jour Pectra en mai 2025. Selon EIP-7702, un wallet classique signe une autorisation pointant vers un smart contract, puis exécute son code. La signature ne couvre que le chain ID, l'adresse cible et le nonce — pas la transaction individuelle. Le nonce est le compteur du compte. Ni le destinataire ni le montant ne font partie de la signature, et n'importe qui peut soumettre une telle autorisation. La spécification elle-même avertit que la délégation donne au code un accès sans restriction au compte.

À 20h20:59 UTC, les attaquants ont soumis une transaction comportant 50 autorisations. Chacune portait une signature de la clé du wallet « Binance 14 » et pointait vers le sweeper. Autant étaient nécessaires car le nonce doit correspondre exactement, tandis que le rythme élevé des retraits faisait avancer le compteur. La série couvrait les nonces 18 914 775 à 18 914 824 ; au final, seul le nonce 18 914 809 est passé, et le réseau a écarté les 49 autres. TRM interprète la série comme un signe d'accès à durée limitée ou d'un passage par un système de requêtes.

À 20h24:23 UTC, l'attaquant a ensuite appelé le sweeper via Binance 14. Une seule transaction a drainé 167 464 ETH et 63 tokens — dont environ 1,6 milliard de USDT — pour une valeur totale d'environ 2,5 milliards USD.

La délégation est restée active ensuite, car EIP-7702 la maintient jusqu'à la prochaine autorisation. La spécification le justifie par commodité, les utilisateurs n'ayant pas à configurer de nouveaux contrats en permanence. Ici, toutefois, cette même propriété a permis de nouveaux sweeps de dépôts fraîchement reçus sans nouvelle signature. Ils ont suivi à 20h41, 21h04, 22h39 et 23h56 UTC, entre autres. Binance 14 n'a révoqué la délégation qu'à 00h10 UTC le 30 octobre 2026 — près de quatre heures plus tard.

Via le wallet compromis, les attaquants ont également donné des instructions à un autre wallet Binance et en ont drainé 823 millions de USDC. Selon TRM, ce second wallet est un smart account distinct. Au total, Binance a perdu 3,79 milliards USD sur Ethereum selon le décompte de TRM.

La course contre les gel des stablecoins

Les stablecoins tels que USDT, USDC et RLUSD ont un émetteur central capable de geler des adresses individuelles. Bitcoin et Ether ne disposent pas d'une telle autorité ; seuls un échange qui gèle les fonds entrants ou des autorités ayant accès aux clés peuvent les arrêter. Or, Tether et Circle n'ont gelé les premières adresses qu'environ une heure après le début des sorties.

Selon Elliptic, les attaquants ont échangé 434 millions de USDT contre 160 451 ETH via Uniswap, 1inch et des teneurs de marché, en acceptant une décote de 12 à 26 % sous le prix du marché — ce qu'Elliptic interprète comme une priorité donnée à la rapidité sur la valeur. Au moment des premiers gels, environ 786 millions USD en stablecoins avaient déjà été convertis en ETH et TRX.

Un second wallet d'attaquant s'est également tourné vers le protocole de prêt Aave. Il y a déposé 59,9 millions de USDT en collatéral et emprunté 19 762 ETH d'une valeur d'environ 44 millions USD. Par conséquent, le USDT gelable se trouve désormais dans le pool Aave, tandis que l'ETH est resté chez l'attaquant. Aave a gelé les marchés concernés par précaution et les a depuis rouverts ; les positions restent entièrement collateralisées.

Sur Tron, les attaquants ont échangé 234 millions de USDT sur SunSwap contre 638 millions de TRX. Selon Elliptic, le principal wallet de blanchiment y a exécuté 546 transferts de TRX à un intervalle médian de 96 secondes. Dans sa propre analyse, Chainalysis classe le schéma de transactions sur Tron comme automatisé : de nombreuses adresses reçoivent d'abord exactement 1 TRX, puis le montant qu'elles transfèrent ensuite. Elliptic ne peut toutefois pas dire si des agents d'IA jouent un rôle.

TRM évalue la part non gelable restante à environ 2,4 milliards USD en Bitcoin et Ether. En incluant XRP et TRX aux prix actuels, Elliptic aboutit à 3,21 milliards USD. Le bitcoin est réparti sur 19 adresses via une peel chain et n'a pas encore atteint de service. Les analystes s'attendent donc à ce que les ponts, les services d'échange et les desks OTC constituent la prochaine étape.

Les contrôles que les échanges doivent ajouter

Les recommandations de TRM ciblent précisément ces points faibles. Les échanges devraient rejeter les autorisations EIP-7702 inattendues, et traiter les demandes de nombreuses autorisations sur une plage de nonces comme un signe de compromission. TRM recommande en outre de séparer l'infrastructure de signature et les chemins d'approbation par chaîne et par niveau de wallet. Sur les wallets de trésorerie, toute délégation est une alarme immédiate, car une adresse qui ne devrait contenir aucun code en héberge soudain.

Chez Binance, selon l'échange, la délégation n'est pas passée par les approbations normales, et la révocation n'est intervenue qu'après près de quatre heures. Pour ce scénario précis, TRM conseille donc un processus de révocation testé et préapprouvé. Simone Imbrescia, Vice-President d'Immunefi, voit elle aussi la faiblesse dans la couche opérationnelle, l'attaque n'ayant nécessité que peu de code on-chain.

Binance n'a pas encore révélé le point d'entrée initial. L'échange maintient les retraits suspendus, prévoit une réouverture progressive et remanie son système de retraits. En plus du rapport sur la cause racine, il vise également un rapport proof-of-reserves pour le 2 novembre 2026.

D'après un reportage de Crypto Valley Journal.