Binance affirme avoir couvert 90 % des quelque 6,3 milliards de dollars volés lors du piratage de jeudi, contre 80 % lors de sa précédente mise à jour. Si ce chiffre est confirmé, il dépasserait le vol de cryptomonnaies le plus important jamais enregistré — les quelque 1,5 milliard de dollars dérobés à Bybit en février 2025, une attaque également reliée par les enquêteurs à la Corée du Nord. La plateforme prévoit de reprendre les retraits le 1er novembre, précisant que le processus se fera par phases.

« Nous avons maintenant reconstitué 90 % des actifs volés, et nous nous engageons à couvrir les 10 % restants. Nos utilisateurs ne supporteront pas l'impact financier de cet incident », a déclaré le co-CEO Richard Teng sur X samedi (post).

Dans sa troisième et dernière mise à jour, Binance a indiqué que les 10 plus importants tokens affectés sont « intégralement adossés à 100 % ». Il s'agit de BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD et ZEC. Les 10 % restants se composent de tokens moins liquides hors de ce groupe et pourraient prendre plus de temps à reconstituer.

Les sources des fonds de remplacement

Binance a indiqué avoir utilisé trois sources pour remplacer les actifs volés : un déploiement partiel de son Secure Asset Fund for Users (SAFU), une partie de son fonds d'assurance Futures et sa trésorerie d'entreprise.

La société a ensuite confirmé dans un post sur X que le transfert SAFU était terminé, pointant un transfert de 7 499 BTC visible sur la blockchain. Le transfert peut être consulté via une adresse Bitcoin identifiée par Binance (explorateur de blockchain).

Le SAFU est une réserve d'urgence créée en juillet 2018 pour faire face notamment aux failles de sécurité. Il est détenu par Nest Clearing and Custody Limited, une chambre de compensation régulée à Abou Dabi. Binance a indiqué qu'elle reconstituerait le fonds à hauteur d'environ 1 milliard de dollars.

Le fonds d'assurance Futures protège les traders contre les pertes de déficit liées aux positions en faillite et limite les liquidations forcées, également connues sous le nom d'auto-deleveraging. Binance a précisé n'avoir libéré que le montant dépassant la taille requise du fonds, le solde restant constituant une exigence réglementaire. La plateforme a indiqué que le fonds demeure au-dessus du niveau de couverture requis, même si aucune plateforme d'échange ne peut totalement éviter l'auto-deleveraging.

Retraits et preuve de réserves

Binance a suspendu les retraits après l'attaque, qui, selon elle, a commencé lorsque ses hot wallets ont été compromises vers 20h05 UTC jeudi. Les hot wallets restent connectées à Internet pour traiter les transferts quotidiens, ce qui les expose davantage que le stockage à froid hors ligne que les plateformes utilisent généralement pour la majeure partie des fonds des clients. Les dépôts et les autres services non affectés sont restés opérationnels.

La plateforme avait auparavant indiqué que les retraits reprendraient sous 48 heures. Elle indique désormais que les retraits rouvriront par phases le 1er novembre.

Binance a également publié un nouveau snapshot de Preuve de Réserves réalisé à minuit UTC samedi. Les publications de preuves de réserves se sont généralisées parmi les grandes plateformes après l'effondrement de FTX en 2022. La preuve à divulgation nulle complète devrait prendre 40 à 50 heures à générer. La société a indiqué que les détenteurs des 10 tokens couverts pourront alors vérifier une couverture d'au moins 1:1, disponible selon ses estimations mardi. Dans une mise à jour antérieure, Binance avait indiqué que les résultats seraient prêts d'ici lundi.

L'enquête se poursuit

La première évaluation de Binance pointait vers l'ordinateur portable compromis d'un ingénieur. Sa deuxième mise à jour indiquait que l'enquête avait « mis au jour des points d'intrusion supplémentaires ». Teng a décrit une « attaque complexe » impliquant un ordinateur portable compromis et un logiciel malveillant conçu pour supprimer les preuves. Binance a déclaré n'avoir trouvé aucune preuve que les clés privées des portefeuilles avaient fuité. De telles clés, si elles sont compromises, donneraient à un attaquant le contrôle direct des fonds qu'elles protègent.

Selon Binance, environ 3 milliards de dollars des actifs volés ont été gelés on-chain. Les gelures on-chain reposent sur les émetteurs de tokens prenant en charge le blacklistage d'adresses — une capacité courante chez les émetteurs de stablecoins — tandis que les actifs sans émetteur, comme le bitcoin, ne peuvent pas être bloqués de cette manière. Ce chiffre est distinct des 90 % de remplacement, qui reflètent des actifs remplacés et non récupérés.

Les mises à jour de Binance n'ont pas identifié les responsables. TRM Labs et Chainalysis ont relié l'attaque à la Corée du Nord, selon un précédent rapport de TechNext24 (rapport). Binance a indiqué s'attendre à partager d'autres conclusions techniques dans les 48 heures suivant sa deuxième mise à jour et publiera un post-mortem complet.