Binance a entièrement reconstitué les quelque 6,34 milliards de dollars de cryptomonnaies volées lors de l'incident de sécurité du 29 octobre, tandis que les autorités américaines ont obtenu l'autorisation judiciaire de saisir ou de geler plus de 1,2 milliard de dollars des actifs volés, lesquels ont été liés à des hackers nord-coréens.

La plateforme a achevé le remplacement des actifs des clients concernés le 12 novembre, en mobilisant des fonds d'entreprise, des réserves d'urgence et des ressources d'assurance pour couvrir les pertes. Un nouveau snapshot de preuve de réserves couvrant 198 cryptomonnaies a également été publié, bien que sa vérification cryptographique complète reste en attente.

Cette reconstitution intervient deux semaines après que des attaquants ont soutiré environ 6,3 milliards de dollars des hot wallets de Binance, déclenchant des restrictions d'urgence sur les retraits et l'une des plus grandes opérations coordonnées de gel d'actifs de l'histoire des cryptomonnaies. La réponse s'est déployée sur deux fronts — l'indemnisation des clients financée par la trésorerie et le gel d'actifs multi-agences — une combinaison devenue courante dans la manière dont l'industrie et les forces de l'ordre traitent les plus grands vols du secteur.

Binance achève la reconstitution des actifs, les retraits restent limités

Binance a financé le remplacement des actifs volés grâce à son Secure Asset Fund for Users (SAFU) — le fonds d'assurance d'urgence créé en 2018 — ainsi qu'à l'excédent de capital de son fonds d'assurance des futures et à sa trésorerie d'entreprise. Environ 98 % des actifs concernés avaient déjà été restaurés plus tôt dans le mois, la part restante se composant principalement de cryptomonnaies moins liquides nécessitant des achats supplémentaires sur les marchés au comptant et via des transactions de gré à gré.

Les divulgations de preuve de réserves sont devenues une pratique industrielle répandue après l'effondrement de FTX fin 2022, lorsque les grandes plateformes ont commencé à publier des attestations cryptographiques afin que les clients puissent confirmer que leurs soldes sont adossés. Le snapshot de réserves du 12 novembre couvre 198 jetons et vise à permettre aux clients de vérifier que leurs avoirs sont adossés à hauteur d'au moins 1:1. Cependant, la preuve à divulgation nulle complète n'était pas disponible lorsque Binance a annoncé la reconstitution. Sa génération devait nécessiter 40 à 50 heures supplémentaires, ce qui signifie que la vérification indépendante du dernier snapshot restait en suspens.

Binance s'est également engagée à restaurer le SAFU à environ 1 milliard de dollars après avoir mobilisé le fonds d'urgence. Les retraits continuent de rouvrir par phases, plutôt que de retrouver une disponibilité complète sur tous les réseaux pris en charge. Les étapes restantes du rétablissement comprennent la publication de la preuve à divulgation nulle achevée et le retour à une disponibilité complète des retraits sur tous les réseaux pris en charge.

La plateforme a souligné que le remplacement des actifs des clients est distinct de la récupération des cryptomonnaies volées, laquelle reste soumise aux efforts continus de traçage sur la blockchain et aux actions des forces de l'ordre.

Les États-Unis gèlent 2,7 milliards de dollars liés aux hackers nord-coréens

Le département américain de la Justice a obtenu l'autorisation judiciaire de saisir ou de geler plus de 1,2 milliard de dollars d'actifs Binance volés le 12 novembre. Ce montant s'inscrit dans un total de plus de 2,7 milliards de dollars gelés grâce à des efforts coordonnés impliquant des enquêteurs fédéraux, des plateformes de cryptomonnaies et d'autres partenaires du secteur privé. Les ordonnances judiciaires n'établissent pas qu'une partie des fonds ait déjà été restituée à Binance. Les opérations de gel de ce type sont devenues une première étape routinière dans les grands dossiers de vol de cryptomonnaies, bien que la conversion des ordonnances judiciaires en actifs restitués puisse prendre des années de procédures.

Le FBI avait précédemment attribué l'attaque à l'opération TraderTraitor nord-coréenne — un programme suivi publiquement par les agences américaines depuis 2022 — qui a exploité des systèmes internes compromis pour initier des transferts non autorisés sur plusieurs blockchains. L'enquête préliminaire de Binance a remonté l'intrusion à des appareils d'employés compromis, à des identifiants volés et à un accès à son infrastructure de signature de wallets. Les attaquants ont également exploité le mécanisme d'autorisation EIP-7702 d'Ethereum, une fonctionnalité introduite lors de la mise à jour Pectra du réseau en mai 2025 permettant aux wallets standard d'agir temporairement comme des contrats intelligents, pour déplacer des fonds indépendamment des systèmes de retrait habituels de la plateforme.

Les opérateurs nord-coréens ont continué de tenter de blanchir le produit du vol via des ponts de cryptomonnaies, des mixers et des plateformes d'échange ; les enquêteurs américains et des Nations unies ont repeatedly relié ces campagnes de vol au financement de l'État. Les efforts antérieurs de récupération comprenaient la sécurisation par Arbitrum d'environ 30 millions de dollars d'actifs Binance volés, sous réserve d'une approbation de gouvernance avant toute libération.

Le DOJ déjoue une separate arnaque nord-coréenne de 400 millions de dollars

Les enquêteurs américains ont également déjoué une campagne distincte d'ingénierie sociale nord-coréenne connue sous le nom de FaceStealer, responsable du vol de plus de 400 millions de dollars en cryptomonnaies au cours des 18 mois précédents. L'opération utilisait des comptes de messagerie compromis, des réunions vidéo frauduleuses et des deepfakes générés par IA pour tromper des professionnels des cryptomonnaies et leur faire installer des logiciels malveillants.

Les attaquants se faisaient fréquemment passer pour des contacts de confiance avant d'invoquer de faux problèmes techniques lors d'appels vidéo, persuadant les victimes de télécharger des logiciels malveillants donnant accès à leurs ordinateurs et à leurs avoirs en cryptomonnaies.

Le FBI a saisi l'infrastructure cloud soutenant la campagne et obtenu plus de 900 vidéos de webcam de victimes dans le cadre d'un mandat fédéral, combinant la saisie d'infrastructure avec la stratégie de gel d'actifs appliquée dans l'enquête principale sur le piratage. Les enquêteurs examinent également des tentatives de compromission des développeurs maintenant des logiciels open source, ce qui aurait pu donner aux attaquants un accès à des dépôts logiciels largement utilisés et à leurs utilisateurs.