🔬 Analyse technique : comment ils ont dérobé 6,3 milliards de dollars à Binance en 20 minutes — sans voler de clé de portefeuille ?

$BTC Ce n’est pas un simple article d’actualité. C’est une analyse détaillée de l’attaque survenue dans la nuit du 29 octobre, étape par étape, à partir de sources officielles et d’analyses on-chain — en distinguant clairement les faits confirmés de ceux qui ne le sont pas.

⏱ Chronologie — minute par minute, en UTC

- Au moins 36 heures avant l’attaque : la préparation avait commencé, selon TRM Labs, et l’attaquant avait pris le contrôle du portefeuille chaud de Binance

- 20:05 : les fonds ont commencé à sortir — la majeure partie est partie en une vingtaine de minutes

- 20:20 : une seule transaction comportant 50 autorisations, chacune signée par le portefeuille chaud de Binance et redirigeant les fonds vers un contrat de balayage qui n’accepte les instructions que de l’opérateur

- Résultat préliminaire : environ 6.36 milliards de dollars ont quitté les plateformes sur 10 chaînes, selon TRM Labs. Binance estime l’impact à environ 6.3 milliards, et Chainalysis évalue le montant volé à environ 5.912 milliards au moment du vol — l’écart s’explique par des méthodes de calcul et des horaires différents, ce ne sont pas deux chiffres totalement contradictoires

🔑 La faille : un ordinateur portable, pas une clé

Selon l’enquête préliminaire de Binance :

- L’ordinateur portable d’un ingénieur DevOps a été compromis

- Cette compromission a permis d’accéder à un conteneur de service, puis d’envoyer des demandes de retrait non autorisées

- Selon l’entreprise, rien n’indique à ce jour qu’une clé privée de portefeuille ait été divulguée

- Binance affirme avoir découvert par la suite d’autres points d’intrusion et précise que les conclusions sont préliminaires — le rapport technique complet est promis à l’issue de l’enquête

Cette distinction est importante : l’attaquant n’a pas compromis le portefeuille lui-même, mais le chemin qui y mène. Le portefeuille a exécuté des ordres qui semblaient légitimes parce qu’ils étaient signés depuis l’intérieur du système.

⚙️ Pourquoi Ethereum a-t-il été le plus durement touché ? EIP-7702

Sur Ethereum, l’attaquant a utilisé EIP-7702 — une fonctionnalité de la mise à jour Pectra de mai 2025 qui permet à un portefeuille ordinaire de transférer le contrôle à un contrat intelligent.

En bref : le portefeuille ordinaire s’est temporairement comporté comme un contrat intelligent, et c’est le contrat qui a redirigé les fonds. Cela ne signifie pas qu’EIP-7702 a été compromise : l’attaquant a exploité son accès pour utiliser un outil légitime à des fins malveillantes.

Ethereum a subi le plus gros choc : environ 3.79 milliards de dollars, dont environ 200,630 ethers, 1.875 milliard de Tether, 823 millions de Circle et 88.5 millions de Ripple USD, selon le suivi de TRM Labs. Pour le Bitcoin : 18,270 bitcoins, soit environ 1.47 milliard de dollars.

🧊 Pourquoi les stablecoins ont-ils été gelés, contrairement au Bitcoin et à l’Ethereum ?

Parce que les contrats des stablecoins centralisés disposent d’une fonction de blocage d’adresse. L’émetteur peut empêcher une adresse donnée de déplacer ses jetons.

- Tether : 971.1 millions de Tether gelés à 21:01, et plus de 1.567 milliard au total à 21:25 ; TRM en dénombre environ 1.77 milliard sur plusieurs chaînes

- Circle : 823 millions de Circle gelés à 21:04

- Ripple : 40.5 millions de Ripple USD gelés à 22:01, après que l’attaquant en a vendu 48 millions sur des plateformes décentralisées

- World Liberty : 27.8 millions de dollars USD1 gelés, ainsi que 48 millions de jetons World Liberty

- Conseil de sécurité d’Arbitrum : 8,426 ethers et 74.6 millions d’Arbitrum, soit environ 30 millions de dollars, transférés vers un portefeuille gelé par décision de gouvernance

Quant au Bitcoin et à l’Ethereum natifs : aucun émetteur ne peut les geler. Ici, le gel ne peut fonctionner qu’à la suite d’une décision du réseau ou de gouvernance, comme dans le cas d’Arbitrum.

Résultat : environ 3 milliards gelés selon Binance, et environ 2.7 milliards selon le décompte de TRM — les quelque 2.4 milliards restants sont hors de contrôle, dont des bitcoins répartis en lots de 1,000 et 100 bitcoins, et environ 420,000 ethers.

🏃 La course à la fuite : pourquoi l’attaquant a-t-il payé plus de 10 % de plus ?

L’attaquant a échangé environ 325 millions de Tether contre de l’Ethereum via UniswapX, en payant plus de 10 % au-dessus du prix du marché.

Ce n’est pas de la bêtise — c’est le prix de la vitesse. Chaque minute de retard signifiait un nouveau gel. L’Ethereum ne peut pas être gelé : c’était donc la seule issue avant que Tether et Circle ne le rattrapent.

❓ Qui est l’attaquant ? Ce qui est confirmé et ce qui ne l’est pas

- Aucune attribution officielle de Binance : l’entreprise n’a publiquement désigné aucun responsable, et aucun gouvernement n’a officiellement attribué l’attaque à ce jour

- Analyse de TRM Labs : attribution avec un haut niveau de confiance à TraderTraitor, l’unité nord-coréenne liée au groupe Lazarus et à APT38, également accusée du vol de 1,5 milliard de dollars chez Bybit en février 2025

Cette distinction est importante : il s’agit d’une attribution analytique, pas d’une annonce officielle de Binance. Ne la présentez pas comme un fait confirmé par l’entreprise.

🛡 Qu’a fait Binance ensuite, et qu’est-ce que cela signifie pour vous ?

- Elle a temporairement suspendu les dépôts et les retraits, puis révoqué l’autorisation de l’adresse concernée

- Elle prévoit la reprise des retraits sous 48 heures, après la sécurisation du service de retrait et des adresses associées

- Elle affirme que les fonds des utilisateurs sont en sécurité et que les pertes sont couvertes par le fonds SAFU et les fonds de l’entreprise, avec une preuve de réserves mise à jour après les réparations

- Binance achète des cryptomonnaies alternatives pour un montant équivalent à celui des fonds volés, en préparation de la preuve de réserves, selon Yi He

La leçon technique en trois points :

- Le point de défaillance le plus dangereux n’est pas le portefeuille froid, mais les autorisations de retrait et les services qui y sont connectés

- La centralisation est une arme à double tranchant : elle a permis le gel rapide, mais c’est aussi elle qui a fait d’un seul ordinateur portable une porte d’entrée vers 6 milliards

- La transparence sur la blockchain a rendu possibles le suivi et le gel — le vol était visible à chaque instant

Qu’est-ce que tout cela signifie ? Le vol n’a pas consisté à casser le chiffrement, mais à contourner les contrôles d’accès et les autorisations, dans une course entre le gel centralisé et la fuite décentralisée — le gel a remporté la moitié de la course, mais l’autre moitié reste hors de contrôle.

Maintenant que vous savez que le gel a permis de récupérer environ 3 milliards, mais qu’il ne peut pas arrêter le Bitcoin et l’Ethereum, vous préférez une plateforme qui peut geler rapidement les fonds ou un portefeuille privé que personne ne peut geler ? Écrivez « plateforme » ou « portefeuille » 👇

Sources : déclarations officielles de Binance, TRM Labs, Chainalysis, Tether, Circle, BleepingComputer, The Hacker News, Cointelegraph — 30 octobre 2026

#بايننس #Actualités_crypto