Dans la soirée du 29 octobre 2026, Binance, la plus grande plateforme d’échange de cryptomonnaies au monde, a été victime du plus grand vol informatique de son histoire. Selon les données de plusieurs sociétés d’analyse de la blockchain, dont TRM Labs, Chainalysis et Elliptic, les attaquants ont dérobé en une vingtaine de minutes des actifs d’une valeur d’environ 6,3 à 6,4 milliards de dollars dans les portefeuilles chauds de Binance, sur au moins dix blockchains. Le montant dépasse de loin celui du vol de 1,5 milliard de dollars subi par Bybit en 2025.
L’enquête préliminaire de Binance indique que l’incident pourrait avoir commencé par le piratage de l’ordinateur portable d’un ingénieur DevOps. Les pirates auraient ensuite accédé à un conteneur de services et soumis des transactions de retrait non autorisées. Binance souligne qu’aucune fuite de clé privée de portefeuille n’a été constatée à ce stade. L’enquête a ensuite révélé « d’autres points d’intrusion », et la plateforme affirme qu’il ne s’agissait pas d’une opération qu’une seule personne aurait pu mener d’un simple clic. Binance s’est engagée à indemniser intégralement les utilisateurs pour leurs pertes, au moyen du fonds SAFU et des fonds de l’entreprise. Des actifs d’environ 3 milliards de dollars ont déjà été gelés sur la blockchain.
I. Une phase préparatoire d’au moins 36 heures, signe d’une organisation poussée
L’analyse on-chain de TRM Labs montre qu’il ne s’agissait pas d’une attaque improvisée :
• À partir de la matinée du 28 octobre, l’attaquant a fait recevoir à son portefeuille trois petits montants provenant de Tornado Cash.
• Tôt le 29 octobre, il a déployé une première version du code d’attaque et l’a testée sur deux portefeuilles.
• Plus tard le même jour, il a répété l’opération avec la version finale sur un troisième portefeuille, puis a renvoyé les fonds de test.
• Environ 4 heures après cette répétition, le même code a été installé sur le portefeuille chaud de Binance.
Sur Ethereum, l’attaquant a utilisé le mécanisme de délégation EIP-7702 et préparé à l’avance 50 autorisations pré-signées avec des nonces consécutifs, afin de garantir que l’une d’elles puisse prendre effet. Trois minutes plus tard, le balayage massif des portefeuilles a commencé. Cette méthode — « tester, répéter, puis tout rafler » — ressemble fortement à celle observée dans plusieurs affaires antérieures attribuées à des organisations liées à la Corée du Nord.
II. Flux des fonds et attribution
TRM Labs et Chainalysis attribuent toutes deux cette affaire, avec un « haut degré de confiance », à TraderTraitor, une unité de hackers nord-coréens d’élite liée au groupe Lazarus. Elles s’appuient notamment sur les méthodes de préparation, le schéma de financement via Tornado Cash et les retraits synchronisés sur plusieurs blockchains, qui correspondent à l’affaire Bybit de 2025, déjà attribuée au même groupe par le FBI.
Plus remarquable encore, l’enquêteur on-chain ZachXBT et Chainalysis ont découvert qu’une partie des fonds volés à Binance, après être passée par THORChain, avait rejoint la même adresse que des fonds provenant du vol d’environ 388 millions de dollars subi par Bitget en septembre 2026. Cette affaire avait déjà été attribuée au même groupe par plusieurs acteurs.
III. Le moment inhabituel des transactions sur options
C’est l’aspect qui retient actuellement le plus l’attention. Selon les déclarations de Nicolas Quatravaux, responsable EMEA de Paradigm (un réseau de liquidité institutionnelle), à CoinDesk :
• La première transaction de bloc importante sur des options de vente a eu lieu à 20 h 38 UTC, environ 15 minutes après la première sortie de fonds du portefeuille Binance, alors que l’information n’était pas encore publique.
• La transaction portait sur l’achat de 250 options de vente BTC arrivant à échéance le 31 octobre, avec un prix d’exercice de 78 000 dollars (valeur notionnelle d’environ 20 millions de dollars).
• Trois minutes plus tard, le même contrat, pour un volume identique, a fait l’objet d’une nouvelle transaction ; l’acheteur a payé une prime supérieure d’environ 35 %.
• Dans les 8 heures suivant l’incident, Paradigm a exécuté des transactions de bloc sur options BTC représentant une valeur notionnelle d’environ 590 millions de dollars, nettement orientées à la baisse.
• Les achats se sont principalement concentrés sur la zone proche du cours, entre 74 000 et 78 000 dollars, et la période la plus active a même précédé l’annonce de Binance.
Ces importants achats de puts à échéance rapprochée, apparus après le début des sorties de fonds on-chain mais avant que l’information ne se diffuse largement, pourraient aussi bien correspondre à une couverture rapide de traders professionnels ayant repéré des transferts anormalement importants qu’à des positions prises par des personnes disposant d’informations préalables. Aucune preuve publique ne permet actuellement d’établir directement cette dernière hypothèse, mais la fenêtre temporelle est effectivement très étroite.
IV. Les questions qui restent à éclaircir
• Comment l’ordinateur portable de l’ingénieur a-t-il été compromis ?
• Quels sont les détails techniques de ce « point d’intrusion supplémentaire » ?
• Quel est le chemin complet ayant permis l’abus du système de signature ?
• Qui était l’acheteur de ces options acquises très tôt, et quelle était l’origine des fonds ?
• Quelle sera la destination des quelque 2,4 milliards de dollars qui n’ont pas été gelés, principalement en ETH et en BTC ?
Binance a indiqué qu’elle publierait un rapport technique détaillé une fois l’enquête terminée et mettrait à jour sa preuve de réserves.
Cette affaire présente des signes d’organisation poussée et de planification préalable, tant dans la préparation technique que dans le déroulement de l’opération et les liens entre les fonds et des affaires antérieures. Le moment inhabituel des transactions sur options est actuellement l’aspect le plus frappant et le plus difficile à expliquer par une simple coïncidence. Ce n’est pas nécessairement une preuve irréfutable de délit d’initié, mais c’est bel et bien un signal d’alerte qui mérite un examen plus approfondi.
Sur les marchés des cryptomonnaies, la sécurité et la transparence de l’information sont toujours essentielles. Cet incident nous rappelle une nouvelle fois que les contrôles d’accès internes des plateformes d’échange, leur infrastructure de signature et les comportements de marché avant et après des événements majeurs méritent une attention constante.
Selon vous, qu’est-ce qui mérite le plus d’être approfondi dans cette affaire : la faille technique ou la coïncidence du moment choisi ? N’hésitez pas à en discuter dans les commentaires ci-dessous.
\u003ct-189/\u003e\u003ct-190/\u003e\u003ct-191/\u003e\u003ct-192/\u003e \u003ct-194/\u003e
\u003cc-197/\u003e
