La plateforme d’échange de cryptomonnaies Binance coopère avec le Federal Bureau of Investigation (FBI) des États-Unis pour récupérer environ 3 milliards de dollars d’actifs gelés dans le cadre du plus grand vol de cryptomonnaies de l’histoire. Une source au fait de la situation a révélé aux médias que Binance avait mobilisé ses fonds propres et réservé plus de 6,34 milliards de dollars pour couvrir les pertes. Sur ce montant, 5 milliards de dollars correspondent exactement aux jetons volés, tandis que le reste est en cours de reconstitution par des transactions sur les marchés et de gré à gré (OTC).
L’attaque, survenue le 29 octobre à 20 h 05 UTC, a permis de transférer environ 6,36 milliards de dollars depuis des adresses contrôlées par Binance en une vingtaine de minutes, sur 10 blockchains. La société d’analyse de la blockchain TRM Labs a attribué l’attaque avec un haut degré de confiance au groupe de pirates nord-coréen TraderTraitor, que le FBI avait déjà désigné comme responsable du vol de 1,5 milliard de dollars subi par Bybit en février 2025. Dans une déclaration officielle publiée le 30 octobre, Binance a confirmé qu’environ 3 milliards de dollars avaient été gelés par des partenaires du secteur et qu’elle coopérait avec les autorités pour les récupérer. La société s’est engagée à ce que les fonds de tous les utilisateurs puissent, à terme, être vérifiés publiquement au moyen de la preuve de réserves (Proof of Reserves, PoR).
20 minutes, 10 chaînes : comment le système de signature des portefeuilles chauds a été compromis
Selon les données de TRM Labs, à partir du 29 octobre à 20 h 05 UTC, les attaquants ont transféré des fonds d’une valeur d’environ 6,36 milliards de dollars depuis des adresses contrôlées par Binance vers une seule adresse appartenant aux attaquants, sur une période d’environ 20 minutes et sur 10 blockchains. Il s’agit du plus grand vol de cryptomonnaies jamais enregistré, dépassant les pertes de 1,5 milliard de dollars subies par Bybit en février 2025, ainsi que le vol de 625 millions de dollars perpétré en février 2022 sur Ronin, la sidechain d’Axie Infinity.
Dans une publication officielle sur X, Binance a déclaré que son enquête préliminaire « indique que cet incident de sécurité pourrait être lié au piratage de l’ordinateur portable d’un ingénieur DevOps ». L’attaquant aurait ainsi pu accéder à un conteneur de services et soumettre des transactions de retrait non autorisées. La plateforme a également souligné qu’aucun signe de compromission des clés privées des portefeuilles n’avait été détecté. Ce détail oriente vers une faille de contrôle des accès dans le processus de signature des portefeuilles chauds, plutôt que vers une défaillance du système de conservation des clés sous-jacent : l’attaquant aurait obtenu « l’autorisation de soumettre des transactions », et non « la clé permettant de générer des signatures ».
L’analyse de TRM Labs dresse un tableau plus complet de l’attaque : les préparatifs ont commencé au moins 36 heures à l’avance. Les attaquants ont d’abord testé du code sur deux portefeuilles et effectué une répétition sur un troisième, puis ont attendu environ quatre heures avant de lancer l’assaut. Les premiers fonds de l’adresse des attaquants peuvent être retracés jusqu’à un dépôt effectué via Tornado Cash le matin de la veille de l’attaque. Ces traces indiquent une attaque coordonnée, soigneusement répétée et visant les systèmes de signature des portefeuilles chauds multichaînes, plutôt qu’un incident isolé causé par une erreur d’un employé. Pour les plateformes d’échange, la véritable leçon n’est pas de savoir « qui a cliqué sur un lien malveillant », mais de comprendre pourquoi les validations multisignatures, les limites de retrait et la surveillance des comportements inhabituels ont toutes échoué dans la même fenêtre de temps.
Derrière le gel de 3 milliards de dollars : le « frein d’urgence » des émetteurs de stablecoins
Sur les 6,36 milliards de dollars transférés, environ 3 milliards ont été gelés. Selon un instantané de TRM Labs pris le 31 octobre à 00 h 30 UTC, quelque 2,7 milliards de dollars ont été bloqués principalement par des émetteurs de stablecoins, dont Tether, Circle, Ripple et World Liberty Financial. Ces émetteurs peuvent geler sur la blockchain les stablecoins détenus à des adresses spécifiques, ce qui revient à actionner un « frein d’urgence » sur le parcours des fonds. Binance a ensuite réévalué le montant gelé à environ 3 milliards de dollars.
Dans une déclaration, Binance a affirmé sans ambiguïté : « À ce jour, 3 milliards de dollars ont été gelés. Nous remercions nos partenaires du secteur. Nous collaborons avec eux et avec les forces de l’ordre afin de récupérer les actifs gelés. » Ces fonds ne sont pas encore comptabilisés dans les 6,34 milliards de dollars de fonds propres réservés par Binance. La plateforme a précisé que ce montant « n’inclut pas les actifs gelés ou protégés, qui font toujours l’objet d’efforts continus de récupération et de vérification ». Autrement dit, si les 3 milliards de dollars d’actifs gelés sont finalement récupérés et restitués aux utilisateurs, le montant des fonds propres effectivement mobilisés par Binance pourrait être nettement inférieur à 6,34 milliards de dollars.
Les quelque 2,4 milliards de dollars restants sont toujours détenus par les attaquants sous forme d’Ether (ETH) et de Bitcoin (BTC), dont plus de 420 000 ETH et 18 270 BTC. Comme ces deux actifs ne disposent pas d’émetteurs capables de les geler, leur récupération est bien plus difficile que celle des stablecoins et dépend souvent du traçage sur la blockchain par les forces de l’ordre, de la coopération des plateformes d’échange et des saisies judiciaires. Cela explique aussi pourquoi Binance doit faire appel à des organismes tels que le FBI : les stablecoins peuvent être gelés par leurs émetteurs, tandis que les actifs natifs ne peuvent être interceptés que par les forces de l’ordre.
Soupçons autour de la Corée du Nord : TraderTraitor et les éléments reliant le groupe à l’affaire Bybit
TRM Labs attribue cette attaque, avec un haut degré de confiance, à TraderTraitor, un groupe de pirates informatiques lié à la Corée du Nord. En février 2025, le FBI avait publiquement déclaré que ce groupe était responsable du vol de 1,5 milliard de dollars subi par Bybit. Si cette attribution est finalement confirmée par les forces de l’ordre, ce serait la deuxième année consécutive qu’un groupe de hackers nord-coréens perpètre un vol de cryptomonnaies d’un milliard de dollars, ce qui montrerait également que les attaques visant les portefeuilles chauds des plateformes centralisées évoluent rapidement.
L’enquêteur on-chain ZachXBT a apporté un autre élément de rapprochement : après avoir transité par THORChain, un protocole interchaînes, les fonds dérobés à Binance et ceux du vol de 388 millions de dollars subi par Bitget en septembre sont apparus à la même adresse. « Il est fort probable que le même acteur ait orchestré ces deux incidents. » Le mélange des fonds entre chaînes et l’agrégation d’adresses sont des méthodes typiques de blanchiment utilisées par les groupes de pirates nord-coréens pour brouiller les pistes et compliquer le traçage des fonds. THORChain, un protocole de liquidité interchaînes sans autorisation, s’est ainsi retrouvé au centre de l’attention médiatique. Selon des articles de presse, le jeton RUNE de THORChain a bondi de 13 % à un moment donné après l’annonce du vol chez Binance.
Il convient toutefois de rester prudent : Binance n’a officiellement désigné aucun attaquant et a simplement indiqué qu’elle collaborait avec les forces de l’ordre pour identifier les responsables. L’attribution de TRM Labs constitue l’analyse d’un organisme tiers ; une confirmation définitive nécessiterait encore l’aval des forces de l’ordre ou des documents judiciaires. Dans le domaine de la sécurité des cryptomonnaies, une attribution erronée peut entraîner des risques diplomatiques et juridiques, ce qui explique pourquoi les plateformes d’échange et les autorités de régulation font généralement preuve de retenue.
L’engagement de Binance à indemniser les utilisateurs et le test de ses preuves de réserves
Face à des pertes records, Binance a choisi de couvrir intégralement le montant. La plateforme a annoncé avoir réservé plus de 6,34 milliards de dollars de fonds propres pour couvrir les pertes. Cinq milliards de dollars sont déjà constitués d’actifs correspondant exactement aux jetons volés, tandis que les quelque 1,34 milliard de dollars restants sont en cours d’acquisition sur les marchés et via des opérations de gré à gré. Binance explique que cette étape prend du temps, car certains jetons sont peu liquides et le règlement des opérations de gré à gré nécessite du temps. La plateforme a également déclaré qu’elle continuerait à mobiliser ses ressources pour couvrir le manque à gagner confirmé et qu’elle communiquerait de nouvelles mises à jour, vérifiées, au fil des efforts de récupération.
Selon les données sur le classement des réserves, Binance arrive en tête des plateformes d’échange de cryptomonnaies avec un total de 134 milliards de dollars d’actifs. Malgré cela, mobiliser 6,34 milliards de dollars de fonds propres en une seule fois constitue un défi de taille. Selon les données de DeFiLlama, Binance a enregistré environ 6 milliards de dollars de sorties nettes dans les 24 heures suivant l’incident, ce qui reflète la pression exercée sur les retraits des utilisateurs en situation extrême. Certains retraits on-chain, notamment sur Solana et XRP, ont été temporairement suspendus au début de l’incident, tandis que les retraits de BTC sont restés ouverts. La plateforme a ensuite progressivement rétabli ses services.
Dans sa déclaration, Binance s’est engagée en ces termes : « Au final, tous les fonds des utilisateurs pourront être vérifiés publiquement grâce à nos preuves de réserves. » Les preuves de réserves seront un indicateur essentiel pour déterminer si la plateforme couvre réellement le déficit d’actifs des utilisateurs. En particulier, tant que la vérification de la propriété des 3 milliards de dollars d’actifs gelés n’est pas achevée, toute affirmation sur la « sécurité des fonds » doit être étayée par des preuves on-chain. Pour le secteur, le véritable test de résistance de cet incident n’est pas de savoir si Binance peut honorer ses engagements, mais si les preuves de réserves peuvent garantir une transparence vérifiable dans des circonstances extrêmes.
Conséquences pour le secteur : architecture des portefeuilles chauds, traçage interchaînes et coopération réglementaire
Cet incident met une nouvelle fois en évidence les risques systémiques liés à la gestion des portefeuilles chauds par les plateformes d’échange centralisées. Qu’il s’agisse de la faille de contrôle des accès liée au piratage de l’ordinateur portable d’un ingénieur DevOps ou de la défaillance coordonnée du système de signature multichaînes, tout montre que la défaillance d’une seule protection peut entraîner une réaction en chaîne sur plusieurs réseaux. Pour les plateformes, la séparation entre portefeuilles chauds et froids, les validations multisignatures, les limites de retrait et la surveillance des comportements inhabituels ne sont plus des options : elles sont indispensables à leur survie. La capacité des attaquants à transférer des fonds en 20 minutes sur 10 chaînes souligne également la complexité de la gestion des risques à l’ère multichaîne : l’alerte déclenchée sur une chaîne peut ne pas arriver à temps pour empêcher les retraits sur les neuf autres.
L’efficacité de la coopération avec les forces de l’ordre s’est révélée particulièrement cruciale dans cet incident. En février 2022, le ministère américain de la Justice avait annoncé que le FBI et d’autres organismes chargés de l’application de la loi avaient contribué à saisir 94 000 BTC, alors évalués à 3,6 milliards de dollars et liés au vol de la plateforme d’échange Bitfinex en 2016. L’affaire Bitfinex, vieille de huit ans, montre que même après plusieurs années de transferts, les forces de l’ordre peuvent procéder à des récupérations d’ampleur grâce au traçage on-chain et aux procédures judiciaires. La capacité de Binance et du FBI à reproduire ce résultat dépendra de l’avancement de la vérification des actifs gelés et de l’efficacité de la coopération judiciaire internationale.
Sur les marchés, l’incident a provoqué des turbulences en chaîne. Outre la hausse à court terme de RUNE, le marché du Bitcoin a connu environ 1,6 milliard de dollars de liquidations après l’incident. Ces mouvements rappellent que les conséquences d’un incident de sécurité sur une plateforme d’échange ne se limitent jamais à celle-ci : elles se propagent à l’ensemble de l’écosystème crypto par l’intermédiaire des protocoles interchaînes, des mécanismes de liquidation et de la contagion du sentiment des investisseurs.
Les prochains éléments à surveiller sont notamment : la vérification de la propriété des 3 milliards de dollars d’actifs gelés ; la date de publication et le périmètre du rapport de preuves de réserves de Binance ; la confirmation officielle de l’identité des attaquants par les forces de l’ordre ; et la publication éventuelle par la plateforme d’un plan plus détaillé de renforcement de son système de signature des portefeuilles chauds. Pour les utilisateurs, après un incident de sécurité extrême, il est plus utile de suivre les preuves de réserves de la plateforme et l’avancement de la récupération des fonds que de courir après les fluctuations de prix à court terme.