*Texte : Mufti Owais Paracha*
Le piratage de Binance : quoi et comment ?
La nuit dernière, Binance, la plus grande plateforme d’échange de cryptomonnaies, a été piratée et les pirates ont emporté des actifs d’une valeur de six milliards et quart de dollars. Je n’avais pas l’intention d’écrire à ce sujet ; je m’intéresse actuellement à un autre sujet. Mais certains enseignants me l’ont demandé et, comme je voyais moi-même des « experts en cryptomonnaies » partout, j’ai pensé qu’il valait mieux l’expliquer en termes simples.
Tout d’abord, il faut comprendre que toute bonne plateforme d’échange possède deux types de portefeuilles : les portefeuilles chauds et les portefeuilles froids.
Portefeuilles froids : ils contiennent des sommes plus importantes, ne sont pas connectés à Internet et restent extrêmement difficiles à pirater. Depuis l’arrivée de l’IA, on évoque cette possibilité, mais seulement si l’IA est associée à l’informatique quantique.
Portefeuilles chauds : ils contiennent les sommes utilisées pour les transactions. Il est indispensable de les garder connectés à Internet. Si vous imaginez le portefeuille froid comme de l’or ou de l’argent conservé dans le coffre d’une banque, les portefeuilles chauds sont comme les véhicules qui transportent les espèces de la banque. Bien sûr, ces véhicules peuvent être arrêtés et dévalisés, même si c’est un peu plus difficile.
Binance détient plus de 130 milliards de dollars d’actifs appartenant à ses utilisateurs, dont 6,3 milliards ont été retirés. Cela représente environ 5 %. Une telle quantité d’actifs se trouve dans des portefeuilles chauds, où les fonds entrent et sortent en permanence.
Comment le piratage a-t-il eu lieu ?
En réalité, aucune cryptomonnaie ni aucune blockchain n’a été piratée. Selon l’enquête menée jusqu’à présent, c’est l’ordinateur portable d’un ingénieur de Binance qui a été piraté. Comme cet ordinateur était connecté au système interne, il permettait d’accéder au système qui autorise les transactions.
Le pirate a utilisé cet ordinateur portable pour créer un système nécessitant le moins d’autorisations possible, puis a commencé à agir depuis le système chargé d’accorder ces autorisations. Comme le système automatisé de transactions fonctionnait à partir de là, il était possible d’y envoyer des fonds. Le pirate a alors commencé à transférer de l’argent.
USDT et USDC :
Parmi les fonds transférés se trouvaient également des USDT et des USDC, qui sont tous deux des stablecoins. Nous savons que ces stablecoins ne sont pas décentralisés : ils s’apparentent plutôt à un reçu correspondant à l’argent détenu en réserve. Ainsi, dès que leurs émetteurs ont été informés, ils ont gelé les deux actifs. Avant cela, le pirate avait déjà converti 730 millions d’USDT.
Environ 71 % du montant piraté sous forme de ces deux stablecoins a été gelé, tandis que le pirate a réussi à en convertir 29 %. Ce gel a été possible parce que ces deux stablecoins sont centralisés.
Actifs et remboursement :
Des actifs d’une valeur de 6,3 milliards de dollars ont été piratés chez Binance. Binance a annoncé que 3 milliards de dollars avaient été immédiatement gelés avec l’aide des organismes concernés. Binance dispose de réserves d’un milliard de dollars destinées à ce type de situation. Binance couvrira les 2,3 milliards restants sur ses propres fonds.
Piratage, attaques, banques et cryptomonnaies :
S’agit-il d’un événement inédit ? Non. Des systèmes connectés à Internet sont régulièrement la cible de cyberattaques partout dans le monde, qu’il s’agisse de systèmes financiers ou d’autres systèmes. Par exemple, en octobre 2021, la Banque nationale a subi une cyberattaque qui a perturbé les systèmes interbancaires, les distributeurs automatiques et les services mobiles.
En 2022 et par la suite, plusieurs cas de clonage de cartes bancaires aux distributeurs automatiques ont été signalés. Les cas d’hameçonnage sont si nombreux qu’il y en a tous les deux jours. Les banques ont même affiché sur leurs sites des avertissements demandant de ne communiquer à personne son mot de passe à usage unique (OTP).
Cela révèle-t-il un défaut d’une cryptomonnaie ? Non. Il s’agissait du piratage du système interne d’une organisation. Aucune blockchain ni aucune cryptomonnaie n’a été affectée. Toutefois, en raison de leur caractère décentralisé, une somme importante n’a pas pu être gelée. Imaginez que des voleurs dérobent de l’argent liquide à quelqu’un : cet argent ne peut pas être gelé.
Chute du Bitcoin :
Le prix du Bitcoin a baissé d’environ 5,5 % entre une heure du matin et le matin, puis a regagné environ 3 %. En tant qu’expert en cryptomonnaies, cela m’étonne. Il est rare qu’un événement de ce genre suscite une réaction aussi faible. La baisse a été si limitée qu’on ne peut même pas la considérer comme un krach important.
Une baisse plus importante s’était produite le 2 septembre 2026, sans aucun krach. Cela montre la confiance des utilisateurs dans le Bitcoin et Binance, ainsi que leur solidité. Au cours du dernier mois, des krachs bien plus importants ont touché les marchés boursiers d’Indonésie et de plusieurs autres pays. L’indice composite de Jakarta a chuté de 11,6 % en une journée.
En résumé :
Bien que ce piratage soit présenté comme le plus important de l’histoire des cryptomonnaies en valeur monétaire, les pertes réelles d’actifs sont bien inférieures à celles d’incidents similaires survenus par le passé. Cet événement a montré à quel point il est important de limiter la connexion à Internet des systèmes internes d’une organisation essentielle. Il a également mis en évidence la force de la coopération entre différentes organisations et de leur réaction rapide.
Si Tether et Circle n’avaient pas gelé l’USDT et l’USDC en seulement trente-cinq minutes, les pertes auraient pu être bien plus importantes. De même, sans les fonds d’un milliard de dollars, ceux-ci auraient également été perdus.
À noter que, selon une estimation approximative du volume de transactions, les revenus bruts mensuels de Binance provenant uniquement du trading au comptant dépassent 600 millions de dollars. À ce rythme, une perte de 2,3 milliards de dollars serait compensée en quelques mois.
