Imaginez qu’un seul ordinateur compromis puisse devenir une porte d’entrée permettant de dérober des milliards de dollars à l’une des plus grandes plateformes de cryptomonnaies de la planète.
C’est précisément ce que Binance a commencé à enquêter après l’attaque du 29 octobre 2026.
Mais l’histoire est bien plus complexe. Et ce qui est véritablement inquiétant, ce n’est pas seulement l’argent volé, mais la manière dont les attaquants ont réussi à faire autoriser des opérations frauduleuses par des systèmes légitimes.
Je vais reconstituer les faits, étape par étape, en suivant les enquêtes techniques et les mouvements enregistrés sur la blockchain.
// Les horaires correspondent à l’ARGENTINE //
28 OCTOBRE. LES PRÉPARATIFS COMMENCENT.
Au moins 36 heures avant le vol, les attaquants préparaient déjà leur infrastructure.
Ils ont alimenté un portefeuille opérationnel en effectuant de petits retraits depuis Tornado Cash, un protocole qui rend difficile le traçage de l’origine des cryptomonnaies.
Le 29 octobre, ils ont déployé du code malveillant et effectué des tests à l’aide de portefeuilles sous leur propre contrôle.
Ils n’improvisaient pas. Ils avaient répété le mécanisme qu’ils utiliseraient ensuite contre Binance.
MAIS COMMENT ONT-ILS RÉUSSI À PÉNÉTRER DANS SON INFRASTRUCTURE ?
Voici l’un des éléments les plus importants.
Binance a officiellement reconnu que son enquête préliminaire pointait vers un possible ordinateur portable compromis appartenant à un ingénieur DevOps.
Et qu’est-ce que cela signifie ?
Un ingénieur DevOps travaille avec des systèmes qui permettent d’administrer, d’exécuter et d’automatiser des services informatiques.
Selon l’hypothèse initiale de Binance, la compromission de cet ordinateur aurait permis à l’attaquant d’accéder à un conteneur de service et d’envoyer des instructions de retrait non autorisées.
Un conteneur est un environnement dans lequel un programme ou un service s’exécute. Dans ce cas, le problème serait que les criminels ont réussi à utiliser une infrastructure interne pour demander des opérations qui n’auraient jamais dû être autorisées.
Cependant, Binance n’a toujours pas confirmé comment ni quand l’ordinateur a été compromis. L’entreprise n’a pas non plus identifié publiquement le logiciel malveillant, les identifiants ou la vulnérabilité qui auraient pu être utilisés.
Et l’entreprise a reconnu par la suite avoir découvert d’autres points d’intrusion...
29 OCTOBRE. 17:05. LE VOL COMMENCE.
Cinq portefeuilles liés à Binance transfèrent environ 233 millions de XRP vers une adresse contrôlée par les attaquants.
À 17:10, des mouvements apparaissent sur Solana et d’autres réseaux.
Mais le pire était encore à venir.
17:20. L’ATTAQUE PREND DE L’AMPLEUR.
Un portefeuille Bitcoin de Binance transfère 18.270 BTC vers une adresse appartenant à l’attaquant.
Au même moment, sur Ethereum, les criminels utilisent une fonctionnalité légitime appelée EIP-7702.
Celle-ci permet à un portefeuille d’autoriser l’exécution du code d’un contrat intelligent.
Et qu’ont-ils fait ?
Ils ont présenté 50 autorisations cryptographiques préalablement signées par un portefeuille Binance.
Chaque autorisation correspondait à un numéro différent du compteur de transactions de ce portefeuille, appelé nonce.
Ils ont préparé 50 valeurs consécutives, car ce compteur changeait constamment.
Lorsqu’ils ont envoyé les autorisations, l’une d’elles correspondait à la valeur en vigueur....
UNE SEULE A SUFFI.
Le portefeuille a délégué son autorité à un contrat intelligent contrôlé par les attaquants, conçu pour transférer les fonds selon leurs instructions.
17:22. UN AUTRE RÉSEAU COMPROMIS.
Sur Tron, environ 612 millions d’USDT et 46 millions de TRX sont transférés.
Et c’est alors que survient le moment décisif.
17:24:23. LE PRINCIPAL PILLAGE.
À peine 3 minutes et 24 secondes après la délégation sur Ethereum, les attaquants exécutent une opération qui transfère 167.464 ETH et 63 jetons différents, dont plus de 1.600 millions d’USDT.
Le tout au moyen d’une seule transaction.
Quelques secondes plus tard, un autre portefeuille Binance effectue de nouveaux transferts non autorisés.
Mais un élément est encore plus inquiétant... La délégation malveillante était toujours active.
Cela signifiait que si de nouveaux fonds étaient déposés sur ce portefeuille, les criminels pouvaient les retirer à nouveau.
Et c’est ce qui s’est passé.
À 17:41, une nouvelle exécution du contrat est enregistrée, suivie de nouvelles opérations au cours des heures suivantes.
QUE NOUS APPREND TOUT CELA ?
Que l’incident ne peut pas s’expliquer simplement par le vol d’un mot de passe.
Les transferts effectués sur différentes blockchains étaient accompagnés de signatures cryptographiques valides.
L’enquête de TRM Labs estime que les attaquants ont probablement réussi à faire autoriser par l’infrastructure de signature des portefeuilles chauds de Binance des transactions de leur choix.
C’est essentiel.
Voler une clé privée, c’est une chose. Réussir à faire signer des opérations frauduleuses par le système légitime chargé de l’utiliser, c’en est une autre.
Binance affirme ne pas avoir encore trouvé de preuve de fuite de clés privées.
17:57. LA RIPOSTE COMMENCE.
World Liberty Financial procède à un premier gel de jetons WLFI.
À 18:01, Tether gèle les fonds en USDT liés à l’attaque.
À 18:04, Circle bloque environ 823 millions d’USDC.
Les criminels tentent de prendre ces mesures de vitesse en convertissant des stablecoins en d’autres actifs, principalement en ETH.
Pourquoi ?
Parce que les émetteurs de certains stablecoins peuvent geler leurs jetons. En revanche, Bitcoin et Ether n’ont pas d’émetteur central disposant de ce même pouvoir.
19:33. BINANCE SUSPEND LES RETRAITS.
Selon les rapports compilés par Bitquery, la plateforme interrompt les retraits pendant qu’elle enquête sur l’incident.
Cependant, l’activité malveillante n’avait pas encore pris fin.
À 20:05, des mouvements d’une deuxième vague apparaissent sur Avalanche et Polygon.
Et à 20:56, la dernière exécution documentée du contrat malveillant sur le portefeuille principal d’Ethereum est enregistrée.
21:10. BINANCE RÉVOQUE LA DÉLÉGATION.
Finalement, Binance parvient à annuler l’autorisation malveillante utilisée sur Ethereum.
Près de quatre heures s’étaient écoulées depuis que les attaquants avaient obtenu cette capacité d’exécution.
Pendant la riposte, des actifs ont également été gelés et récupérés sur différents réseaux. Binance a indiqué par la suite qu’environ 3.000 millions de dollars avaient été immobilisés sur la blockchain.
30 OCTOBRE. LES PREMIÈRES EXPLICATIONS OFFICIELLES APPARAISSENT.
Binance confirme l’hypothèse de l’ordinateur portable compromis de l’ingénieur DevOps, mais reconnaît, dans une deuxième mise à jour, d’autres points d’intrusion.
L’entreprise annonce également qu’elle couvrira les pertes grâce à ses fonds propres et à son fonds de protection SAFU.
L’enquête de TRM Labs attribue l’attaque, avec un niveau de confiance élevé, au groupe nord-coréen TraderTraitor. Binance, de son côté, n’a toujours pas confirmé officiellement l’identité des responsables.
Et nous arrivons à la conclusion la plus importante.
LES ATTAQUANTS N’ONT PAS EU BESOIN DE CASSER LA CRYPTOGRAPHIE DES BLOCKCHAINS.
Ils ont obtenu des autorisations et des signatures valides pour effectuer des transferts qui n’auraient jamais dû être autorisés.
On ne sait pas encore exactement comment ils sont passés des systèmes compromis à cette capacité d’autorisation.
🧠 Mais cette affaire nous livre une leçon accablante :
VOUS POUVEZ PROTÉGER LES CLÉS PRIVÉES, UTILISER UNE CRYPTOGRAPHIE AVANCÉE ET INVESTIR DES MILLIONS DANS LA SÉCURITÉ.
MAIS SI UN CRIMINEL PARVIENT À FAIRE TRAVAILLER VOTRE PROPRE SYSTÈME D’AUTORISATION POUR LUI, IL N’A PAS BESOIN DE BRISER VOTRE SÉCURITÉ DE L’EXTÉRIEUR.
IL PEUT FAIRE EN SORTE QUE CE SOIT VOTRE PROPRE INFRASTRUCTURE QUI EXÉCUTE LE VOL....
Sources :
https://www.binance.com/es-LA/support/announcement/detail/c5a8729a97ac486d963784d96c5642d7
https://www.binance.com/en/support/announcement/detail/d3306d9dca5243548c813b605e1d1751
https://www.trmlabs.com/resources/blog/north-korea-steals-usd-6-36-billion-from-binance-in-the-largest-hack-in-history
https://bitquery.io/investigations/binance-hack