Dans ce rapport d’enquête préliminaire de Binance, le plus inquiétant n’est pas le montant de 6,34 milliards, mais le fait que les pirates aient peaufiné leur opération de juin au 29 octobre avant de passer à l’action : un téléchargement d’outil d’IA et un faux entretien d’embauche leur ont permis d’atteindre le service de signature des portefeuilles.
Commençons par les faits rapportés par plusieurs sources : le rapport publié le 3 novembre indique que l’incident a affecté environ 6,34 milliards de dollars et qu’au moment de sa publication, quelque 2,85 milliards avaient été gelés ou interceptés. Au 31 octobre, 98 % des jetons concernés avaient été remplacés, ce qui peut être vérifié sur la page de preuve des réserves. Le système de portefeuilles touché a été reconstruit dans un nouvel environnement, les identifiants et les jetons concernés ont été désactivés, les appareils de tous les employés ont fait l’objet d’analyses de sécurité et les retraits ont été en grande partie rétablis. Le rapport détaille aussi toute la chronologie : en juin, l’ingénieur DevOps spécialisé dans les portefeuilles, A, a recherché des outils populaires de programmation par IA et téléchargé un paquet d’installation Homebrew compromis ; l’équipe de sécurité avait alors déjà remplacé son appareil et ses identifiants. En septembre, l’ingénieur B a été abordé sur une plateforme de recrutement légitime par une personne se présentant comme un « directeur de projet » ; deux faux entretiens et un programme présenté comme un « exercice » ont conduit au remplacement d’un composant d’outil de développement et à une connexion à un serveur externe. Le 20 octobre, les attaquants ont utilisé l’ordinateur de B et un outil d’IA interne pour accéder aux ordinateurs de A et d’un autre ingénieur des portefeuilles, C, et ont découvert sur la machine de A un jeton donnant des droits de déploiement de conteneurs.
Les objections sont tout aussi solides. Premièrement, il s’agit toujours d’un rapport préliminaire : l’enquête n’est pas terminée et les conclusions doivent encore être vérifiées indépendamment. Sur les 6,34 milliards, 2,85 milliards ont été gelés ou interceptés ; il reste donc environ 3,49 milliards qui ne l’ont pas été. Les actifs non remplacés, soit un peu plus de 2 %, sont pour la plupart peu liquides et leur remplacement est en cours. Deuxièmement, la suspension des retraits n’a pas immédiatement mis fin à l’attaque : les pirates ont envoyé 50 transactions par le service de signature et manipulé les numéros de séquence des transactions. En exploitant l’autorisation EIP-7702 d’Ethereum, ils ont obtenu un contrôle partiel sur l’exécution du portefeuille chaud. La délégation n’a été supprimée du portefeuille chaud n° 14 que le 30 octobre à 00:10 UTC. Entre le 29 octobre à 20:05 et 20:09 UTC, cinq portefeuilles chauds ont transféré 233,46 millions de XRP ; les portefeuilles chauds de Solana et d’Optimism ont également transféré environ 970 000 SOL et 44,2 millions d’OP. Troisièmement, Binance affirme avoir déjoué 57 attaques présumées liées à la Corée du Nord depuis le début de 2026, et le rapport cite des informations du FBI attribuant la responsabilité à la Corée du Nord. Cela montre qu’il ne s’agit pas d’un incident isolé : Binance est une cible constante. Les raisons pour lesquelles le service de signature a pu être détourné de cette façon et le déroulement complet de l’attaque devront encore être expliqués.
Mon avis : le rapport est un point positif en soi. Il détaille la chronologie, les montants et les sommes gelées, ce qui vaut mieux que des déclarations vagues. Mais « 98 % remplacés » ne signifie pas que tout risque a disparu. Il faut surveiller deux points : après l’échéance, aujourd’hui, du deuxième instantané des réserves de Binance, les chiffres correspondront-ils aux nouvelles adresses ? Et le compte rendu complet à venir expliquera-t-il clairement les améliorations apportées à l’isolation du service de signature ? Côté marché, rien ne change : le $BTC reste coincé dans la fourchette 76 500-79 400. Tant qu’il n’a pas repassé et conservé les 79 400, considérons cela comme un rebond technique : ne pas courir après le cours ni renforcer. Sous 76 500, viser 75 000. Le scénario serait invalidé si le cours repassait les 79 400 avec des volumes élevés et s’y maintenait une journée, ou si l’instantané des réserves ne correspondait pas, ou encore si les sorties nettes repartaient à la hausse.
Une seule question : quel élément un exchange devrait-il corriger en priorité : les ordinateurs des employés, les outils d’IA internes ou l’isolation du service de signature des portefeuilles ? Il faut en choisir un : lequel ?
Commençons par les faits rapportés par plusieurs sources : le rapport publié le 3 novembre indique que l’incident a affecté environ 6,34 milliards de dollars et qu’au moment de sa publication, quelque 2,85 milliards avaient été gelés ou interceptés. Au 31 octobre, 98 % des jetons concernés avaient été remplacés, ce qui peut être vérifié sur la page de preuve des réserves. Le système de portefeuilles touché a été reconstruit dans un nouvel environnement, les identifiants et les jetons concernés ont été désactivés, les appareils de tous les employés ont fait l’objet d’analyses de sécurité et les retraits ont été en grande partie rétablis. Le rapport détaille aussi toute la chronologie : en juin, l’ingénieur DevOps spécialisé dans les portefeuilles, A, a recherché des outils populaires de programmation par IA et téléchargé un paquet d’installation Homebrew compromis ; l’équipe de sécurité avait alors déjà remplacé son appareil et ses identifiants. En septembre, l’ingénieur B a été abordé sur une plateforme de recrutement légitime par une personne se présentant comme un « directeur de projet » ; deux faux entretiens et un programme présenté comme un « exercice » ont conduit au remplacement d’un composant d’outil de développement et à une connexion à un serveur externe. Le 20 octobre, les attaquants ont utilisé l’ordinateur de B et un outil d’IA interne pour accéder aux ordinateurs de A et d’un autre ingénieur des portefeuilles, C, et ont découvert sur la machine de A un jeton donnant des droits de déploiement de conteneurs.
Les objections sont tout aussi solides. Premièrement, il s’agit toujours d’un rapport préliminaire : l’enquête n’est pas terminée et les conclusions doivent encore être vérifiées indépendamment. Sur les 6,34 milliards, 2,85 milliards ont été gelés ou interceptés ; il reste donc environ 3,49 milliards qui ne l’ont pas été. Les actifs non remplacés, soit un peu plus de 2 %, sont pour la plupart peu liquides et leur remplacement est en cours. Deuxièmement, la suspension des retraits n’a pas immédiatement mis fin à l’attaque : les pirates ont envoyé 50 transactions par le service de signature et manipulé les numéros de séquence des transactions. En exploitant l’autorisation EIP-7702 d’Ethereum, ils ont obtenu un contrôle partiel sur l’exécution du portefeuille chaud. La délégation n’a été supprimée du portefeuille chaud n° 14 que le 30 octobre à 00:10 UTC. Entre le 29 octobre à 20:05 et 20:09 UTC, cinq portefeuilles chauds ont transféré 233,46 millions de XRP ; les portefeuilles chauds de Solana et d’Optimism ont également transféré environ 970 000 SOL et 44,2 millions d’OP. Troisièmement, Binance affirme avoir déjoué 57 attaques présumées liées à la Corée du Nord depuis le début de 2026, et le rapport cite des informations du FBI attribuant la responsabilité à la Corée du Nord. Cela montre qu’il ne s’agit pas d’un incident isolé : Binance est une cible constante. Les raisons pour lesquelles le service de signature a pu être détourné de cette façon et le déroulement complet de l’attaque devront encore être expliqués.
Mon avis : le rapport est un point positif en soi. Il détaille la chronologie, les montants et les sommes gelées, ce qui vaut mieux que des déclarations vagues. Mais « 98 % remplacés » ne signifie pas que tout risque a disparu. Il faut surveiller deux points : après l’échéance, aujourd’hui, du deuxième instantané des réserves de Binance, les chiffres correspondront-ils aux nouvelles adresses ? Et le compte rendu complet à venir expliquera-t-il clairement les améliorations apportées à l’isolation du service de signature ? Côté marché, rien ne change : le $BTC reste coincé dans la fourchette 76 500-79 400. Tant qu’il n’a pas repassé et conservé les 79 400, considérons cela comme un rebond technique : ne pas courir après le cours ni renforcer. Sous 76 500, viser 75 000. Le scénario serait invalidé si le cours repassait les 79 400 avec des volumes élevés et s’y maintenait une journée, ou si l’instantané des réserves ne correspondait pas, ou encore si les sorties nettes repartaient à la hausse.
Une seule question : quel élément un exchange devrait-il corriger en priorité : les ordinateurs des employés, les outils d’IA internes ou l’isolation du service de signature des portefeuilles ? Il faut en choisir un : lequel ?