Les 29 et 30 octobre 2026, Binance a connu un incident de sécurité d’une ampleur rare, mais qui a finalement été largement atténué. Le fait essentiel est le suivant : plusieurs portefeuilles chauds ont été anormalement « balayés » en un laps de temps très court. Les sorties comptabilisées ont un temps été estimées à plusieurs milliards de dollars, mais les principaux émetteurs de stablecoins ont rapidement gelé la majeure partie des fonds impliqués. Selon l’estimation de CZ, la perte nette réelle s’élèverait à un peu plus d’un milliard de dollars, et Binance s’est engagée à la couvrir intégralement.
Sorties anormales : plusieurs portefeuilles chauds « balayés » à la chaîne
L’incident a débuté vers 4 h 24 le 30 octobre, heure de Taipei (20 h 24 UTC le 29 octobre), lorsqu’un portefeuille chaud étiqueté « Binance 14 » par Binance a déclenché une transaction de balayage (sweep), transférant en une seule fois environ 167 464 ETH et 63 jetons ERC-20, dont quelque 1,615 milliard d’USDT, alors évalués à environ 2,5 milliards de dollars.
Juste après, les anomalies se sont poursuivies :
· Seulement 24 secondes plus tard, un autre portefeuille chaud, « Binance 16 », a transféré vers la même adresse de réception environ 28 005 ETH, ainsi que des actifs tels qu’environ 55,74 millions d’USDT et 25,94 millions de RLUSD.
· Environ 17 minutes plus tard (à 4 h 41), « Hot Wallet 34 » a transféré à son tour 780 millions d’USDC vers la même adresse ; un autre transfert de 43 millions de dollars en USDC a suivi.
Comme les fonds avaient été dirigés en peu de temps depuis plusieurs portefeuilles chauds indépendants vers une adresse créée le jour même, les alertes on-chain n’ont d’abord pas pu écarter la possibilité d’un « transfert de routine pour maintenance ». Mais la création récente de l’adresse de réception, le transfert rapide des actifs vers une autre adresse et l’utilisation de la fonction sweep ont rapidement conduit le marché à privilégier la thèse d’une attaque.
Mode opératoire : le problème ne venait pas de la clé privée, mais de « l’autorisation de signature »
La particularité technique de cet incident est que l’attaquant ne semble pas avoir directement dérobé les clés privées des portefeuilles de Binance.
Les analyses on-chain indiquent que le mécanisme EIP-7702 d’Ethereum a été détourné. Celui-ci permet à un compte externe de déléguer l’exécution à un code spécifique au moyen d’une « autorisation de signature ». L’attaquant aurait obtenu cette autorisation par hameçonnage ou par d’autres moyens, puis installé sur des portefeuilles liés à Binance un code malveillant doté d’une fonction de « balayage », avant d’appeler sweep pour transférer des actifs en masse. Des experts en sécurité soulignent que si l’attaquant avait réellement détenu les clés privées, il n’aurait pas eu besoin de passer par un relais (Relayer) ni par une procédure d’autorisation : il aurait pu transférer les actifs directement au moyen d’une transaction atomique. L’explication la plus plausible est donc qu’il n’a obtenu que la « signature d’autorisation EIP-7702 ».
Cela abaisse considérablement le seuil nécessaire pour mener une attaque : il n’est pas nécessaire de casser une clé privée ; il suffit d’obtenir frauduleusement une seule autorisation de signature pour qu’une adresse puisse être « balayée ». Le fait que le même portefeuille ait pu faire l’objet de nouveaux transferts après le premier balayage confirme également que cette autorisation est restée active pendant un certain temps après l’incident.
Gel des fonds et qualification de l’incident : de « en cours d’enquête » à « il s’agissait bien d’une attaque »
Après l’incident, la communication publique de Binance s’est progressivement durcie. Dans un premier temps, la plateforme a simplement déclaré qu’elle « enquêtait sur un éventuel problème de sécurité » et qu’« aucun impact sur les fonds des utilisateurs n’avait été confirmé ». En une quinzaine de minutes, le communiqué a été modifié à plusieurs reprises. La version finale affirmait que « les fonds des utilisateurs sont entièrement sécurisés », sans toutefois qualifier officiellement l’incident de « vol » ou de « piratage ».
Le tournant est venu de la déclaration de CZ (Changpeng Zhao). Il a affirmé clairement que « cela ressemble bien à une attaque informatique contre Binance », tout en soulignant que les fonds des utilisateurs étaient en sécurité et en remerciant Tether et Circle pour leur réaction rapide et le gel des fonds. CZ a également précisé qu’il ne gérait plus les opérations quotidiennes de Binance, mais qu’en tant qu’actionnaire, il s’attendait à ce que tous les fonds des utilisateurs soient intégralement couverts.
Parallèlement à cette qualification de l’incident, les émetteurs de stablecoins ont procédé aux gels suivants :
· Tether a gelé plus de 1,567 milliard d’USDT (d’autres sources évoquent environ 971 millions de dollars) ;
· Circle a gelé environ 823 millions d’USDC.
Au total, les deux entreprises ont gelé environ 2,39 milliards de dollars. C’est la principale raison pour laquelle il existe un écart considérable entre les « sorties comptabilisées » et les « pertes réelles ».
Montants comptabilisés et pertes réelles : pourquoi le chiffre est passé de plusieurs milliards à « un peu plus d’un milliard »
Comme l’attaque impliquait plusieurs portefeuilles, plusieurs blockchains et des dizaines de jetons, les estimations on-chain des sorties ont d’abord été très confuses : environ 2,5 milliards de dollars au début, puis 2,8 milliards, et jusqu’à environ 3,3 milliards selon des suivis ultérieurs. Certains organismes de surveillance ont même avancé une estimation supérieure à 5,8 milliards de dollars.
Mais ces chiffres correspondent principalement au volume des transferts, et non aux pertes nettes définitives impossibles à récupérer. L’estimation de 0xngmi, fondateur de DefiLlama, offre une perspective plus claire : après le gel à grande échelle des USDT et des USDC, la perte totale de l’incident s’élèverait à environ un milliard de dollars, soit seulement 0,69 % des quelque 144 milliards de dollars d’actifs conservés par Binance, une somme que le bilan de la plateforme peut tout à fait absorber. CZ a relayé cette estimation, en ajoutant que « la perte pourrait être légèrement supérieure, mais elle sera entièrement couverte ».
Voici comment ces chiffres s’articulent : parmi les actifs transférés par l’attaquant, environ 2,4 milliards de dollars en stablecoins ont été gelés par leurs émetteurs. La part réellement échappée au contrôle de Binance et qui n’a pas été gelée à court terme s’établit à environ un milliard de dollars. Binance fait donc face à une perte nette qu’elle peut couvrir, et non à une disparition totale de plusieurs milliards de dollars.
Suspension des retraits et conséquences concrètes pour les utilisateurs
Pendant les vérifications de sécurité, Binance a suspendu les retraits. La plateforme a d’abord indiqué que les retraits de certains utilisateurs étaient bloqués en raison d’une « erreur technique », puis a précisé qu’ils « reprendraient une fois le problème de sécurité entièrement résolu », tout en réaffirmant que les fonds des utilisateurs étaient en sécurité. Pour les utilisateurs ordinaires, l’impact direct de l’incident s’est donc principalement limité à une interruption temporaire des retraits, et non à la disparition de leurs soldes. CZ et Binance ont tenu le même discours : les fonds des utilisateurs sont « entièrement sécurisés » et les pertes seront couvertes par la plateforme.
Dans l’ensemble, le véritable profil de cet incident est le suivant : un balayage massif et non autorisé de portefeuilles chauds de Binance, rendu possible par l’exploitation du mécanisme d’autorisation EIP-7702. Les sorties comptabilisées ont atteint plusieurs milliards de dollars, mais grâce au gel des stablecoins et à la capacité d’absorption du bilan de la plateforme, les pertes nettes réelles ont été ramenées à environ un milliard de dollars. Les utilisateurs n’ont subi aucune perte directe et les retraits ont repris après confirmation de la sécurité. L’identité de l’attaquant et la méthode précise utilisée pour obtenir l’autorisation n’ont pas encore été révélées ; l’enquête et les efforts de récupération des fonds se poursuivent.