#FOMC会议 Les retraits sur Binance ont été suspendus après le piratage. He Yi dit que les fonds des utilisateurs sont toujours en sécurité, mais je ne suis pas tout à fait rassuré. J’ai donc vérifié comment Binance avait géré les piratages au fil des ans…
En plus de neuf ans d’existence, Binance n’a vu son propre portefeuille d’exchange se faire dérober de l’argent qu’une seule fois, en 2019 : 40 millions de dollars. Si l’incident de cette nuit se confirme, les sorties estimées s’élèveraient à 3,3 milliards de dollars, soit plus de 80 fois ce montant.
Alors j’ai passé en revue tous les incidents de Binance pour voir comment chacun s’était terminé.
Le premier remonte à mars 2018.
Les pirates ont passé plusieurs mois à créer des sites de phishing et à récupérer des comptes d’utilisateurs. Ils ont créé pour chacun une clé API permettant de trader. Le 7 mars, ces comptes ont été manipulés pour acheter du VIA pendant deux minutes, faisant grimper son cours de 100 fois. Les pirates ont vendu leurs jetons sur ces achats depuis 31 comptes créés à l’avance. Mais au moment de retirer les fonds, les contrôles de sécurité se sont déclenchés et les transactions comme les retraits ont été suspendus. Binance a annulé toutes les transactions anormales de ces deux minutes et a confisqué le VIA déposé par les pirates. Au final, ils sont repartis sans empocher un centime. Binance a ensuite offert une prime de 250 000 dollars et mis de côté 10 millions de dollars pour récompenser de futurs pirates.
L’incident de juillet de la même année ne peut pas vraiment être qualifié de vol. Des transactions anormales ont été effectuées depuis plusieurs comptes API : du SYS, qui ne valait habituellement que quelques centimes, s’est échangé à 96 BTC sur Binance.
Binance a suspendu les opérations pendant environ une demi-journée, annulé les transactions anormales et supprimé puis recréé toutes les clés API. C’est aussi à la suite de cet incident que le SAFU a été créé : 10 % des frais de trading sont mis de côté dans un portefeuille hors ligne, spécialement pour indemniser les utilisateurs.
Le 7 mai 2019, il s’agissait bel et bien d’un vol.
Des pirates ont obtenu des clés API et des codes de vérification Google appartenant à certains utilisateurs grâce à des attaques par hameçonnage et à des chevaux de Troie. Une transaction a ensuite permis de retirer 7 074 BTC du portefeuille chaud de BTC, soit environ 40 millions de dollars à l’époque. Ce portefeuille chaud ne contenait que 2 % des BTC de Binance. Le jour même, Binance a annoncé que le SAFU couvrirait la totalité des pertes et que les utilisateurs ne perdraient rien. La plateforme a ensuite suspendu les dépôts et les retraits pendant une semaine, et modifié les procédures liées aux API, à la double authentification et à la validation des retraits.
Il y a aussi eu un épisode entre-temps. CZ a un moment envisagé de demander aux mineurs de revenir sur la blockchain Bitcoin pour annuler le transfert, ce qui lui a valu de vives critiques. Le lendemain, il a annoncé qu’il y renonçait et s’est excusé, expliquant que cela créerait un très mauvais précédent pour Bitcoin.
En août de la même année, il s’agissait d’une tentative d’extorsion.
Quelqu’un détenait 10 000 photos KYC présentées comme appartenant à des utilisateurs de Binance et réclamait 300 BTC pour garder le silence. Binance a refusé de payer, affirmant que ces photos avaient fuité en 2018, lors d’un contrôle externalisé. En réponse, la plateforme a même offert une récompense de 25 BTC pour identifier cette personne.
En octobre 2022, c’est la chaîne BNB qui a été touchée.
Des pirates ont falsifié la vérification du pont interchaînes et créé de toutes pièces 2 millions de BNB, d’une valeur d’environ 570 millions de dollars à l’époque. Binance a demandé aux validateurs d’interrompre toute la chaîne pendant environ 8 heures. Les pirates n’ont eu le temps de transférer qu’un peu plus de 100 millions de dollars ; les plus de 400 millions restants sont restés bloqués sur la chaîne, impossibles à déplacer. La chaîne BNB a ensuite procédé à un hard fork pour corriger le pont, mais le fait qu’une blockchain publique puisse être arrêtée à volonté a aussi suscité de nombreuses critiques à l’époque.
Aux alentours de Noël 2025, c’est Trust Wallet, propriété de Binance, qui a été touché.
Du code malveillant a été intégré à la version 2.68 de l’extension de navigateur. Plus de 2 500 portefeuilles se sont fait voler environ 7 millions de dollars. CZ a promis un remboursement intégral, et la procédure de réclamation a été ouverte deux jours plus tard.
En passant en revue ces incidents, on voit bien la façon de faire de Binance.
En cas de problème, la plateforme suspend les opérations ; elle annule les transactions quand c’est possible et, sinon, rembourse de sa poche. Jusqu’à présent, elle a toujours évité que les utilisateurs subissent des pertes financières. Lors de l’incident de 2019, le SAFU a immédiatement couvert les 40 millions de dollars.
L’ampleur de l’incident d’aujourd’hui est tout autre.
Les estimations des fonds sortis vont de 3,3 milliards à plus de 5,5 milliards de dollars. Tether a gelé plus de 1,5 milliard d’USDT, et Circle plus de 800 millions d’USDC, soit plus de 2,3 milliards au total. Les fonds qui n’ont pas pu être gelés sont principalement en ETH : rien que sur l’adresse de réception, il y en a 195 000, pour une valeur de plus de 400 millions de dollars.
Jusqu’à présent, la déclaration officielle ne parle pas de piratage ; elle affirme seulement que les fonds des utilisateurs sont entièrement sécurisés. CZ a dit que cela ressemblait effectivement à un piratage et qu’en tant qu’actionnaire, il s’attendait à ce que les utilisateurs soient intégralement indemnisés. Certains médias rapportent également que He Yi a confirmé la suspension des retraits.
En février de cette année, le SAFU a été entièrement converti en BTC : environ 15 000 BTC, qui valaient 1 milliard de dollars au moment de la conversion. Les stablecoins gelés pourraient encore être récupérés ; l’ampleur réelle du trou dépend de la part qui n’a pas pu être gelée. Si les pertes dépassent le SAFU, Binance devra puiser dans ses propres fonds.
Je pense que Binance a les moyens de rembourser et que les utilisateurs ne devraient pas perdre d’argent cette fois non plus. Ce qui m’intéresse davantage, c’est de savoir qui a signé l’ordre de retrait des 7 702 BTC du portefeuille chaud. Tant que ce point ne sera pas éclairci, même si les retraits reprennent, les gens ne seront pas vraiment rassurés. $BNB
