Le 29 octobre 2026, Binance a subi ce qui est désormais considéré comme le plus grand incident de sécurité de l’histoire des cryptomonnaies. Des retraits non autorisés de plusieurs portefeuilles chauds ont entraîné la perte d’environ 6,3 milliards de dollars sur plusieurs blockchains. L’enquête préliminaire de Binance pointe vers l’ordinateur portable compromis d’un ingénieur DevOps, qui aurait permis à un pirate d’accéder à un conteneur de service et de soumettre des transactions non autorisées. La plateforme d’échange a déclaré qu’aucun élément ne prouvait une fuite de clés privées, que les fonds des utilisateurs restaient en sécurité et qu’elle couvrirait toutes les pertes grâce à son fonds SAFU et aux ressources de l’entreprise.

Parmi les actifs volés figuraient d’importantes quantités d’USDT et d’USDC. Tether a rapidement gelé plus de 1,56 milliard de dollars en USDT, tandis que Circle a gelé environ 823 millions de dollars en USDC. D’autres émetteurs sont également intervenus, portant la valeur totale des actifs gelés à environ 3 milliards de dollars.

L’une des manœuvres les plus sophistiquées de l’attaquant a impliqué Aave. Entre 20 h 58 et 21 h 01 UTC — environ 40 minutes avant le gel des marchés par Aave — un portefeuille lié à l’exploitant a fourni 60 millions d’USDT comme garantie sur Aave V3 Ethereum Core et emprunté 19 762 WETH (d’une valeur d’environ 44,6 millions de dollars à l’époque).

Cette étape a été efficace pour une raison simple : une fois les USDT déposés dans les contrats d’Aave, la liste noire de Tether ne pouvait plus empêcher leur utilisation comme garantie. L’ETH emprunté, en revanche, n’est pas soumis au même mécanisme centralisé de gel. L’attaquant a transféré les ETH ailleurs, laissant Aave avec les USDT gelés en garantie d’une dette impayée d’environ 43,8 millions de dollars. La position reste surcollatéralisée et soumise aux règles de liquidation habituelles ; Aave a donc indiqué que les fournisseurs de liquidités ne couraient aucun risque important.

Par mesure de précaution, Aave a gelé les nouveaux dépôts et emprunts dans 175 réserves V3 sur 16 réseaux et 117 réserves V4 sur quatre réseaux. Les positions existantes peuvent toujours être remboursées ou retirées, et les liquidations se poursuivent normalement.

Cet épisode met en évidence une asymétrie claire dans l’infrastructure crypto. Les stablecoins contrôlés par leur émetteur peuvent être gelés au niveau du contrat, mais pas les actifs natifs comme l’ETH. En faisant transiter des garanties gelables par un important protocole de prêt avant que les gels ne prennent pleinement effet, l’attaquant a converti une partie des stablecoins volés en un actif bien plus difficile à saisir.

Binance continue de collaborer avec les forces de l’ordre et ses partenaires de la blockchain pour récupérer les fonds. Un rapport technique complet sur l’incident est attendu une fois l’enquête terminée.

La position d’Aave reste saine — aucun risque systémique

Malgré la forte médiatisation de cette transaction, la position laissée sur Aave ne représente aucune menace notable pour le protocole ni pour ses utilisateurs.

L’attaquant a fourni 60 millions de dollars en USDT et emprunté 19 762 WETH (d’une valeur d’environ 44,9 millions de dollars à l’époque) en quelque trois minutes. La position qui en résulte affiche un facteur de santé d’environ 1,04 : elle est surcollatéralisée selon les normes du protocole, avec 59,9 millions de dollars de garanties pour 44,9 millions de dollars de dette.

Principaux éléments issus des outils de surveillance des risques d’Aave et des données on-chain :

• La dette impayée ne représente qu’environ 0,9 % de la réserve wETH Core d’Aave V3 (qui détenait quelque 2,16 millions de WETH au moment de la rédaction).

• La liquidité disponible en wETH reste importante (environ 345 000 WETH, soit un taux d’utilisation d’environ 81,6 %), ce qui signifie que les déposants peuvent toujours retirer leurs fonds librement s’ils le souhaitent.

• Les liquidations fonctionnent exactement comme prévu. Si le cours de l’ETH augmente d’environ 4 %, jusqu’à atteindre quelque 2 365 dollars, la position sera liquidée par les mécanismes de marché habituels, sans intervention particulière.

• Contrairement à des incidents précédents impliquant des garanties sans valeur ou toxiques (comme l’incident lié à Kelp), ces garanties sont constituées de véritables USDT. Rien ne justifie une ruée bancaire ni une réponse coordonnée de type « DeFi United ».

Le gardien d’Aave a ensuite gelé les nouveaux dépôts et emprunts sur les marchés concernés par mesure de précaution, afin d’empêcher toute nouvelle conversion d’actifs volés. Les positions existantes, y compris celle-ci, restent pleinement opérationnelles pour les remboursements et les retraits. En théorie, la gouvernance pourrait cibler cette seule position au moyen d’une mise à niveau personnalisée, mais cela présenterait peu d’avantages pratiques : les liquidations ordinaires devraient régler la situation sans difficulté.

En bref, le protocole a absorbé une utilisation hostile sophistiquée, mais entièrement conforme aux règles, de ses marchés de prêt et continue de fonctionner normalement. Les réserves sont gelées pour toute nouvelle activité, mais les utilisateurs peuvent toujours gérer leurs positions sans interruption. Une nouvelle journée mouvementée dans la DeFi, mais Aave reste intact.