Le 29 octobre 2026, Binance a subi une importante faille de sécurité impliquant des transferts de cryptomonnaies non autorisés d’une valeur estimée à 6,3 milliards de dollars. L’incident a touché plusieurs réseaux blockchain et déclenché un effort à l’échelle du secteur pour retracer et geler les actifs volés.
L’enquête préliminaire de Binance indique que le point d’entrée pourrait être l’ordinateur portable d’un ingénieur DevOps potentiellement compromis. La plateforme a déclaré n’avoir trouvé aucune preuve d’une fuite de clé privée de portefeuille et s’est engagée à couvrir toutes les pertes au moyen de son Fonds sécurisé pour les utilisateurs (SAFU) et de ses fonds propres.
1. Comment l’incident a-t-il commencé ?
Le 29 octobre, des systèmes de surveillance de la blockchain ont détecté des mouvements suspects depuis des portefeuilles liés à Binance. Les premières enquêtes se sont concentrées sur les transferts effectués sur Ethereum, mais des analyses ultérieures ont révélé une activité sur Bitcoin, Tron, Solana, XRP Ledger et d’autres réseaux.
À mesure que les enquêteurs retraçaient de nouvelles transactions, l’impact estimé a augmenté. Binance l’a évalué à 6,3 milliards de dollars.
L’incident a rapidement donné lieu à une vaste enquête inter-chaînes. Des sociétés spécialisées dans le renseignement sur la blockchain et des entreprises du secteur des cryptomonnaies ont travaillé à identifier les portefeuilles concernés et à empêcher tout autre mouvement des actifs.
2. Comment les attaquants auraient piraté Binance
Le point d’entrée présumé
L’enquête préliminaire de Binance laisse penser que l’ordinateur portable d’un ingénieur DevOps a peut-être été compromis, permettant à l’attaquant d’accéder à un conteneur de service interne. Cet accès aurait pu être utilisé pour soumettre des transactions de retrait non autorisées.
La méthode exacte utilisée pour compromettre l’appareil n’a pas été établie publiquement. Binance a également indiqué qu’aucun élément ne prouvait que les clés privées des portefeuilles avaient été divulguées.
Comment des retraits non autorisés ont-ils été possibles ?
Les premières conclusions laissent penser que l’attaquant a peut-être exploité son accès à un service interne autorisé plutôt que d’extraire directement les clés privées des portefeuilles.
Cette distinction est importante, car les retraits de cryptomonnaies dépendent de plusieurs systèmes interconnectés, notamment des services internes, des droits d’accès et de l’infrastructure de signature des transactions. La compromission de l’un de ces systèmes peut permettre d’abuser de processus de transaction légitimes.
La séquence complète des événements — comment l’attaquant a obtenu l’accès et les autorisations nécessaires — fait toujours l’objet d’une enquête.
La technique visant le portefeuille Ethereum
Une analyse indépendante de la sécurité de la blockchain a identifié l’utilisation du mécanisme de délégation de compte EIP-7702 d’Ethereum dans l’attaque visant le portefeuille chaud Ethereum de Binance.
EIP-7702 permet aux comptes Ethereum détenus par des utilisateurs de déléguer certaines fonctions d’exécution à du code de contrat intelligent. L’activité signalée laisse penser que ce mécanisme a pu être détourné pour faciliter des transferts d’actifs non autorisés.
Cela ne signifie pas qu’Ethereum lui-même a été compromis. Le rôle précis de ce mécanisme et la manière dont il a été exploité devront être établis dans le rapport technique de Binance après l’incident.
3. Ampleur et chronologie de l’attaque
L’analyse de la blockchain publiée le 30 octobre donne un premier aperçu de l’évolution de l’incident.
Date et heure (UTC)Déroulement28 octobreUne activité préliminaire sur la chaîne, liée à des portefeuilles associés par la suite à l’incident, a été repérée.29 octobreDes transferts suspects importants sont apparus sur XRP Ledger.29 octobreUne activité supplémentaire a été détectée sur Solana et d’autres réseaux.29 octobreDes transferts importants impliquant des portefeuilles liés à Bitcoin, Tron et Ethereum ont suivi.29 octobreUne importante transaction Ethereum a transféré des quantités considérables d’ETH, d’USDT et d’autres jetons.29 octobre, plus tard dans la soiréeTether, Circle et d’autres acteurs de l’écosystème ont commencé à geler ou à restreindre les actifs concernés.30 octobreBinance a identifié l’ordinateur portable potentiellement compromis d’un ingénieur DevOps comme possible point d’entrée et a signalé environ 3 milliards de dollars d’actifs gelés.30 octobre, mise à jour ultérieureBinance a confirmé que les dépôts fonctionnaient normalement, tandis que les retraits restaient suspendus pendant une refonte de sécurité.
La chronologie rend compte de l’activité signalée sur la blockchain et des mises à jour des entreprises. La séquence définitive des événements fait toujours l’objet d’une enquête judiciaire.
4. Quelles cryptomonnaies ont été concernées ?
L’incident a impliqué plusieurs cryptomonnaies, stablecoins et actifs numériques de moindre importance sur différents réseaux blockchain.
Principaux actifs identifiés dans l’analyse de la blockchain
ActifMontant signaléValeur approximativeBitcoin (BTC)18 270 BTC1,47 milliard de dollarsEthereum (ETH)200 630 ETHInclus dans le total du réseau EthereumTether (USDT)1,875 milliard sur Ethereum et 612,7 millions sur TronPlus de 2,4 milliards de dollars au totalUSD Coin (USDC)Environ 823 millionsEnviron 823 millions de dollarsRipple USD (RLUSD)Environ 88,5 millionsInclus dans le total du réseau EthereumXRP233,46 millions de XRPEnviron 296 millions de dollarsSolana (SOL)Environ 970 500 SOLEnviron 96 millions de dollarsTRXEnviron 46,4 millions identifiés directementTRX supplémentaires acquis lors d’échanges ultérieursArbitrum (ARB)Environ 74,6 millions d’ARBInclus dans le total inter-chaînes élargi
Autres jetons concernés
Les actifs supplémentaires identifiés dans les portefeuilles concernés comprenaient Wrapped Beacon ETH (wBETH), Tether Gold (XAUt), Uniswap (UNI), Ethena (ENA), Pepe (PEPE), World Liberty Financial USD (USD1), Chainlink (LINK), Aave (AAVE), Avalanche (AVAX), Optimism (OP), USDT0, Paxos Gold (PAXG), Zama (ZAMA) et Lagrange, ainsi que plusieurs jetons de moindre importance.
Arkham Intelligence a étiqueté plusieurs adresses associées à l’attaquant présumé, aidant ainsi les enquêteurs à surveiller les mouvements ultérieurs. La liste des jetons pourrait évoluer à mesure que de nouvelles transactions seront identifiées.
Suivez le pirate de Binance sur Arkham :https://t.co/hp8dDvAdQl
— Arkham (@arkham) 30 octobre 2026
5. Qui a piraté Binance ?
Le lien nord-coréen
Nos enquêteurs ont observé des fonds volés par la RPDC lors de l’exploit de Bitget du mois dernier se mêler à des fonds volés à Binance.
Nous sommes très confiants que la RPDC est responsable du piratage de Binance, évalué à 6,4 milliards de dollars. https://t.co/xj9dQYcbKr
— Chainalysis (@chainalysis) 30 octobre 2026
Le 30 octobre, la société d’analyse de la blockchain Chainalysis a déclaré être très confiante quant à la responsabilité de la Corée du Nord dans l’incident de Binance. Ses enquêteurs ont indiqué avoir repéré des fonds issus d’un précédent exploit de Bitget mêlés à des fonds associés au vol de Binance.
Ces évaluations suggèrent un possible lien avec la Corée du Nord, mais l’identité des personnes responsables n’a pas été établie publiquement. Binance a déclaré collaborer avec les forces de l’ordre pour identifier les personnes impliquées et les traduire en justice.
Cette attribution doit donc être considérée comme une évaluation du renseignement plutôt que comme une conclusion juridique définitive.
Mise à jour : le montant total actuellement confirmé des fonds gelés s’élève à environ 3 milliards de dollars.
Nos équipes continuent de travailler en étroite collaboration avec les forces de l’ordre, les émetteurs, les sociétés spécialisées dans le renseignement sur la blockchain et nos partenaires du secteur afin de tracer et de geler des actifs supplémentaires.
Nous ne communiquerons que des chiffres confirmés et nous… pic.twitter.com/e5RHM1VwOU
— Binance (@binance) 30 octobre 2026
6. Quel montant a été gelé et récupéré ?
Binance a d’abord indiqué qu’environ 3 milliards de dollars d’actifs concernés avaient été gelés grâce à la coordination avec des partenaires de la blockchain, des émetteurs de jetons et d’autres acteurs du secteur.
Plusieurs entreprises et réseaux ont contribué à l’opération :
Tether (USDT) : aurait gelé plus de 1,567 milliard de dollars liés à l’incident. Des analyses ultérieures ont identifié des USDT supplémentaires soumis à des restrictions à plusieurs adresses.
Circle (USDC) : a gelé environ 823 millions de dollars en USDC associés à l’incident.
Ripple (RLUSD) : a confirmé surveiller l’incident et geler activement les fonds concernés.
Arbitrum : son Conseil de sécurité a pris des mesures pour geler environ 30,5 millions de dollars associés à l’exploit.
Autres émetteurs et partenaires : des actifs supplémentaires, notamment USD1, FDUSD et des jetons adossés à l’or, ont fait l’objet de gels ou d’autres restrictions.
Pourquoi le gel est important
Les émetteurs de stablecoins comme USDT et USDC peuvent les geler, car ils ont la capacité de restreindre les transferts depuis des adresses spécifiques. Cela a contribué à empêcher l’attaquant présumé de déplacer une partie des actifs concernés.
Les fonds des utilisateurs sont en sécurité !
Il semble bien qu’il s’agisse d’un piratage de Binance. Merci à Tether (~971 M$) et Circle (~823 M$) pour la rapidité du gel.
Je ne gère plus Binance (.com), mais en tant qu’actionnaire, je m’attends à ce que tous les fonds des utilisateurs soient intégralement couverts. https://t.co/oufpyNChxI
— CZ 🔶 BNB (@cz_binance) 29 octobre 2026
Bitcoin et Ether n’ont pas d’émetteur central disposant de la même capacité à mettre des adresses sur liste noire. Leur récupération dépend davantage du suivi des transactions, de la coopération des plateformes d’échange et des intermédiaires, ainsi que des procédures judiciaires.
Il est important de distinguer les actifs gelés des fonds récupérés. Les cryptomonnaies gelées peuvent rester inaccessibles pendant que les enquêteurs établissent à qui elles appartiennent et déterminent comment les restituer légalement.
Nous avons connaissance des différents chiffres qui circulent publiquement au sujet du montant gelé, notamment de mentions de 1,8 milliard de dollars.
Pour plus de clarté, le montant total actuellement confirmé des fonds gelés est de 2,54 milliards de dollars. Ce chiffre pourrait encore augmenter tandis que nos équipes travaillent en étroite collaboration avec les forces de l’ordre,… pic.twitter.com/Kx68qptfXk
— Binance (@binance) 29 octobre 2026
7. Qu’est-il advenu des fonds volés ?
Les enquêteurs spécialisés dans la blockchain ont retracé des fonds circulant sur Ethereum, Bitcoin, Tron, Solana, XRP Ledger et plusieurs réseaux de couche 2.
Certains actifs ont été convertis en d’autres cryptomonnaies au moyen d’échanges, puis transférés vers plusieurs adresses. L’activité signalée comprenait des transactions impliquant Ether et TRX, ainsi que des interactions avec des plateformes d’échange décentralisées et d’autres services de la blockchain.
Ces mouvements compliquent la récupération, même si les registres publics de la blockchain permettent aux enquêteurs de suivre les transactions et d’identifier les liens entre les portefeuilles.
Le déplacement des fonds ne signifie pas nécessairement que l’attaquant a réussi à les convertir en espèces. Au 30 octobre, la destination finale de tous les actifs concernés n’avait pas été établie.
8. Qu’est-il arrivé aux clients de Binance ?
Les fonds des clients ont-ils été perdus ?
Binance a déclaré que les fonds des clients étaient en sécurité et s’est engagée à couvrir toutes les pertes au moyen de son fonds SAFU et de ses fonds propres. La plateforme aurait également réservé 6,34 milliards de dollars de fonds d’entreprise pour couvrir les pertes liées à l’incident, réaffirmant ainsi son engagement à protéger ses clients.
Cet engagement est important pour les clients, mais sa mise en œuvre devra être évaluée à la lumière de la mise à jour promise par la plateforme concernant sa preuve de réserves et des informations publiées par la suite.
Les retraits ont-ils été affectés ?
Binance a temporairement suspendu les dépôts et les retraits pendant ses contrôles de sécurité.
Dans sa mise à jour du 30 octobre, la plateforme a indiqué que les dépôts fonctionnaient normalement, tandis que les retraits restaient suspendus pendant la refonte de sécurité du service de retrait et des adresses associées. Elle prévoyait de reprendre les retraits dans les 48 heures.
Qu’en est-il du trading ?
Le trading sur Binance Alpha ainsi que certains services connexes d’achat instantané et de marchés de prédiction utilisant des fonds provenant de portefeuilles au comptant ont également été temporairement suspendus.
La plateforme a indiqué que ces services reprendraient une fois le problème de sécurité résolu. Ces restrictions s’inscrivaient dans le cadre de mesures de précaution plus larges.
9. La réponse de Binance et le soutien de l’ensemble du secteur
La réponse de Binance a consisté à la fois à prendre des mesures de sécurité internes et à collaborer avec des entreprises de l’ensemble du secteur des cryptomonnaies.
Changpeng Zhao (CZ), cofondateur et ancien directeur général de Binance, a rassuré les utilisateurs en leur affirmant que leurs fonds étaient en sécurité. Il a également salué les employés qui ont travaillé toute la nuit pour gérer l’incident et remercié les acteurs du secteur, y compris les concurrents, pour leur aide.
Yi He, cofondatrice et codirectrice générale de Binance, a remercié la communauté pour son soutien et indiqué que l’équipe effectuait des contrôles de sécurité avant de rétablir les retraits.
La réponse de la plateforme s’est concentrée sur les mesures suivantes :
Révoquer les autorisations associées à l’adresse concernée.
Restreindre temporairement les services concernés.
Collaborer avec les forces de l’ordre et les sociétés spécialisées dans le renseignement sur la blockchain.
Coordonner les efforts avec les émetteurs de jetons et les partenaires du secteur pour geler les actifs.
Renforcer le service de retrait et les adresses associées.
Préparer un rapport technique détaillé après l’incident.
Publier une preuve de réserves mise à jour après les mesures correctives.
Tether, Circle, Ripple et Arbitrum ont également contribué à la réponse en imposant des restrictions sur les actifs et en les gelant. Les sociétés spécialisées dans le renseignement sur la blockchain ont poursuivi le suivi des transactions et l’identification des adresses associées.
Cette mobilisation coordonnée montre comment les plateformes d’échange, les émetteurs de jetons, les réseaux blockchain et les enquêteurs peuvent collaborer lors d’un incident de sécurité majeur.
10. Pourquoi cet incident est important pour l’ensemble du secteur des cryptomonnaies
L’incident met en évidence les risques liés aux accès privilégiés des employés et aux systèmes internes de retrait.
Même lorsque les clés privées des portefeuilles restent sécurisées, la compromission de services internes peut ouvrir la voie à des transactions non autorisées. La sécurité des appareils des employés, les droits d’accès et les systèmes d’approbation des retraits sont donc tout aussi importants que la protection des clés privées.
L’incident soulève également des questions sur les protections mises en place par les plateformes d’échange pour empêcher un système interne compromis d’approuver seul des retraits importants.
Des contrôles d’accès plus stricts pour les employés, la validation indépendante des transactions, des limites de retrait et une surveillance en temps réel pourraient contribuer à réduire le risque d’incidents similaires.
Pour l’ensemble du secteur, cet incident rappelle que la sécurité des plateformes d’échange demeure un risque majeur, même lorsque les réseaux blockchain sous-jacents continuent de fonctionner normalement.
11. Incidence sur les marchés et questions en suspens
L’incident a accru l’incertitude sur les marchés des cryptomonnaies. Selon des informations publiées à l’époque, le Bitcoin est passé sous la barre des 77 000 dollars, tandis que l’Ether et d’autres actifs étaient également en baisse. Les préoccupations liées à la sécurité ont pu contribuer à la pression sur les marchés, mais ces mouvements de prix ne peuvent pas être attribués entièrement à l’incident de Binance.
Plusieurs questions importantes restent également sans réponse :
Comment l’ordinateur portable de l’ingénieur DevOps a-t-il été compromis ?
Comment l’attaquant a-t-il obtenu un accès suffisant au système de retrait ?
Quelle part des cryptomonnaies concernées pourra finalement être récupérée ?
Que révélera l’enquête technique finale sur l’attaque ?
La preuve de réserves mise à jour démontrera-t-elle que les actifs des clients restent suffisamment couverts ?
Quand tous les services concernés reprendront-ils leur fonctionnement normal ?
Les priorités immédiates de Binance sont de mener à bien sa refonte de sécurité, de rétablir les retraits en toute sécurité, de poursuivre sa coordination avec les enquêteurs et de publier son rapport technique après l’incident.
12. Évaluation finale
Nous travaillons sans relâche pour résoudre ce problème. Binance couvrira toutes les pertes.
Par mesure de précaution, les dépôts et les retraits sont temporairement suspendus pendant que notre équipe effectue des contrôles de sécurité, gèle des fonds et collabore avec les forces de l’ordre.
Nous travaillons sans relâche et nous… pic.twitter.com/zufWJ6V05D
— Binance (@binance) 30 octobre 2026
L’incident de Binance constitue une défaillance majeure de la sécurité d’une plateforme d’échange, avec un impact estimé à environ 6,3 milliards de dollars. Les premières conclusions suggèrent qu’une infrastructure interne compromise aurait pu permettre des retraits non autorisés sans fuite directe des clés privées des portefeuilles.
Le gel coordonné d’environ 3 milliards de dollars d’actifs démontre l’importance de la coopération à l’échelle du secteur dans les enquêtes sur les cryptomonnaies. Toutefois, le montant final récupéré, l’identité des auteurs et la méthode précise de l’attaque font encore l’objet d’une enquête.
L’engagement de Binance à couvrir toutes les pertes rassure les clients, mais la crédibilité à long terme de la plateforme dépendra du rétablissement sécurisé des retraits, de la publication d’une preuve de réserves mise à jour et de la transparence de ses explications techniques.
L’incident doit être considéré comme une faille de sécurité majeure faisant l’objet d’une enquête, et non comme la preuve que les fonds des clients ont été définitivement perdus ou que tous les actifs concernés ont été récupérés. Le rapport technique final, des chiffres de récupération vérifiables de manière indépendante et le rétablissement des services normaux seront les évolutions les plus importantes à suivre.