Le 29 octobre 2026, un pirate a dérobé environ 6,15 milliards de dollars à Binance en 31 minutes, ce qui en fait l’un des plus grands vols de l’histoire des cryptomonnaies — voire de l’histoire d’Internet.
Binance a d’abord estimé ses pertes à 6,3 milliards de dollars ; le traçage des transactions une à une effectué par la société d’analyse de la blockchain BitOK les évalue à 6,15 milliards de dollars sur neuf blockchains.
Le pirate n’a jamais dérobé les clés privées de Binance. Il a plutôt fait en sorte que les propres systèmes de Binance autorisent le vol. Ce guide retrace le braquage dans l’ordre et explique chaque terme technique au fil du récit. Toutes les heures sont en UTC.
Les bases : comment une plateforme d’échange transfère de l’argent
Les portefeuilles chauds sont les portefeuilles en ligne d’une plateforme d’échange. Ils restent connectés pour que les retraits puissent être traités rapidement.
La signature. Chaque transfert doit être approuvé à l’aide de la clé privée d’un portefeuille, un numéro secret. Les plateformes d’échange utilisent des systèmes automatisés pour signer des milliers de paiements par jour.
Les nonces sont le compteur de transactions d’un portefeuille Ethereum. Le nonce d’un portefeuille très actif augmente constamment.
Les cryptomonnaies pouvant être gelées. Les émetteurs de stablecoins comme Tether (USDT) et Circle (USDC) peuvent geler des adresses. Personne ne peut geler des cryptomonnaies natives comme le BTC, l’ETH ou le TRX.
28 octobre : les préparatifs avant le piratage
Chaque transaction sur une blockchain coûte de petits frais. Pour approvisionner ses portefeuilles sans laisser de trace, l’attaquant a utilisé Tornado Cash, un « mélangeur » qui regroupe les cryptomonnaies de nombreux utilisateurs afin qu’on ne puisse pas relier les retraits aux dépôts.
Six retraits de Tornado Cash ont approvisionné le portefeuille de l’opérateur et ceux de deux complices.
29 octobre, 02:28–16:47 UTC : deux répétitions
Avant de s’attaquer à Binance, l’attaquant s’est exercé avec ses propres portefeuilles, comme un cambrioleur qui testerait d’abord son crochet sur sa propre porte d’entrée.
L’outil était un contrat intelligent : un programme qui s’exécute sur Ethereum et fait exactement ce que son code lui indique. Celui-ci avait été conçu pour vider tout portefeuille qui l’autorise à agir en son nom. (La fonctionnalité EIP-7702 d’Ethereum permet ce type d’autorisation ; nous y reviendrons plus bas.)
02:28 — l’attaquant publie une version de test du programme de vidage.
13:51–14:24 — première répétition. L’attaquant place de petites sommes d’USDT et d’USDC dans deux de ses propres portefeuilles, autorise le programme de test à les gérer, puis le déclenche. Les deux portefeuilles sont vidés. L’outil fonctionne.
15:59 — l’attaquant publie la version finale, celle qui sera ensuite utilisée contre Binance.
16:20–16:47 — deuxième répétition, avec le même test mais cette fois avec la version finale.
La version finale avait un pouvoir supplémentaire : elle pouvait faire faire n’importe quoi à un portefeuille, et pas seulement envoyer des jetons. Cette nuit-là, elle lui a permis d’ordonner à un portefeuille Binance de transférer 823 millions d’USDC. Un outil aussi spécialisé laisse penser que l’attaquant savait déjà comment les portefeuilles de Binance étaient configurés.
« La différence entre les deux versions était cruciale. Le contrat principal comportait une fonction permettant d’exécuter des appels arbitraires au nom d’un portefeuille qui lui avait délégué le contrôle. L’attaquant a ensuite utilisé cette fonction pour vider 823 millions d’USDC d’un portefeuille intelligent Binance », a expliqué BitOK.
29 octobre, 20:04 UTC : le siphonnage en 31 minutes
De 20:04:52 à 20:35:53, l’attaquant a vidé des portefeuilles chauds de Binance sur XRP Ledger, Solana, Bitcoin, Ethereum, Tron, Base, Optimism, Arbitrum et Avalanche. Le butin comprenait :
18,270.2 BTC,
197,540 ETH,
2.49 milliards d’USDT,
823 millions d’USDC,
233.46 millions de XRP,
970,522 SOL et des dizaines d’autres jetons.
Tous les transferts ont été signés par les propres portefeuilles de Binance. BitOK les a repérés grâce à leurs caractéristiques : des frais 2 à 2.7 fois supérieurs à la normale, des formats de transaction que le logiciel de paiement de Binance n’utilise pas et, sur Ethereum, de faux transferts insérés entre de vrais paiements aux clients.
L’attaquant a compromis l’ordinateur portable d’un ingénieur DevOps, puis utilisé un conteneur de service (un programme empaqueté qui s’exécute dans les systèmes de Binance) pour soumettre de faux ordres de retrait.
C’était le coup le plus ingénieux de la nuit. La cible était un portefeuille chaud Ethereum très actif appelé Binance 14.
Le plan. Avec EIP-7702, un portefeuille peut signer un laissez-passer, appelé autorisation, qui permet à un contrat intelligent d’agir en son nom. Si Binance 14 en signait un désignant le contrat de l’attaquant, celui-ci prendrait le contrôle du portefeuille.
Le problème. Un laissez-passer ne fonctionne que s’il contient le numéro de transaction actuel du portefeuille, son nonce. Binance 14 payait des clients sans arrêt, donc ce numéro changeait constamment. Un laissez-passer avec un mauvais numéro est tout simplement ignoré.
L’astuce. À 20:20:59, l’attaquant a fait signer 50 laissez-passer à la fois par le système de signature de Binance, chacun avec un numéro différent. Imaginez essayer 50 clés dans une serrure au même moment : une seule doit correspondre. Et c’est arrivé. Binance 14 obéissait désormais aux ordres du contrat de l’attaquant, tout en continuant à fonctionner normalement, si bien que l’argent continuait d’y affluer.
Le résultat. Quelques minutes plus tard, une seule transaction a vidé 65 jetons différents d’une valeur totale de plus de 2,2 milliards de dollars, dont 1,615 milliard d’USDT et 167,464 ETH. À 20:41 et 20:59, le contrat a également fait envoyer 823 millions d’USDC depuis un autre portefeuille Binance.
Binance 16. Un deuxième portefeuille chaud a été dérobé de façon plus simple. Le système de Binance a reçu neuf faux transferts, qu’il a signés et envoyés en même temps que les paiements réels aux clients. Ils représentaient 28,005.6 ETH et 55.7 millions d’USDT.
Sur Ethereum, 500 millions d’USDT ont quitté l’adresse de réception principale en six minutes. Entre 20:34 et 21:09, l’attaquant a converti 435 millions d’USDT en ETH sur Uniswap, une plateforme d’échange décentralisée gérée par du code. Il a aussi déposé 60 millions d’USDT sur Aave, un protocole de prêt, et emprunté 19,762 ETH en garantie, laissant derrière lui les fonds qui pouvaient être gelés.
Sur Tron, 612.7 millions d’USDT ont quitté le portefeuille Binance-Hot 7. En 16 échanges sur SunSwap, la principale plateforme d’échange décentralisée de Tron, l’attaquant a converti 234 millions d’USDT en 638.2 millions de TRX.
Pour geler les USDT, Tether avait besoin de trois approbations de son portefeuille multisignature, un dispositif qui nécessite plusieurs validations. Chaque gel prenait jusqu’à 2 minutes 36 secondes, et les demandes en attente étaient visibles sur la blockchain. L’attaquant pouvait voir arriver un gel et agir avant : un portefeuille a transféré 130 millions d’USDT seulement 48 secondes avant son gel. Mais à une adresse, l’attaquant a hésité et perdu près de 175 millions d’USDT.
Les 823 millions d’USDC se trouvaient encore tous à une seule adresse et ont été gelés en une seule transaction.
Gelés par Tether et CircleMontantEthereum USDT1,38 milliard de dollarsEthereum USDC823 millions de dollarsTron USDT378,7 millions de dollarsAvalanche USDt8,4 millions de dollarsTotal2,59 milliards de dollars
D’autres émetteurs ont gelé des USD1, XAUt, PAXG, wBETH et FDUSD, et l’émetteur de BEAM a brûlé 984 millions de jetons volés. Le Conseil de sécurité d’Arbitrum, un organe d’urgence de 12 membres, a saisi 8,426 ETH et 74.56 millions d’ARB.
Au total, environ 2,79 milliards de dollars ont été gelés, brûlés ou saisis. Malgré cela, 669 millions d’USDT avaient déjà été convertis en ETH et en TRX.
21:43–00:10 UTC : le portefeuille qui continuait de se faire dérober
Binance 14 était toujours sous le contrôle de l’attaquant.
21:43:59 — un approvisionnement courant de Binance envoie 200 millions d’USDT à Binance 14. Douze secondes plus tard, le contrat les récupère. Les USDT arrivent à une adresse déjà gelée, mais près de 370 ETH parviennent à s’échapper.
22:39 — un autre transfert emporte 128.49 ETH.
23:56 — 2,961.91 ETH sont transférés une minute après leur arrivée.
00:10:35, le 30 octobre — Binance annule enfin le transfert de contrôle.
L’attaquant a gardé le portefeuille sous son contrôle pendant près de quatre heures.
Où sont passés les 18,270 BTC
À 20:20:06, 11 transactions ont transféré 18,270.2 BTC depuis un portefeuille chaud de Binance, en payant le double des frais habituels. Les bitcoins ont été répartis entre 19 adresses, dont 17 contenant chacune 1,000 BTC. Au 30 octobre, aucun n’avait été déplacé. Le registre public de Bitcoin permet de les suivre, mais personne ne peut les geler.
La principale découverte de BitOK : les fonds volés à Binance ont atteint la même adresse Ethereum qui recevait déjà le produit du piratage de Bitget de septembre 2026.
L’attaquant a fait transiter des TRX et des USDT par THORChain, un protocole qui échange des cryptomonnaies entre différentes blockchains, et a reçu des ETH à l’adresse 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7.
Cette adresse avait déjà reçu des ETH reliés au piratage de Bitget. Ils provenaient d’adresses Bitcoin figurant sur la liste publiée par Bitget des portefeuilles de l’attaquant, actifs depuis le 23 octobre, et étaient initialement sous forme de ZEC, une cryptomonnaie qui n’a jamais été volée à Binance.
À 06:20, elle avait reçu huit paiements liés à Bitget (349.46 ETH) et cinq liés à Binance (13.63 ETH), puis envoyé les fonds mêlés vers de nouveaux portefeuilles. Le fait qu’une adresse soit commune ne permet pas à lui seul d’identifier les responsables de l’un ou l’autre piratage.
Les deux attaques impliquaient une intrusion dans des systèmes internes sans vol de clés privées, et Bitget a attribué son piratage à la Corée du Nord. BitOK relève également des caractéristiques qu’il associe aux groupes nord-coréens : des répétitions, un financement par Tornado Cash, des échanges instantanés de jetons pouvant être gelés et une préparation pendant les heures de travail en UTC+9.
« La découverte récente d’une adresse de blanchiment commune constitue une preuve plus solide d’un chevauchement opérationnel que les seules similitudes dans les tactiques. BitOK estime que les deux vols pourraient être liés au même groupe nord-coréen et qu’un seul opérateur contrôlait les flux de blanchiment observés. Cela reste une attribution analytique, et non une preuve de l’identité réelle de chaque participant », a déclaré BitOK.
La réponse de Binance
Binance a suspendu les retraits depuis ses portefeuilles chauds Bitcoin et Tron vers 20:36, tandis que les dépôts se poursuivaient. La plateforme s’est engagée à couvrir toutes les pertes des clients grâce à son fonds d’urgence SAFU et à ses propres ressources.
Je veux vous parler directement de ce qui s’est passé. En bref : votre argent est en sécurité et nous couvrons toutes les pertes. Notre enquête préliminaire suggère que cet incident de sécurité pourrait avoir commencé par la compromission de l’ordinateur portable d’un ingénieur DevOps. Cela a donné à un attaquant accès à un…
— Richard Teng (@_RichardTeng) 30 octobre 2026
Sur l’ensemble du marché, 1,58 milliard de dollars de positions à effet de levier ont été liquidées en 24 heures, selon Coinglass.
Que détiennent les attaquants à présent ?
Au 30 octobre à 06:20, BitOK associait l’attaquant aux actifs suivants :
197,460 ETH,
18,270.2 BTC,
233.46 millions de XRP,
environ 970,500 SOL,
675.9 millions de TRX,
et 1.61 million d’AVAX.
Les ETH, BTC, XRP et SOL représentaient à eux seuls environ 2,95 milliards de dollars.
Les attaquants ont détourné le système qui signe les retraits de Binance. BitOK a partagé des leçons à tirer du piratage de Binance pour le secteur des cryptomonnaies.
« L’incident Binance montre pourquoi la sécurité des seules clés privées ne suffit pas. Les plateformes d’échange doivent également contrôler les autorisations de signature, se protéger contre les instructions de retrait suspectes, révoquer rapidement les autorisations compromises et surveiller en continu les mouvements d’actifs sur différents réseaux. »