L’industrie des cryptomonnaies a passé des années à bâtir un nouveau système financier, à attirer des millions d’utilisateurs et à développer des technologies permettant aux gens de transférer de l’argent sans dépendre entièrement des banques traditionnelles. Mais chaque fois qu’un incident majeur de sécurité se produit, une question délicate se pose : dans quelle mesure les gens devraient-ils faire confiance aux entreprises qui exploitent ces systèmes ?
La récente faille de sécurité de Binance a remis cette question au premier plan. Le 29 octobre 2026, des pirates ont dérobé environ 6,3 milliards de dollars en cryptomonnaies dans des portefeuilles associés à Binance, selon la plateforme d’échange et des enquêteurs spécialisés dans la blockchain. Le vol a eu lieu sur plusieurs réseaux blockchain, et la majeure partie des fonds a été transférée en une vingtaine de minutes. Il s’agit de l’un des plus importants vols de cryptomonnaies jamais signalés. Reuters a rapporté que les pirates avaient exploité des failles dans les systèmes utilisés par Binance pour autoriser les transactions, tandis que l’enquête de la plateforme a révélé que l’incident était plus complexe qu’on ne l’avait d’abord compris.
Ce qui rend cet incident particulièrement important, ce n’est pas seulement le montant d’argent en jeu. C’est la manière dont l’attaque semble s’être déroulée, les questions qu’elle soulève sur la sécurité des plateformes d’échange de cryptomonnaies et la différence entre le rétablissement des soldes des clients et la récupération des actifs volés à l’origine.
Pour avoir une vue d’ensemble, il est utile d’examiner les raisons de la création de Binance, le fonctionnement des plateformes d’échange de cryptomonnaies, les découvertes des enquêteurs et les conséquences que cet incident pourrait avoir sur l’avenir de la finance numérique.
Binance a été fondée en 2017, à une époque où les cryptomonnaies devenaient plus accessibles aux investisseurs ordinaires. Bitcoin avait introduit l’idée d’une monnaie numérique pouvant fonctionner sans banque traditionnelle, tandis qu’Ethereum a élargi cette idée en permettant aux développeurs de créer des applications financières sur une blockchain.
Cependant, acheter et vendre des cryptomonnaies directement n’a pas toujours été simple. Il fallait disposer d’un moyen pratique d’échanger de la monnaie traditionnelle contre des actifs numériques, de négocier différentes cryptomonnaies et de gérer ses avoirs sans maîtriser tous les détails techniques.
Cela a ouvert une voie aux plateformes d’échange de cryptomonnaies.
Binance a été créée pour faciliter et démocratiser les échanges de cryptomonnaies. Plutôt que de chercher une autre personne avec qui négocier directement, les utilisateurs pouvaient passer des ordres sur une plateforme et acheter ou vendre des actifs numériques au même endroit. Au fil du temps, Binance s’est développée pour devenir une entreprise beaucoup plus vaste, proposant des transferts de cryptomonnaies, des services de portefeuille, des produits financiers et des infrastructures pour les transactions sur blockchain.
La croissance de l’entreprise reflétait une évolution plus générale du secteur. Les cryptomonnaies n’étaient plus réservées aux personnes ayant des compétences techniques. Elles devenaient un marché financier utilisé par des personnes souhaitant accéder facilement aux actifs numériques.
Mais cette simplicité d’utilisation impliquait une responsabilité importante. Lorsque les gens ont commencé à conserver d’importantes sommes en cryptomonnaies sur des plateformes d’échange, ils ont aussi commencé à compter sur ces entreprises pour protéger leur argent.
C’est là que commence le défi de la sécurité.
Une plateforme d’échange de cryptomonnaies n’est pas simplement un site Web où les gens achètent et vendent des actifs numériques. Derrière l’interface se trouvent des systèmes qui gèrent les soldes des clients, traitent les retraits, approuvent les transactions et protègent les portefeuilles contenant des cryptomonnaies. Ces systèmes doivent fonctionner assez rapidement pour prendre en charge des millions de transactions, tout en étant suffisamment sécurisés pour empêcher les accès non autorisés.
C’est difficile, car les transactions en cryptomonnaies fonctionnent différemment des paiements bancaires traditionnels.
Lorsqu’un virement bancaire est frauduleux, il peut exister des procédures pour enquêter sur le paiement et tenter de l’annuler. Les transactions en cryptomonnaies sont différentes. Une fois qu’une transaction est confirmée sur une blockchain, il peut être extrêmement difficile de l’annuler. Si un attaquant envoie des cryptomonnaies volées vers un portefeuille qu’il contrôle, aucune autorité centrale ne peut simplement récupérer les fonds.
C’est pourquoi les plateformes d’échange doivent surtout empêcher les transactions non autorisées avant qu’elles aient lieu. Elles doivent protéger les comptes des clients, les appareils des employés, les logiciels internes et les systèmes chargés d’approuver les retraits.
Une entreprise peut disposer d’une sécurité solide pour les comptes de ses clients tout en présentant des faiblesses dans ses systèmes internes. Un portefeuille peut être techniquement sécurisé alors que le processus d’autorisation des transactions a déjà été compromis.
Cette distinction est devenue centrale dans l’incident de Binance.
Selon les premières explications de Binance, l’attaque impliquait un ordinateur portable compromis appartenant à un ingénieur DevOps. Les ingénieurs DevOps contribuent à la maintenance des systèmes qui permettent aux services en ligne de fonctionner. Leurs responsabilités peuvent inclure la gestion de l’infrastructure, la maintenance des logiciels et la coordination des différentes composantes technologiques d’une entreprise.
En raison de leurs responsabilités, les employés qui occupent ces postes peuvent avoir accès à des systèmes essentiels aux activités de l’entreprise. Si un attaquant compromet l’appareil utilisé par un tel employé, cela peut créer des possibilités qui ne seraient pas accessibles par l’intermédiaire d’un compte client ordinaire.
Toutefois, Binance a révélé par la suite que les enquêteurs avaient découvert d’autres points de compromission. Cela laissait entendre que l’incident était plus complexe que l’entreprise ne l’avait d’abord compris.
Dans une explication ultérieure, Richard Teng, co-PDG de Binance, a décrit l’incident comme une attaque complexe impliquant un ordinateur portable compromis et un logiciel malveillant conçu pour effacer les preuves. L’entreprise a également déclaré que les enquêteurs examinaient la manière dont les attaquants avaient contourné les procédures d’approbation habituelles.
Il est important de noter que l’ordinateur portable compromis constituait une première explication, pas nécessairement une description complète du déroulement de l’attaque.
Une enquête de sécurité doit établir comment l’attaquant a obtenu l’accès, quels systèmes ont été touchés, comment les approbations de transactions ont été manipulées et pourquoi les mesures de protection existantes n’ont pas empêché ces activités. La découverte d’un appareil compromis ne répond pas automatiquement à ces questions.
C’est aussi pourquoi il ne faut pas réduire l’incident à l’idée que quelqu’un aurait simplement volé le mot de passe d’un employé.
Les attaquants semblent avoir ciblé les systèmes utilisés par Binance pour autoriser les transactions en cryptomonnaies. Des enquêteurs spécialisés dans la blockchain ont indiqué que les attaquants avaient obtenu des autorisations de transaction valides auprès de portefeuilles contrôlés par Binance, ce qui leur a permis de transférer des fonds au moyen de transactions que la blockchain elle-même a acceptées comme légitimes.
En termes simples, imaginez un coffre-fort bancaire doté d’une porte sécurisée. Le coffre peut être assez robuste pour résister à toute tentative d’effraction directe. Mais si quelqu’un compromet le système chargé d’approuver les retraits, le coffre pourrait tout de même remettre de l’argent à la mauvaise personne.
Voilà la différence entre voler une clé et manipuler le système qui décide quand cette clé doit être utilisée.
L’enquête sur Binance a soulevé des questions concernant la seconde possibilité.
L’un des aspects les plus intéressants de l’incident concerne la fonctionnalité EIP-7702 d’Ethereum, qui permet aux portefeuilles de cryptomonnaies ordinaires d’utiliser du code de contrat intelligent dans certaines circonstances.
Pour comprendre pourquoi c’est important, il est utile de savoir comment fonctionne un portefeuille Ethereum ordinaire.
Un portefeuille traditionnel est généralement contrôlé par une clé privée. Cette clé permet à son propriétaire d’approuver des transactions, et la blockchain vérifie si elles ont été dûment autorisées.
Ce système est relativement simple, mais il comporte aussi des limites. Les portefeuilles ordinaires ne peuvent pas facilement effectuer certaines tâches avancées, comme gérer automatiquement des paiements, appliquer des règles de dépenses ou permettre à une autre application de prendre en charge certaines étapes d’une transaction.
Les portefeuilles à contrats intelligents offrent davantage de flexibilité, car ils peuvent appliquer des règles intégrées au logiciel.
EIP-7702 a été introduite pour aider les portefeuilles ordinaires à accéder à certaines de ces fonctionnalités sans obliger les utilisateurs à remplacer complètement leur portefeuille existant.
Cette fonctionnalité est devenue disponible avec la mise à niveau Pectra d’Ethereum, en mai 2025. Elle permet à un portefeuille ordinaire d’utiliser temporairement le code d’un contrat intelligent. Cela peut faciliter le regroupement de paiements, simplifier certaines opérations du portefeuille et permettre des fonctionnalités de transaction plus avancées.
EIP-7702 vise à rendre les portefeuilles de cryptomonnaies plus flexibles et plus faciles à utiliser.
Mais une flexibilité accrue entraîne aussi des responsabilités supplémentaires.
Lorsque des autorisations importantes sont accordées à un portefeuille, les utilisateurs et les systèmes de sécurité doivent comprendre exactement ce qu’elles permettent. Si un attaquant parvient à manipuler le processus d’approbation, une fonctionnalité conçue pour rendre les portefeuilles plus pratiques pourrait se retrouver au cœur d’une attaque.
Selon l’analyse des données de la blockchain réalisée par CoinDesk, un attaquant a utilisé EIP-7702 pour faire fonctionner un portefeuille Binance avec du code malveillant. L’attaquant avait obtenu des autorisations valides du portefeuille, ce qui lui a permis d’utiliser le code sans passer par le processus d’approbation habituellement exigé par Binance.
L’attaquant a ensuite utilisé ce code malveillant pour transférer des cryptomonnaies hors du portefeuille touché.
Il ne s’agissait pas d’un cas où la blockchain Ethereum aurait simplement ignoré ses propres règles. Les transactions ont été acceptées parce que les autorisations requises avaient été accordées. Le problème est que ces autorisations auraient été obtenues ou utilisées d’une manière que les systèmes de sécurité de Binance n’ont pas correctement empêchée.
La manière exacte dont l’attaquant a obtenu ces autorisations demeure une question centrale de l’enquête.
C’est pourquoi l’incident a soulevé des questions difficiles sur la manière de vérifier les autorisations importantes d’un portefeuille avant de les approuver.
La fonctionnalité elle-même a été conçue pour offrir plus de flexibilité aux portefeuilles. La question est de savoir si les systèmes chargés d’approuver ces autorisations étaient suffisamment protégés.
Il est également important de comprendre qu’EIP-7702 ne constituait qu’un élément d’un incident plus vaste. Le vol rapporté a touché plusieurs réseaux blockchain, et les transactions concernées n’ont pas toutes utilisé la fonctionnalité de délégation de compte d’Ethereum.
Le problème commun semble avoir été la possibilité d’autoriser des transactions depuis des portefeuilles contrôlés par Binance.
Cela signifie qu’on ne peut pas résoudre le problème de sécurité plus général en supprimant simplement une fonctionnalité d’Ethereum. Le secteur doit comprendre comment les attaquants ont accédé aux systèmes d’approbation des transactions et comment empêcher des failles similaires sur différentes blockchains.
L’ampleur du vol rend cette question particulièrement importante.
Selon Reuters, environ 6,3 milliards de dollars en cryptomonnaies ont été volés dans les portefeuilles de traitement des transactions de Binance. D’après les données de la blockchain, la majeure partie du vol s’est produite en une vingtaine de minutes.
La rapidité de l’attaque montre à quelle vitesse un système compromis peut causer de graves dommages lorsqu’il a accès à d’importantes quantités de cryptomonnaies.
Une institution financière traditionnelle peut avoir plusieurs occasions d’examiner des transactions inhabituelles avant leur exécution. Les transactions en cryptomonnaies peuvent être beaucoup plus rapides, en particulier lorsque l’attaquant a obtenu une autorisation valide.
Dès que les fonds commencent à circuler entre différents réseaux blockchain, les enquêteurs et les équipes de sécurité doivent agir rapidement pour repérer les transactions et déterminer si certains actifs peuvent être gelés ou récupérés.
Cela nous amène à un autre aspect important de l’incident : ce qu’il est advenu des cryptomonnaies volées après leur sortie de Binance.
Les transactions en cryptomonnaies sont enregistrées sur des blockchains publiques. Les enquêteurs peuvent donc souvent suivre le déplacement des fonds d’un portefeuille à l’autre. Cela ne révèle pas automatiquement l’identité de la personne qui contrôle un portefeuille, mais peut fournir des informations importantes sur la manière dont les actifs volés sont transférés.
Certains actifs en cryptomonnaies disposent également de fonctionnalités permettant à leurs émetteurs de les geler.
Par exemple, certaines grandes cryptomonnaies stables peuvent être gelées par les entreprises qui les émettent. Les cryptomonnaies stables sont des actifs numériques conçus pour conserver une valeur relativement stable, souvent en étant indexés sur une monnaie traditionnelle comme le dollar américain.
Cela peut offrir une possibilité aux enquêteurs.
Si des cryptomonnaies stables volées sont repérées avant que l’attaquant puisse les transférer hors du contrôle de leur émetteur, celui-ci peut éventuellement les geler et empêcher leur transfert.
Reuters a rapporté que des émetteurs de cryptomonnaies stables, dont Tether, Circle et d’autres entreprises, avaient gelé une part importante des actifs volés. Le montant exact qui pourra être récupéré dépend des actifs concernés et des résultats de l’enquête.
Cependant, geler des cryptomonnaies ne revient pas à les restituer à Binance.
Un actif gelé peut devenir inaccessible à l’attaquant, mais il doit tout de même faire l’objet d’une procédure de récupération appropriée. D’autres cryptomonnaies, comme Bitcoin et Ether, ne peuvent généralement pas être gelées de la même manière par un émetteur centralisé.
Cela signifie que certains actifs volés peuvent être plus faciles à bloquer que d’autres.
L’enquête a également été liée au groupe TraderTraitor, soutenu par l’État nord-coréen.
Reuters a rapporté que des enquêteurs spécialisés dans la blockchain avaient relevé des similitudes entre l’incident de Binance et des attaques antérieures associées à des pirates informatiques nord-coréens. Selon les comptes rendus de l’enquête, le FBI a également attribué l’incident à ce groupe.
Des groupes liés à la Corée du Nord ont été associés par le passé à d’importants vols de cryptomonnaies. Ces dernières peuvent attirer les attaquants, car elles peuvent circuler à l’échelle internationale et sont parfois difficiles à récupérer une fois transférées.
Cependant, identifier un attaquant présumé ne constitue qu’une partie de l’enquête.
L’attribution aide les enquêteurs à déterminer qui pourrait être responsable, mais n’explique pas automatiquement tous les détails techniques de la brèche. Une enquête complète doit encore établir comment les attaquants ont obtenu l’accès, quels systèmes ont été touchés et comment les actifs volés ont été transférés.
Ces détails sont importants, car ils aident les autres entreprises à savoir si elles sont exposées à des failles similaires.
Sans explication technique claire, le secteur risque de considérer chaque attaque majeure comme un événement isolé au lieu de tirer des leçons des problèmes sous-jacents.
La réponse de Binance à l’incident constitue un autre aspect important de l’affaire.
La plateforme a déclaré qu’elle couvrirait les pertes plutôt que de laisser les clients en subir les conséquences. Reuters a rapporté le 31 octobre que Binance avait mobilisé des ressources pour remplacer environ 90 % des actifs volés.
Le 1er novembre, Binance a déclaré avoir couvert ou récupéré environ 95 % du montant touché et prévoir de reprendre les retraits par étapes. L’entreprise a attribué le manque restant à des actifs moins liquides, qu’il pourrait falloir plus de temps pour obtenir en quantités suffisantes.
Ces développements sont importants pour les clients, mais il faut interpréter les chiffres avec prudence.
Remplacer les actifs volés ne revient pas à récupérer auprès de l’attaquant les cryptomonnaies volées à l’origine.
Si une plateforme d’échange utilise ses propres ressources pour rétablir les soldes des clients, elle peut remplir ses obligations même si l’attaquant contrôle toujours une partie des fonds volés.
Il existe donc une différence importante entre le dédommagement des clients et la récupération des actifs.
Le dédommagement des clients consiste à déterminer si la plateforme peut rétablir les soldes concernés et permettre aux utilisateurs d’accéder à leurs actifs. La récupération des actifs consiste à déterminer si les cryptomonnaies d’origine peuvent être récupérées auprès de l’attaquant ou restituées par un autre moyen.
Ces deux notions sont liées, mais elles ne sont pas identiques.
Pour les clients, la préoccupation immédiate est de savoir si leurs soldes sont protégés et s’ils peuvent accéder à leurs comptes. Pour la plateforme, il s’agit notamment de couvrir les pertes, de rétablir les opérations normales et de montrer que l’incident a été pris au sérieux.
Les enquêteurs, eux, cherchent toujours à comprendre comment l’attaque s’est produite et à déterminer ce qui peut être récupéré.
Cette distinction est particulièrement importante, car les plateformes d’échange de cryptomonnaies détiennent souvent de grandes quantités d’actifs pour le compte de leurs clients.
La capacité d’une entreprise à rétablir les soldes des clients est un élément important de sa réponse à un incident de sécurité. Mais cela ne dispense pas de fournir une explication technique complète de la brèche.
L’incident de Binance ravive également le souvenir de l’effondrement de FTX en 2022.
Les circonstances étaient différentes, et il ne faut pas considérer ces deux incidents comme identiques.
FTX a été associée à de graves manquements dans la gestion des fonds des clients. En revanche, l’incident de Binance fait l’objet d’une enquête en tant que brèche de sécurité majeure.
Mais ces deux situations mettent en lumière un problème important dans le secteur des cryptomonnaies.
Les gens font souvent confiance à une entreprise parce qu’elle est connue, largement utilisée ou semble prospère. Cette confiance peut devenir dangereuse lorsque les utilisateurs ne comprennent pas pleinement le fonctionnement interne de l’entreprise.
Un nom connu ne garantit pas automatiquement la protection des actifs des clients. Une large clientèle ne garantit pas la solidité des contrôles internes. Et la réussite financière d’une entreprise n’élimine pas le risque de défaillance opérationnelle.
Cela ne signifie pas que toutes les plateformes d’échange sont dangereuses ni que les utilisateurs devraient systématiquement s’attendre au pire.
Cela signifie que la confiance doit s’appuyer sur des preuves.
Les entreprises doivent expliquer comment elles protègent les actifs de leurs clients, comment elles réagissent aux incidents de sécurité et quelles mesures sont en place pour limiter les conséquences d’une défaillance.
Lorsque quelque chose tourne mal, la transparence devient encore plus importante.
La principale leçon à tirer de l’incident de Binance est que la sécurité ne peut pas être considérée comme un projet ponctuel.
Les entreprises doivent vérifier régulièrement leurs systèmes, limiter les autorisations inutiles, examiner les activités inhabituelles et tester la réaction de leurs défenses en cas de problème.
Elles doivent également réfléchir à ce qui se passerait si une mesure de sécurité échouait.
Si un seul appareil compromis ou une seule approbation peut entraîner le transfert de milliards de dollars hors d’une plateforme, il est légitime de se demander si suffisamment de mesures de protection indépendantes étaient en place.
La sécurité ne devrait pas dépendre de la capacité d’un seul employé à prendre la bonne décision à chaque fois.
Les entreprises doivent mettre en place plusieurs niveaux de protection afin qu’une seule erreur ou la compromission d’un seul système n’entraîne pas automatiquement une perte majeure.
Il faut notamment protéger les appareils des employés, contrôler soigneusement l’accès aux systèmes importants, vérifier les approbations de transactions inhabituelles et soumettre les transferts importants au niveau de contrôle approprié.
Le secteur doit également être plus honnête quant à la différence entre l’innovation technique et la sécurité concrète.
De nouvelles fonctionnalités pour les portefeuilles, des transactions plus rapides et des applications financières plus flexibles peuvent rendre les cryptomonnaies plus utiles.
Mais chaque nouvelle fonctionnalité doit aussi être évaluée en fonction des risques qu’elle introduit.
La question ne devrait pas simplement être de savoir si une fonctionnalité fonctionne.
Il faut aussi se demander si elle peut être utilisée en toute sécurité, si les utilisateurs comprennent ce qu’ils approuvent et si le système peut détecter les abus et y réagir.
L’incident de Binance rappelle que la sécurité des cryptomonnaies ne se limite pas à protéger les clés privées ou à concevoir une blockchain sécurisée.
Les entreprises doivent protéger l’ensemble du processus de gestion, d’approbation et de transfert des actifs.
L’attaque rapportée, l’enquête sur d’autres points de compromission possibles et les questions liées à la fonctionnalité EIP-7702 d’Ethereum montrent à quel point cette responsabilité est devenue complexe.
Les efforts rapportés de Binance pour remplacer les actifs touchés sont importants pour les clients. Mais le rétablissement financier et la responsabilité technique sont deux obligations distinctes.
Les utilisateurs doivent savoir si leurs soldes sont protégés. Les enquêteurs doivent comprendre comment les attaquants ont obtenu l’accès. Et le secteur doit