Le piratage de Binance n’a pas brisé la cryptographie. Il a brisé le contrôle
Le 29 octobre 2026, vers 20 h 05 UTC, environ 6,3 milliards de dollars de cryptomonnaies ont quitté les portefeuilles chauds de Binance via une dizaine de blockchains. C’est le plus grand vol de cryptomonnaies jamais enregistré.
Binance a confirmé qu’elle absorberait 100 % de l’impact. Elle a déjà réservé plus de 6,34 milliards de dollars provenant de ses propres fonds et du fonds SAFU. Parmi ces fonds, 5 milliards sont déjà dans les mêmes actifs touchés, et environ 3 milliards ont été gelés on-chain. Les utilisateurs ne perdent pas leur solde.
Mais l’information la plus importante n’est pas le montant. C’est la manière dont cela s’est produit.
Selon l’enquête menée par Binance elle-même, rien n’indique que les clés privées des portefeuilles aient été divulguées. L’enquête initiale a mis en cause l’ordinateur portable compromis d’un ingénieur DevOps, mais d’autres points d’accès ont été identifiés par la suite. Ce qui a bien été confirmé sur la chaîne, c’est que le système de signature de Binance a généré des signatures valides que l’attaquant a utilisées.
Sur Ethereum, l’attaquant a utilisé EIP-7702, une amélioration activée en mai 2025 avec la mise à jour Pectra. Cette fonctionnalité permet à un compte ordinaire de déléguer temporairement son exécution à un contrat intelligent. L’attaquant a obtenu 50 autorisations signées avec la clé d’un portefeuille chaud de Binance, chacune avec un nonce consécutif différent. L’une d’elles a correspondu. Trois minutes plus tard, une seule transaction a vidé des centaines de milliers de $ETH et plus de 1,6 milliard d’USDT.
EIP-7702 n’est pas le problème. C’est un amplificateur. Lorsque le système qui génère les signatures est compromis, un outil conçu pour améliorer l’expérience utilisateur devient un multiplicateur des dégâts. La délégation est restée active pendant des heures, et les systèmes automatisés de Binance ont continué à envoyer des dépôts vers le même portefeuille pendant que l’attaquant les balayait. $XRP
Ce schéma n’est pas nouveau. TRM Labs et Chainalysis ont attribué l’attaque, avec un haut degré de confiance, à TraderTraitor, l’unité de Lazarus Group spécialisée dans les cryptomonnaies. Le FBI a également attribué à ce même groupe le piratage de Bybit en 2025. Quelques mois plus tôt, Bitget avait subi une attaque de nature similaire (compromission du système de signature côté serveur, et non des clés). Le montant s’élevait à environ 387 millions, et non 6,3 milliards. La différence ne tenait pas seulement à l’ampleur : elle résidait dans l’architecture de contrôle et la capacité à contenir l’attaque entre les couches hot, warm et cold.
Les portefeuilles froids de Binance n’ont pas été touchés. Les dégâts se sont concentrés là où le système de signature doit fonctionner tous les jours pour traiter les retraits. C’est là le véritable point faible : non pas la cryptographie, mais le contrôle opérationnel qui détermine ce qui est signé et à quel moment.
Binance a déclaré espérer communiquer davantage de conclusions techniques et publier un rapport rétrospectif. L’entreprise prévoit également de reprendre progressivement les retraits et de publier une preuve de réserves actualisée. Ces données aideront à vérifier la couverture des actifs. Mais le mécanisme qui a rendu l’attaque possible restera important des mois plus tard.
La leçon à retenir n’est pas que les plateformes d’échange sont dangereuses par définition. C’est que la sécurité d’une plateforme centralisée dépend autant de ses clés conservées à froid que des contrôles qui protègent le système qui les utilise. Lorsque ce système est compromis, la taille du bilan et la vitesse d’exécution deviennent le risque majeur.
Comprendre ce schéma est plus utile que de suivre le montant du jour.