Le 30 octobre 2026 (heure de Chine, UTC+8), Binance a été confrontée à un incident de sécurité grave et hautement complexe. Cela n’aurait jamais dû se produire. Nous présentons nos sincères excuses pour les inquiétudes, les perturbations et l’incertitude que cet incident a causées à nos utilisateurs, à nos partenaires et à l’ensemble du secteur.

La protection des utilisateurs est notre responsabilité première. Binance assumera l’intégralité des pertes liées aux fonds dérobés lors de cet incident, et non les utilisateurs. Nous avons conservé des fonds représentant plus de 100 % des sommes nécessaires pour couvrir les pertes causées par cet incident. Au 31 octobre 2026 (heure de Chine, UTC+8), 98 % des actifs en jetons concernés ont été reconstitués. Les utilisateurs peuvent le vérifier sur notre page Preuve de réserves. Nous sommes en train d’acquérir les actifs restants, dont la liquidité est plus faible.

La valeur des actifs numériques concernés par cet incident s’élevait à environ 6,34 milliards de dollars. À la date de la présente mise à jour, des actifs numériques d’une valeur d’environ 2,85 milliards de dollars ont été gelés ou interceptés. Le montant exact reste à vérifier et pourrait varier en fonction des fluctuations du marché.

Nous avons immédiatement pris des mesures pour contenir l’impact de l’incident et renforcer la sécurité des systèmes concernés. Tous les points d’entrée exploités lors de cette attaque ont été bloqués, et les systèmes concernés par le chemin d’attaque ont été reconstruits ou remplacés. Nous avons également renforcé la gestion des appareils et les contrôles de risque des services de portefeuille, et étendu nos capacités de détection des anomalies comportementales fondées sur l’IA.

Voici notre rapport d’enquête préliminaire, qui présente les éléments dont nous disposons à ce jour ainsi que les améliorations déjà apportées. L’enquête est toujours en cours et ses conclusions feront l’objet d’un examen indépendant plus approfondi. Afin d’empêcher les acteurs malveillants d’exploiter ces informations pour préparer de nouvelles attaques, certains détails techniques resteront confidentiels. Nous invitons des entreprises de sécurité indépendantes à procéder à un examen complémentaire.

Selon les dernières informations publiées par le Federal Bureau of Investigation (FBI), la République populaire démocratique de Corée (RPDC) est responsable de cet incident.

Nous publions ce rapport parce que le secteur ne peut améliorer durablement sa sécurité que si tous ses acteurs apprennent les uns des autres et partagent leurs expériences.

Retour sur l’incident du 30 octobre

L’attaque s’est rapidement déployée sur plusieurs réseaux blockchain.

Les attaquants ont exploité un accès non autorisé au service interne de signature des portefeuilles pour lancer des transactions en contournant la procédure normale de retrait.

Entre 04:05 et 04:09 (heure UTC+8), cinq portefeuilles chauds de Binance ont transféré 233,46 millions de XRP vers des adresses contrôlées par les attaquants.

Les portefeuilles chauds de Binance sur les réseaux Solana et Optimism ont transféré respectivement environ 970 500 SOL et 44,2 millions d’OP vers des adresses contrôlées par les attaquants.

Binance a ensuite reçu une alerte interne concernant un transfert important et a immédiatement ouvert une enquête.

Les portefeuilles chauds de Binance ont transféré 18 270 BTC vers des adresses contrôlées par les attaquants.

Les attaquants ont ensuite exploité le service de signature pour détourner le mécanisme d’autorisation EIP-7702 d’Ethereum. EIP-7702 permet à un compte de déléguer certains droits d’exécution à un contrat intelligent sans exposer sa clé privée. Dans cet incident, les attaquants ont utilisé ce mécanisme pour conférer à un contrat intelligent sous leur contrôle des droits d’exécution partiels sur les portefeuilles chauds de Binance concernés.

Binance a aussitôt mis en œuvre plusieurs mesures d’urgence, notamment la suspension des retraits pour empêcher toute sortie de fonds supplémentaire, la coordination avec ses partenaires pour geler les jetons concernés et des mesures visant à révoquer les autorisations non autorisées. Ces actions ont permis de geler des actifs d’une valeur totale d’environ 2,85 milliards de dollars.

Toutefois, la suspension des retraits ne suffisait pas à empêcher tous les transferts d’actifs non autorisés. Les autorisations EIP-7702 malveillantes étaient déjà inscrites sur la chaîne et fonctionnaient indépendamment de l’infrastructure normale de retrait de Binance. Les attaquants ont soumis 50 transactions signées afin de manipuler le nonce des comptes et de mettre en place des autorisations de délégation malveillantes. Une fois ces autorisations établies, ils ont pu contourner l’infrastructure normale de retrait de Binance et continuer à transférer des actifs. Binance a dû effectuer des transactions supplémentaires sur la chaîne pour révoquer ces autorisations.

La maîtrise de l’incident a également présenté d’autres difficultés techniques. Les portefeuilles chauds concernés utilisant le calcul multipartite sécurisé (MPC), il n’existait pas de clé privée unique permettant de révoquer immédiatement les autorisations EIP-7702 malveillantes. L’équipe a donc eu besoin de temps supplémentaire pour concevoir et mettre en œuvre séparément une procédure de révocation spéciale. En outre, suspendre les retraits et désactiver les services de portefeuille chaud ne rendait pas automatiquement inopérantes les autorisations déjà inscrites sur la chaîne.

Ces difficultés ont prolongé le délai nécessaire pour maîtriser pleinement les transferts d’actifs non autorisés. Nous analysons notre procédure de réponse aux incidents, la couverture de notre stratégie de signature et nos mécanismes de contrôle des portefeuilles chauds. Nous cherchons également à déterminer les améliorations possibles afin de réagir plus rapidement aux menaces de sécurité à l’avenir.

Le dernier transfert non autorisé, portant sur 2 961,9 ETH, a été définitivement confirmé sur la chaîne à 07:56 (heure UTC+8). La transaction avait été diffusée sur le réseau auparavant et était restée en attente de confirmation avant d’être finalement confirmée. Aucun autre transfert non autorisé n’a été détecté depuis.

Le 30 octobre 2026 à 08:10 (heure UTC+8), Binance a effectué une nouvelle opération d’autorisation via le portefeuille chaud Binance14 vers une adresse nulle, supprimant ainsi le code de délégation EIP-7702.

Préparation de l’attaque

Les résultats de l’enquête à ce jour indiquent qu’il s’agissait d’une opération d’attaque complexe en plusieurs étapes, et non d’une intrusion isolée ou d’une simple attaque par hameçonnage. Les attaquants ont combiné plusieurs techniques, notamment l’ingénierie sociale par le biais de faux entretiens d’embauche, le téléchargement de logiciels malveillants, la compromission d’outils d’IA internes, la compromission de terminaux et des méthodes avancées d’autorisation de transactions.

• Juin 2026 — Attaque de la chaîne d’approvisionnement. Pour installer un outil de programmation par IA très populaire, l’ingénieur A, membre de l’équipe de développement et d’exploitation des portefeuilles, a effectué une recherche sur un moteur de recherche et téléchargé un programme d’installation Homebrew falsifié. Notre équipe de sécurité a détecté proactivement cette anomalie et remplacé l’appareil, tout en renouvelant tous les identifiants concernés. Malgré cela, les informations relatives au poste de l’ingénieur A et celles de ses collègues de l’équipe d’infrastructure des portefeuilles ont été exposées aux attaquants.

• Depuis le début de l’année 2026, l’équipe de sécurité de Binance a détecté et empêché 57 cybermenaces présumées liées à la Corée du Nord. Ces attaques témoignent de la menace persistante que représentent les acteurs soutenus par des États pour le secteur des cryptomonnaies. Les méthodes utilisées comprennent de faux entretiens d’embauche, des logiciels malveillants déguisés en outils de développement populaires, des paquets logiciels et des extensions de navigateur falsifiés, de fausses applications de visioconférence, ainsi que des attaques d’ingénierie sociale visant à dérober des identifiants de compte ou à déployer des logiciels malveillants d’accès à distance.

• Septembre — Attaque d’ingénierie sociale. L’ingénieur logiciel B a été contacté par une personne se faisant passer pour un directeur de projet, par l’intermédiaire d’une plateforme de recrutement légitime. Le profil de l’ingénieur B sur cette plateforme mentionnait son expérience chez Binance. La personne, prétendant être directeur de projet, a organisé un premier entretien auquel participait un représentant des ressources humaines, puis un second entretien avec une personne se présentant comme le PDG de cette entreprise fictive.

  • Lors du premier entretien, la personne se faisant passer pour le représentant des ressources humaines a passé un entretien vidéo en direct avec l’ingénieur B. Pour instaurer un climat de confiance, la personne lui a également communiqué ses comptes sur les réseaux sociaux, où figuraient des photos et des vidéos de sa vie personnelle. Cette approche était plus sophistiquée et trompeuse que les méthodes d’ingénierie sociale précédemment observées.

  • Le second entretien s’est déroulé sur une application de messagerie sociale populaire. Vers la fin de l’entretien, l’ingénieur B a été invité à télécharger sur son ordinateur professionnel un « devoir » contenant un dépôt de code. Ce dépôt contenait du code malveillant qui s’est exécuté pendant l’installation, déclenchant ainsi une série d’opérations non autorisées.

  • Le logiciel malveillant utilisait des techniques sophistiquées d’obfuscation du code et d’évasion de la détection. Il remplaçait notamment un composant d’un outil de développement légitime par une version malveillante afin d’exécuter des commandes et de communiquer avec un serveur externe contrôlé par les attaquants. À l’époque, les outils de sécurité des terminaux n’ont pas détecté ce logiciel malveillant « zero-day ». Les attaquants ont également dissimulé leurs activités malveillantes et effacé les traces de l’intrusion, compliquant davantage la détection et l’enquête ultérieure.

  • Ce script a contourné les systèmes de détection de sécurité grâce à des techniques d’obfuscation du code et a effectué les opérations suivantes :

CREATE  /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_  

MODIFY  pyenv_ → 3,414 B  

DELETE  .../libexec/pyenv  (3,344 B)      ← supprimer le pyenv légitime

RENAME  pyenv_ → pyenv  (3,414 B)  ← le remplacer par une version malveillante

DELETE  /opt/homebrew/bin/pyenv  (3,414 B)

ln  (créer un nouveau lien symbolique)  +  lancer zsh

• 20 octobre — Utilisation d’un outil d’IA interne comme point de rebond pour l’attaque. À l’aide de l’ordinateur compromis de l’ingénieur B, les attaquants ont pris le contrôle, via un outil d’IA interne, des appareils de l’ingénieur A, membre de l’équipe de développement et d’exploitation des portefeuilles, et de l’ingénieur logiciel C, lui aussi chargé des portefeuilles. Les attaquants ont rapidement découvert qu’un jeton disposant de droits de déploiement de conteneurs était enregistré sur l’ordinateur de l’ingénieur A.

• 30 octobre — Compromission des opérations de signature des portefeuilles. Entre 01:15 et 03:56 le 30 octobre (heure UTC+8), les attaquants se sont connectés à l’ordinateur de l’ingénieur logiciel C, ont déployé un conteneur à l’aide des identifiants volés à l’ingénieur A, puis exécuté un script malveillant qui a déclenché l’attaque.

Mesures prises

Au 3 novembre 2026, nous avons pris les mesures suivantes :

• Reconstruction des systèmes de portefeuille concernés dans un nouvel environnement.

• Reconstruction des outils d’IA internes concernés et renforcement des contrôles d’accès associés.

• Remplacement des appareils concernés.

• Désactivation des identifiants et des jetons associés aux ingénieurs concernés.

• Réalisation d’une analyse de sécurité approfondie de tous les appareils du personnel.

• Renforcement des capacités de détection des anomalies comportementales fondées sur l’IA.

• Renforcement des contrôles de risque des services de portefeuille.

• Collaboration avec les autorités, les organismes de renseignement sur la blockchain et les partenaires du secteur afin de suivre et de geler les actifs concernés.

À mesure que l’enquête progresse, nous continuerons à renforcer nos mesures de sécurité. Certaines des mesures déjà mises en œuvre ou en cours resteront confidentielles afin d’empêcher les acteurs malveillants d’exploiter ces informations pour contourner nos protections.

Prochaines étapes

Nous allons immédiatement entreprendre les actions suivantes :

1. Réaliser un audit indépendant de cybersécurité

Nous invitons des experts indépendants en cybersécurité à examiner en détail cet incident, à vérifier les conclusions de notre enquête et à formuler des recommandations pour renforcer encore la sécurité. La portée et les conclusions de cet examen guideront la poursuite de nos travaux de remédiation.

2. Accroître les investissements dans la sécurité de l’IA et la prévention

Nous allons accroître nos investissements dans la détection des menaces par l’IA, la protection des terminaux, la sécurité des environnements de développement et la surveillance des anomalies comportementales.

3. Créer un fonds de recherche sur la sécurité et promouvoir la coopération sectorielle

Nous travaillons avec des entreprises d’IA de premier plan, des acteurs du secteur et des organismes de sécurité à la création d’un fonds de recherche sur la sécurité et au lancement d’initiatives dédiées à la sécurité de l’IA dans les environnements blockchain.

Nous continuerons à partager proactivement les dernières informations dont nous disposons.