Comment des hackers ont dérobé 6,3 milliards de dollars à Binance en quelques minutes

octobre 30, 2026

Binance poursuit son travail pour reconstituer comment des pirates ont réussi à s’emparer d’environ 6,3 milliards de dollars en crypto, mais des enquêteurs ont déjà mis en évidence deux volets importants de l’affaire: l’attaque a été reliée au groupe de piratage TraderTraitor, soutenu par la Corée du Nord, et une mise à niveau d’Ethereum a offert à l’assaillant une voie pour vider l’un des plus importants portefeuilles chauds de l’échange en une seule transaction.

Le vol s’est déroulé sur dix chaînes de blocs hier, avec la plupart des fonds quittant des portefeuilles contrôlés par Binance en environ 20 minutes, selon un rapport de TRM Labs. Binance avait initialement évoqué l’hypothèse d’un seul ordinateur portable compromis d’un ingénieur DevOps, mais a ensuite indiqué qu’il existait des points de brèche supplémentaires dans un processus d’attaque complexe. Les détails sur la manière dont l’assaillant a obtenu l’autorité suffisante pour les transactions associées depuis les portefeuilles de Binance restent flous.

Binance estime désormais l’impact total à environ 6,3 milliards de dollars (dont environ 3 milliards ont été gelés par divers tiers) et affirme qu’il couvrira l’intégralité des pertes à l’aide de son Secure Asset Fund for Users (SAFU) et d’autres fonds de l’entreprise.

Ce que Binance a dit

La première explication publique de Binance sur ce qui s’est passé pointait vers l’ordinateur portable d’un ingénieur DevOps. Tard dans la nuit dernière, l’échange a déclaré que son enquête préliminaire suggérait que l’ordinateur portable compromis permettait à un attaquant d’accéder à un conteneur de service et de soumettre des transactions de retrait non autorisées. Binance a ajouté qu’elle n’avait trouvé aucune preuve que des clés privées aient été divulguées.

Plus tard, le co-PDG de Binance, Richard Teng, a précisé que l’attaque ne se réduisait pas à une simple dérive des droits d’un seul employé, publiant sur X: « L’attaquant n’a pas simplement utilisé les droits d’un ingénieur, et ce n’était pas une action en un seul clic. Cela a impliqué un processus d’attaque plus complexe. »

Teng a ajouté que Binance avait découvert des points de brèche supplémentaires sans attribuer la responsabilité à une personne précise. L’échange a promis un post-mortem technique détaillé après la fin de l’enquête.

Notamment, Conor Grogan, responsable produit des opérations chez Coinbase, avait averti pendant l’attaque que les balayages des portefeuilles de dépôt de Binance étaient toujours en cours après que l’attaque initiale ait eu lieu. Ces balayages automatisés déplacent des fonds des adresses de dépôt des clients vers les portefeuilles chauds agrégés par l’échange. Dans ce cas, cela signifiait que de nouveaux dépôts pouvaient réapprovisionner le portefeuille que l’attaquant avait déjà compromis.

Les observateurs de la blockchain pointent vers la Corée du Nord

Plusieurs entreprises d’intelligence de la blockchain et analystes ont attribué l’attaque à TraderTraitor, un groupe de piratage soutenu par l’État nord-coréen et aussi associé au groupe Lazarus.

TRM Labs a déclaré attribuer le vol à TraderTraitor avec une « grande confiance ». La firme a souligné plusieurs caractéristiques qui rappellent des piratages liés à la Corée du Nord antérieurs dans le domaine de la cryptographie, y compris le piratage Bybit de 1,4 milliard de dollars en février 2025. Le co-fondateur et PDG de Chainalysis, Jonathan Levin, a également écrit sur X que le piratage de Binance était « probablement réalisé par le groupe TraderTraitor lié à la DPRK » en raison des liens avec des piratages précédents. De plus, le Wall Street Journal a rapporté que les enquêteurs pointaient vers la Corée du Nord, et Tom Robinson, fondateur d’Elliptic, a déclaré au quotidien: « Il s’agit d’un vol soutenu par l’État à une échelle que aucun groupe criminel ne peut atteindre, les recettes finançant les programmes d’armes de la Corée du Nord. »

L’investigateur sur la chaîne ZachXBT a déclaré que les fonds issus de l’incident Binance et d’un autre piratage Bitget de 388 millions de dollars, qui avait également été lié à la Corée du Nord, avaient été mélangés à la même adresse après avoir transité par THORChain, une bourse cross-chain.

La Corée du Nord a été accusée à plusieurs reprises d’utiliser des piratages crypto pour obtenir des devises étrangères malgré les sanctions internationales. Bien sûr, elle nie ces accusations et affirme qu’il ne s’agit que de propagande émanant du gouvernement américain. Une estimation d’avril de TRM Labs situe les gains tirés de vols crypto par la Corée du Nord à plus de 6 milliards de dollars depuis 2017, mais le régime a été relié à des vols d’un montant bien plus élevé depuis lors.

Comment une mise à niveau d’Ethereum a aidé l’attaquant

D’un point de vue technique, ce qui s’est passé sur Ethereum constitue la partie la plus intéressante de l’histoire. En termes de fonctionnement du piratage sur cette chaîne de blocs en particulier, TRM a indiqué que l’attaquant a financé un portefeuille opérateur par le biais de retraits minimes depuis le mixeur Ethereum Tornado Cash, a préparé l’attaque longtemps à l’avance et a préparé 50 autorisations EIP-7702 signées Binance avant d’exécuter le vol en une rafale rapide. EIP-7702 est une mise à niveau d’Ethereum entrée en vigueur en mai 2025, et cette fonctionnalité a été conçue pour rendre les portefeuilles Ethereum ordinaires plus flexibles en leur permettant d’exécuter temporairement du code provenant d’un contrat intelligent.

Un compte externe, ou EOA, est normalement contrôlé par une clé privée et ne peut pas appliquer des règles ou effectuer des opérations par lots de manière indépendante. EIP-7702 permet à celui-ci de signer une autorisation délégant son comportement à un contrat intelligent, rendant des actions comme combiner une approbation de jeton et un transfert possibles. Dans le cas de Binance, l’attaquant a utilisé EIP-7702 pour transformer Binance 14, l’un des portefeuilles chauds Ethereum de l’échange, en un portefeuille exécutant un contrat de balayage contrôlé par l’attaquant.

Selon la reconstruction technique de Blockaid de ce qui s’est passé, l’attaquant a soumis une transaction contenant 50 autorisations EIP-7702, chacune signée par Binance 14 et liée à un nonce consécutif différent. Un nonce est un compteur qui s’incrémente à chaque fois qu’un compte Ethereum envoie une transaction. Comme Binance 14 traitait activement les retraits, son nonce continuait d’évoluer. L’attaquant ne pouvait pas savoir quel nonce serait actif au moment du traitement de l’autorisation, il a donc préparé 50 possibilités différentes à l’avance. L’une d’entre elles s’est avérée correspondre.

Cette autorisation indiquait à Binance 14 de se diriger vers un contrat de balayage que seul le portefeuille de l’attaquant pouvait opérer. Quelques minutes plus tard, l’attaquant a utilisé le contrat pour déplacer environ 167 464 ETH, soit environ 1,6 milliard de dollars en USDT, et plus de 60 autres jetons dans une seule transaction d’une valeur approximative de 2,5 milliards de dollars.

Pour être clair, EIP-7702 n’a pas permis à un inconnu de prendre le contrôle d’un portefeuille arbitraire. L’autorisation devait toujours être signée par la clé du portefeuille ou par une infrastructure capable de produire une signature valide. Les détails concernant l’utilisation de EIP-7702 ne s’appliquent pas à ce qui s’est passé sur d’autres chaînes.

Un membre fondateur et chercheur d’Ethlabs, Derek Chiang, a soutenu que EIP-7702 lui-même n’était pas cassé. Plutôt, la fonctionnalité a rendu le vol plus rapide et plus efficace une fois que l’attaquant avait la capacité d’obtenir des autorisations valides. Sans elle, l’attaquant aurait dû soumettre des transactions distinctes pour déplacer chaque jeton, ce qui l’aurait obligé à rivaliser avec les retraits légitimes de Binance pour le prochain nonce du portefeuille.

Ce n’est pas FTX

Le vol a été comparé à FTX, mais les circonstances entourant ce récent incident, du moins telles que l’on comprend actuellement, semblent assez différentes. Binance affirme que les fonds des clients sont sûrs et qu’il couvrira les pertes via SAFU et les fonds de l’entreprise. Il n’existe aucune preuve publique d’un travail interne ou d’une insolvabilité de Binance.

Étant donné que bon nombre des fonds volés ont été gelés, la perte réelle liée au piratage est probablement inférieure aux 4,3 milliards de dollars de pénalités que Binance a accepté de payer dans le cadre de son accord de 2023 avec le département de la Justice des États-Unis pour des violations liées à la lutte contre le blanchiment d’argent et aux sanctions.

Sur X, le co-fondateur et ancien PDG de Binance, Changpeng « CZ » Zhao, a répliqué après qu’Elon Musk a réagi à un message comparant la situation actuelle de Binance à l’effondrement précédent de FTX. Zhao a demandé à Musk d’arrêter de taquiner et a évoqué l’investissement de Binance dans SpaceX comme preuve des ressources financières de l’entreprise.

L’échange dispose peut-être des ressources nécessaires pour indemniser les clients, mais les détails sur la manière dont l’attaquant a obtenu une autorité suffisante pour produire des signatures valides sur plusieurs chaînes restent flous. Le post-mortem promis par Binance devra expliquer non seulement l’ordinateur portable compromis, mais aussi les autres points de brèche et les contrôles qui ont laissé s’effectuer des retraits valant des milliards de dollars.

Gandi Shah

Entrepreneur franco-indien basé à Paris, je suis passionné par l’informatique et l’écosystème technologique depuis de nombreuses années. À travers Le Bar de Gandi, je partage mes analyses, mes découvertes d’outils et mon regard sur les innovations qui façonnent le monde numérique. Mon objectif est simple : expliquer la tech de manière claire et mettre en lumière les tendances qui comptent vraiment.