Piratage de Binance : Les faits établis et les questions encore ouvertes

Le secteur des cryptomonnaies fait face à une attaque sans précédent. Près de 6,4 milliards de dollars auraient été dérobés lors d’une intrusion visant Binance, l’une des principales plateformes d’échange mondiales. L’incident soulève des questions sur la sécurité des infrastructures, la responsabilité des attaquants et la protection des fonds. Alors que plusieurs milliards ont déjà été gelés, une partie importante du butin reste entre les mains des pirates. Voici les faits connus et les principales zones d’incertitude.

Comment le piratage de Binance s’est-il déroulé ?

L’attaque contre Binance a débuté jeudi vers 16 h 05, heure de la côte Est américaine, après la fermeture des marchés financiers. Les pirates ont alors lancé plusieurs transferts depuis des portefeuilles chauds de la plateforme. Ils ont réparti les fonds sur une dizaine de blockchains, principalement pendant une période d’environ vingt minutes. Cette opération a rapidement déclenché une enquête sur plusieurs réseaux et juridictions. Les premières estimations ont révélé une ampleur exceptionnelle.

Les sociétés d’analyse blockchain Chainalysis et TRM Labs évaluent le montant du vol à environ 6,4 milliards de dollars. Ce chiffre dépasse largement le précédent record, établi lors du piratage de Bybit en février 2025. Cette attaque avait entraîné la disparition d’environ 1,5 milliard de dollars en cryptomonnaies. Le nouvel incident représente ainsi plus de quatre fois ce montant. Il constitue désormais le plus important vol jamais signalé dans l’histoire du secteur.

Toutefois, les premières conclusions orientent l’enquête vers une compromission informatique interne plutôt qu’une faille des blockchains. L’analyse initiale évoque un ordinateur portable compromis appartenant à un ingénieur DevOps. Cet accès aurait permis aux attaquants d’entrer dans un conteneur de service et de déclencher des retraits non autorisés.

Par la suite, l’entreprise a identifié d’autres points de vulnérabilité. Son directeur général, Richard Teng, a notamment évoqué un processus plus complexe, qui ne concernait pas uniquement les autorisations d’un ingénieur. La plateforme affirme également que les pirates ont utilisé un mécanisme d’autodestruction pour effacer leurs outils et leurs traces. Elle indique, en revanche, n’avoir découvert aucun indice de fuite des clés privées de ses portefeuilles.

Ethereum et EIP-7702 : le mécanisme technique utilisé

Sur le réseau Ethereum, les attaquants ont exploité EIP-7702, une fonctionnalité introduite en 2025. Cette évolution permet à un portefeuille classique d’exécuter temporairement du code associé à un contrat intelligent. Elle apporte donc de nouvelles possibilités techniques aux utilisateurs. Cependant, son utilisation dans cette attaque a révélé les risques liés à une mauvaise gestion des autorisations. Le problème identifié concerne surtout la manière dont les systèmes internes ont validé certaines opérations.

Selon les analyses de TRM Labs, les pirates ont utilisé cinquante autorisations pré-signées. Ces autorisations leur ont permis de transformer temporairement un portefeuille chaud de la plateforme en contrat chargé de vider ses actifs. Le mécanisme a ainsi facilité le transfert des fonds sans suivre les contrôles habituels. Cette méthode montre comment une fonction technique légitime peut servir à réaliser une opération malveillante lorsque les procédures de sécurité échouent. Elle constitue l’un des éléments centraux de l’enquête technique.

Richard Teng a reconnu que cette délégation n’avait pas respecté les procédures normales d’approbation. Cette déclaration apporte un éclairage supplémentaire sur le fonctionnement de l’attaque. Néanmoins, elle ne signifie pas qu’Ethereum présente une vulnérabilité fondamentale. TRM Labs situe plutôt le problème au niveau de l’infrastructure de signature utilisée par la plateforme. Autrement dit, les éléments disponibles mettent en cause la gestion des autorisations et des accès internes. Les enquêteurs doivent encore établir précisément comment les pirates ont obtenu les permissions nécessaires.

TraderTraitor et la piste nord-coréenne

Les sociétés Chainalysis et TRM Labs attribuent toutes deux cette opération au groupe TraderTraitor. Ce collectif entretient des liens avec l’État nord-coréen et figure déjà parmi les acteurs soupçonnés du vol de Bybit. Cette attribution repose sur leurs analyses des mouvements de fonds et des méthodes employées. Elle constitue un élément important pour comprendre l’origine possible de l’attaque. Toutefois, les conclusions des sociétés spécialisées ne remplacent pas les résultats définitifs des enquêtes officielles.

Après le vol, les attaquants ont entrepris de déplacer une partie des actifs dérobés. Ils ont notamment converti environ 84 % des ethers volés en bitcoins. Pour effectuer cette opération, ils ont utilisé Thorchain, un réseau permettant les transferts entre différentes blockchains. Cette conversion complique le suivi des fonds et multiplie les réseaux concernés par les investigations. Elle illustre également la rapidité avec laquelle les auteurs peuvent modifier la composition de leur butin.

Cette opération porte à plus d’un milliard de dollars les gains en cryptomonnaies attribués à la Corée du Nord pour 2026. Selon les estimations communiquées, le montant associé à cette seule attaque dépasse largement les autres sommes concernées. L’ampleur financière du dossier renforce donc l’intérêt des autorités pour les activités du groupe. Pour autant, plusieurs questions restent ouvertes sur l’identité précise des opérateurs et leur organisation. Les enquêteurs doivent notamment déterminer les responsabilités individuelles derrière cette opération.

Les mesures de sécurité et le gel des fonds

Face à l’attaque, Richard Teng a annoncé dans une vidéo postée sur X que Binance couvrirait intégralement les pertes avec ses propres ressources et son Fonds de sécurité des actifs pour les utilisateurs. Cette réserve sert précisément à répondre aux situations exceptionnelles. Le dirigeant affirme également que les fonds des clients n’ont jamais été touchés. Pour financer cette réponse, la société a annoncé avoir réservé plus de 6,34 milliards de dollars. Cette somme doit permettre de couvrir les pertes estimées et de maintenir la protection des utilisateurs.

Environ cinq milliards de dollars étaient déjà disponibles sous forme d’actifs concernés par le piratage. Cette réserve comprenait notamment du BTC, de l’ETH, du BNB, de l’USDC et de l’USDT. Pour compléter le montant nécessaire, Binance rachète les actifs manquants sur les marchés classiques et de gré à gré. Parallèlement, elle a suspendu les retraits afin de reconstruire et de tester ses systèmes. Les dépôts continuent toutefois de fonctionner normalement. La plateforme prévoit également un audit complet de sécurité et la publication d’une preuve de réserves.

Les émetteurs de stablecoins ont, de leur côté, rapidement réagi aux premières alertes. Tether a gelé plus de 1,5 milliard de dollars d’actifs liés à l’attaque. Circle a également bloqué environ 823 millions de dollars en USDC. Ces deux entreprises peuvent immobiliser des fonds en bloquant certaines adresses sur leurs réseaux respectifs. Au total, environ trois milliards de dollars ont ainsi été gelés ou localisés. Cette intervention montre le rôle particulier des sociétés privées dans la gestion des stablecoins.

Cependant, une part importante du butin échappe encore à ces mesures. Les pirates contrôlent toujours plus de 420 000 ETH et 18 270 BTC, ainsi que d’autres jetons. L’ensemble représente une valeur supérieure à trois milliards de dollars selon les estimations disponibles. Ces actifs ne peuvent pas faire l’objet d’un gel comparable à celui des stablecoins centralisés. Les attaquants poursuivent également leurs transferts à travers Tron et d’autres réseaux. Elliptic estime ainsi qu’ils détiennent encore environ 3,3 milliards de dollars. La récupération complète des fonds dépendra donc largement des prochaines opérations de traçage.

Enquête internationale et réaction des marchés

L’enquête dépasse désormais le cadre de la seule plateforme. Binance coopère avec plusieurs services de police internationaux, notamment le FBI et les services secrets américains. Le FBI a confirmé qu’il connaissait l’incident et travaillait avec ses partenaires. Le Secret Service, qui enquête également sur les crimes financiers liés aux monnaies numériques, n’a pas souhaité commenter publiquement le dossier. Cette coopération rappelle les opérations internationales précédentes contre le blanchiment de cryptomonnaies.

En avril, l’opération Atlantic avait notamment permis de retrouver des dizaines de millions de dollars en actifs numériques volés. Cette expérience fournit un précédent pour les investigations actuelles. Néanmoins, le montant concerné cette fois-ci représente un défi bien plus important. Les enquêteurs doivent suivre plusieurs actifs, différentes blockchains et des transferts transfrontaliers. La coopération entre les autorités et les entreprises spécialisées pourrait donc jouer un rôle déterminant dans les prochaines semaines.

Malgré l’ampleur du vol de Binance, les marchés ont réagi avec une relative modération. Le Bitcoin est descendu autour de 76 400 dollars vendredi, soit une baisse proche de 4 %. Dans le même temps, plus de 1,3 milliard de dollars de positions à effet de levier ont été liquidées. Cette évolution reste toutefois différente de celle observée en mars 2018. À l’époque, une attaque ratée contre la plateforme avait provoqué une chute de près de 11 % du Bitcoin en quelques minutes.

Plusieurs analystes expliquent cette réaction limitée par la maturité actuelle du marché. La capitalisation totale des cryptomonnaies atteint environ 2 600 milliards de dollars. Par ailleurs, les ETF Bitcoin au comptant détiennent près de 1,3 million de BTC. Ces investisseurs institutionnels ne réagissent pas nécessairement comme les opérateurs particuliers face aux incidents de sécurité. Des sociétés financières comme Cantor Fitzgerald, TD Cowen et Compass Point ont même encouragé certains clients à acheter des actions liées aux cryptomonnaies. Elles ont présenté cette attaque comme un problème de sécurité propre à la plateforme, plutôt qu’une menace directe contre les technologies sous-jacentes.

Régulation, tensions publiques et questions encore ouvertes sur l’affaire Binance

L’incident de Binance a également relancé le débat sur la surveillance des plateformes offshore. Michael Selig, président de la CFTC, a utilisé cette affaire pour défendre un encadrement américain plus important. Lors d’une interview accordée à CNBC, il a estimé que cette faille confirmait les arguments avancés par son agence. Cette déclaration intervient alors que la CFTC cherche à renforcer la réglementation du marché des cryptomonnaies. Le dossier pourrait ainsi alimenter les discussions sur les obligations de sécurité et de contrôle imposées aux plateformes internationales.

Parallèlement, l’affaire a provoqué un échange public entre Changpeng Zhao, fondateur de Binance, et Elon Musk. Le dirigeant de SpaceX et Tesla a semblé critiquer la plateforme après la publication d’informations sur le piratage. CZ lui a répondu en évoquant notamment la participation de son entreprise dans SpaceX. Il a rappelé que cet investissement de 500 millions de dollars dans la prise de contrôle de Twitter valait désormais plus d’un milliard. Il a également suggéré qu’un soutien de Musk serait apprécié. Cet échange a ajouté une dimension publique à une affaire déjà suivie par les acteurs du secteur.

Sur le fond, Changpeng Zhao a adopté une position de défi face aux conséquences financières de l’attaque. Il a reconnu que le vol représentait un record en dollars, mais pas nécessairement en bitcoins. Il a surtout insisté sur la capacité de l’entreprise à absorber elle-même les pertes. Cette situation distingue, selon lui, l’incident de précédentes faillites majeures comme celles de Mt. Gox ou de FTX. Il a résumé cette position en déclarant que l’événement faisait mal, mais que l’entreprise pouvait survivre.

Plusieurs questions restent néanmoins sans réponse. Les enquêteurs doivent encore préciser l’ensemble des accès compromis et le déroulement exact des opérations. Ils doivent aussi déterminer combien de fonds pourront être récupérés parmi les actifs toujours contrôlés par les pirates. Enfin, les résultats de l’audit de sécurité permettront d’évaluer les changements nécessaires dans les systèmes internes. La publication annoncée de la preuve de réserves constituera également un élément important pour suivre la situation.

Les prochaines étapes dépendront donc de l’avancement des investigations, du suivi des portefeuilles et de la remise en service complète des retraits. La capacité des autorités à identifier les responsables et à retrouver les actifs encore disponibles restera déterminante. Pour le secteur, cette affaire pourrait aussi accélérer les discussions sur la sécurité opérationnelle et la supervision des plateformes. Le dossier rappelle ainsi que la protection des infrastructures demeure un enjeu central, même lorsque les blockchains elles-mêmes ne présentent aucune faille.