Sommaire
En bref : le 29 octobre 2026, environ 6,3 milliards de dollars sont sortis des portefeuilles de Binance, en majeure partie en une vingtaine de minutes. Rien n’a été cassé : la blockchain n’a pas été piratée, et Binance n’a trouvé aucune preuve d’une fuite de clés privées. Ses premières conclusions désignent l’ordinateur portable compromis d’un ingénieur DevOps, qui a permis d’atteindre un service habilité à soumettre des retraits. Les transferts ont contourné les approbations habituelles et emprunté une voie légitime, si bien qu’ils pouvaient sembler ordinaires. Deux sociétés d’analyse soupçonnent TraderTraitor, groupe nord-coréen ; ce n’est pas confirmé.
Ce qui s’est passé
« The estimated total impact sits at around $6.3B, » (l’impact total estimé avoisine les 6,3 milliards de dollars) a indiqué Binance dans sa mise à jour de sécurité du 30 octobre. La BBC y a vu « what is thought to be the largest hack in history - worth up to $6.3bn (£4.7bn) » (ce qui serait le plus gros piratage de l’histoire, d’une valeur pouvant atteindre 6,3 milliards de dollars, soit 4,7 milliards de livres).
Pour comparer, le correspondant cyber de la BBC, Joe Tidy, a rappelé les records précédents : « Last year $1.5bn (£1.12bn) was taken from Bybit. Before that it was $600m (£433m) from Poly Network in 2021 and $540m (£412m) from Ronin in 2022. » (l’an dernier, 1,5 milliard de dollars, soit 1,12 milliard de livres, a été dérobé à Bybit. Avant cela, 600 millions de dollars, soit 433 millions de livres, à Poly Network en 2021, et 540 millions de dollars, soit 412 millions de livres, à Ronin en 2022).
Ce fut rapide. TRM Labs : « On October 29, 2026, an attacker moved approximately USD 6.36 billion out of Binance wallets on ten blockchains, most of it in about 20 minutes starting at 20:05 UTC » (le 29 octobre 2026, un attaquant a sorti environ 6,36 milliards de dollars de portefeuilles Binance sur dix blockchains, en majeure partie en une vingtaine de minutes à partir de 20:05 UTC). Comme l’a dit Ari Redbord, de TRM, à la BBC : « That speed is the product of long preparation. » (cette vitesse est le fruit d’une longue préparation).
Ni la blockchain, ni les clés
La surprise, c’est ce qui n’a pas été cassé. Mitchell Labiak, de la BBC : « The short version is that the blockchain wasn't hacked. Rather, the exchange on which people trade cryptocurrency was hacked. » (en résumé, la blockchain n’a pas été piratée. C’est la plateforme d’échange sur laquelle les gens négocient des cryptomonnaies qui l’a été).
Et Binance : « We have found no evidence of any wallet private key leak. » (nous n’avons trouvé aucune preuve d’une fuite de clé privée de portefeuille).
Tout a peut-être commencé sur un seul portable
La première réponse de Binance : « Binance's initial investigation suggests that the security incident may involve a compromised DevOps engineer's laptop, which allowed an attacker to gain access to a service container and submit unauthorized withdrawal transactions. » (l’enquête initiale de Binance suggère que l’incident de sécurité pourrait impliquer l’ordinateur portable compromis d’un ingénieur DevOps, qui a permis à un attaquant d’accéder à un conteneur de service et de soumettre des transactions de retrait non autorisées).
Il pourrait aussi s’agir de plus d’une machine. Le co-PDG de Binance, Richard Teng, cité par la BBC : « This was not carried out by one person. Our initial investigation suggested that the security incident may have involved a compromised laptop, however our subsequent investigation has uncovered additional points of breach. » (cela n’a pas été mené par une seule personne. Notre enquête initiale suggérait que l’incident de sécurité pouvait impliquer un ordinateur portable compromis, mais notre enquête ultérieure a mis au jour d’autres points d’intrusion).
Binance n’a pas publié comment le service a été atteint, et cet article ne fait pas de suppositions.
Pourquoi c’est difficile à contrer
Teng a aussi déclaré que les transferts « did not pass through our normal approval controls » (ne sont pas passés par nos contrôles d’approbation habituels).
Mackenzie Jackson, d’Aikido, a décrit à la BBC le schéma général : « From one laptop, an attacker can open one internal system, then another, until they reach a service trusted to send out withdrawals. Those withdrawals travel through a legitimate route, so they can look routine. » (depuis un seul portable, un attaquant peut ouvrir un système interne, puis un autre, jusqu’à atteindre un service habilité à envoyer des retraits. Ces retraits empruntent une voie légitime, ils peuvent donc sembler ordinaires).
Dans le résumé que fait la BBC des propos de Jackson : « He says hackers have shifted from going after company infrastructure to going after the machines of the people who run it. Those machines hold the digital keys that unlock a company's systems, so an attacker can act as that engineer. » (selon lui, les pirates sont passés de l’infrastructure des entreprises aux machines des personnes qui la gèrent. Ces machines détiennent les clés numériques qui ouvrent les systèmes d’une entreprise, si bien qu’un attaquant peut se faire passer pour cet ingénieur).
Qui : soupçonné, pas confirmé
TRM Labs, cité par la BBC : « Several features of this attack match earlier North Korea-linked heists » (plusieurs caractéristiques de cette attaque correspondent à des vols antérieurs liés à la Corée du Nord). L’un d’eux est Bybit. Le FBI : « North Korea was responsible for the theft of approximately $1.5 billion USD in virtual assets from cryptocurrency exchange, Bybit, on or about February 21, 2025. » (la Corée du Nord est responsable du vol d’environ 1,5 milliard de dollars d’actifs virtuels à la plateforme d’échange de cryptomonnaies Bybit, aux alentours du 21 février 2025).
Pour Binance, deux sociétés d’analyse désignent un suspect. TRM Labs : « TRM attributes the attack to TraderTraitor, North Korea's elite hacking unit, based on robust on and off-chain intelligence. We make this judgment with high confidence. » (TRM attribue l’attaque à TraderTraitor, l’unité de piratage d’élite de la Corée du Nord, sur la base de renseignements solides on-chain et off-chain. Nous portons ce jugement avec un degré de confiance élevé). Chainalysis : « Chainalysis investigators assess the $6.4 billion hack of Binance … to be the work of North Korean cybercrime group TraderTraitor. » (les enquêteurs de Chainalysis estiment que le piratage de Binance à 6,4 milliards de dollars … est l’œuvre du groupe cybercriminel nord-coréen TraderTraitor).
Mais Elliptic le note : « No government or law enforcement agency has confirmed attribution, and Binance has not commented on who was responsible. » (aucun gouvernement ni service de police n’a confirmé l’attribution, et Binance ne s’est pas exprimé sur le responsable). Et la BBC : « We don't yet know who was behind the attack » (nous ne savons pas encore qui est derrière l’attaque). Donc : soupçonné, pas confirmé.
Et ensuite
Binance a « temporarily suspended withdrawals while security checks are completed » (suspendu temporairement les retraits le temps de terminer les vérifications de sécurité) et a déclaré : « Binance will cover all losses from the SAFU fund and the company's funds. User funds are safe. » (Binance couvrira toutes les pertes avec le fonds SAFU et les fonds de l’entreprise. Les fonds des utilisateurs sont en sécurité). Elle a aussi annoncé : « We have worked with blockchain partners to freeze affected assets, with ~$3 billion frozen on-chain so far. » (nous avons travaillé avec des partenaires blockchain pour geler les actifs concernés, avec environ 3 milliards de dollars gelés on-chain à ce jour).
Le temps compte. Le vol a pris quelques minutes ; le blanchiment prend des semaines. Chainalysis : « Following major theft events between 2022-2025, stolen funds follow a structured, multi-wave laundering pathway that unfolds over approximately 45 days » (après les grands vols de 2022 à 2025, les fonds volés suivent un circuit de blanchiment structuré, en plusieurs vagues, qui se déroule sur environ 45 jours). Pour l’échelle : « North Korean hackers stole $2.02 billion in cryptocurrency in 2025, a 51% year-over-year increase » (les pirates nord-coréens ont volé 2,02 milliards de dollars en cryptomonnaies en 2025, soit une hausse de 51 % sur un an) (Chainalysis).
Et récupérer l’argent est lent. À propos de Bybit, 18 mois plus tard, Decrypt rapportait qu’« around $48.4 million has been recovered and about $30.5 million frozen across more than 28 exchanges and custodians » (environ 48,4 millions de dollars ont été récupérés et environ 30,5 millions gelés auprès de plus de 28 plateformes d’échange et dépositaires). Cela fait environ 3 % de 1,5 milliard de dollars récupérés (notre calcul : 48,4 millions ÷ 1,5 milliard de dollars).
La parade
- Approuver depuis l’extérieur du système qui demande. Le FBI recommande : « Require multiple factors of authentication and approvals from several different unconnected networks » (exiger plusieurs facteurs d’authentification et des approbations depuis plusieurs réseaux différents et non connectés) avant tout mouvement d’actifs financiers de l’entreprise.
- Séparer qui peut signer quoi. TRM Labs : « Signing infrastructure and approval paths should be separated by chain and wallet tier. » (l’infrastructure de signature et les circuits d’approbation doivent être séparés par blockchain et par niveau de portefeuille).
- Verrouiller les machines proches de l’argent. « For companies with access to large quantities of cryptocurrency, the FBI recommends blocking devices connected to the company's network » (pour les entreprises ayant accès à de grandes quantités de cryptomonnaies, le FBI recommande d’empêcher les appareils connectés au réseau de l’entreprise) de télécharger ou d’exécuter quoi que ce soit d’autre que des programmes approuvés.
Les plus gros vols ne cassent pas la cryptographie ; ils prennent le contrôle du processus habilité à déplacer l’argent, et ce processus passe par des personnes et leurs ordinateurs portables.
Sources
- Binance, Security Incident Update, 30 oct. 2026
- TRM Labs, North Korea steals $6.36 billion from Binance in the largest hack in history, 29 oct. 2026
- Chainalysis, Binance exploit: latest findings and response, 30 oct. 2026
- Elliptic, Binance: the largest hack in history, 30 oct. 2026
- BBC News, North Korea thought to be behind $6.3bn crypto hack, as firm begins recovering some funds (page en direct), 30 oct. 2026
- Chainalysis, Crypto hacking and stolen funds 2026, déc. 2025
- Decrypt, Bybit sues North Korea over $1.5B hack, wins order freezing assets, 10 août 2026
- FBI, PSA 250226 (Bybit), 26 févr. 2025
- FBI, PSA 240903: North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks, 3 sept. 2024
La vidéo est animée en code et le script a été écrit avec l’aide de l’IA ; chaque chiffre ci-dessus est vérifié auprès des sources. Illustratif : l’infection qui envahit l’écran du portable, le trajet étape par étape et le journal des transactions. Cet article explique le risque et la parade, pas les étapes d’une attaque. La vidéo est en anglais. Réalisée avec Shotloop, mon app Mac gratuite pour faire des vidéos explicatives en code, corrigées un plan à la fois.