Piratage de Binance : comment les hackers ont-ils volé 6,3 milliards de dollars ?
Jeudi 29 octobre, vers 21 h, quelqu'un a commencé à vider les portefeuilles de la plus grosse plateforme crypto au monde. En quelques minutes, presque tout était parti : environ 6,3 milliards de dollars selon Binance. C'est plus de quatre fois le précédent record : le hack de Bybit en 2025.
Les médias ont titré sur le montant et sur « l'ordinateur portable d'un ingénieur ». C'est vrai, mais ça ne suffit pas. On ne vide pas un coffre à plusieurs milliards en volant un pc portable, comme on ne cambriole pas une banque en piquant le badge du stagiaire. Alors on soulève le capot, sans jargon, promis.
Comment les hackers ont piraté Binance ?
Hot wallet, cold wallet : le tiroir-caisse et le coffre
Une plateforme comme Binance garde ses cryptos dans deux types de portefeuilles. Les cold wallets, ce sont les coffres-forts : déconnectés d'Internet, difficiles à atteindre, faits pour stocker. Les hot wallets, ce sont les tiroirs-caisses : connectés en permanence, car quand vous demandez un retrait, vous ne voulez pas attendre trois jours.
L'attaque a visé des hot wallets, à commencer par « Binance 14 » sur Ethereum. Et pour déplacer des fonds depuis un portefeuille, il faut une signature : la clé privée sert de stylo, et sans signature rien ne bouge. Le pirate n'avait donc pas besoin de forcer un coffre. Il lui suffisait de faire signer la plateforme.
L'entrée : un ingénieur, un conteneur
Selon l'enquête initiale de Binance, tout serait parti de l'ordinateur piraté d'un ingénieur DevOps. Il aurait ouvert l'accès à un service interne, d'où l'attaquant a soumis des retraits non autorisés. Le patron Richard Teng précise toutefois que ce n'était pas une attaque « en un clic » et que Binance n'a trouvé aucune fuite de clé privée. La plateforme a aussi admis ensuite avoir découvert d'autres points de compromission que le pc portable. Selon lui, l'attaque n'a pas été menée par une seule personne et les attaquants ont utilisé des tactiques complexes, dont un « mécanisme d'autodestruction » qui complique l'enquête.
Le tour de force : cinquante signatures d'un coup
Depuis mai 2025, Ethereum propose une fonction appelée EIP-7702. Un portefeuille ordinaire peut, grâce à une signature, confier sa gestion à un contrat intelligent, c'est-à-dire un petit programme. Le pirate a déployé un contrat « balayeur » : une seule transaction, et il vide tout ce que contient le portefeuille. Lui seul peut l'actionner.
Mais il y avait un obstacle. Chaque autorisation n'est valable que pour un numéro de transaction précis, un compteur qui avance à chaque envoi. Or Binance 14 traitait des retraits en continu, donc le compteur bougeait sans cesse. Le pirate a donc envoyé 50 autorisations d'un coup, une par numéro à venir. C'est comme glisser cinquante chèques numérotés dans une file qui avance en espérant qu'un seul tombe pile. Un seul est passé, et il a suffi.
Ces 50 autorisations portaient la signature de Binance 14. Si aucune clé n'a fuité, c'est donc que quelque chose chez Binance a signé à la demande, et le pirate pouvait, d'après TRM Labs, faire signer à la plateforme les transactions de son choix.
Ensuite, ça va vite :
- Quelques minutes après la délégation, une transaction envoie 167 464 ETH, 1,6 milliard d'USDT et plus de 60 autres cryptos, soit près de 2,5 milliards de dollars.
- 24 secondes plus tard, un second portefeuille, Binance 16, envoie à son tour des fonds, par de simples virements.
- Dans la demi-heure, les portefeuilles des autres blockchains se vident de la même façon.
Le pirate s'était même entraîné la veille sur trois petites adresses, avec des frais payés via Tornado Cash. Une répétition générale.
Où les contrôles internes ont pu lâcher ?
Binance a promis un rapport technique complet. En attendant, voici mes hypothèses, déduites des faits publics et à prendre comme telles :
- Trop d'argent dans un seul tiroir. Près de 2,5 milliards sortis d'un seul portefeuille chaud, c'est énorme. Plafonner les montants ou répartir les fonds limite la casse.
- Un service de signature trop docile. Une autorisation EIP-7702, qui livre un portefeuille à un contrat inconnu, n'a rien d'un retrait et aurait dû être refusée d'office.
- Pas de validation hors-bande. Les montages à signatures multiples ou à clés fragmentées existent pour qu'un seul point compromis ne suffise pas.
- Un poste d'ingénieur trop proche de la production. Un pc portable piraté ne devrait jamais mener aux signatures qui comptent.
- Une détection trop lente. Le contrôle du portefeuille a été pris vers 21 h 20, et Binance n'a révoqué la délégation que vers 1 h 12. Pendant ce temps, le pirate a continué à ramasser tout ce qui arrivait.
Qui est derrière le piratage ?
Les sociétés d'analyse Chainalysis et TRM Labs pointent TraderTraitor, un groupe nord-coréen que le FBI avait déjà désigné pour Bybit. Leur indice principal : des fonds volés à Binance se sont mélangés à ceux du piratage de Bitget le mois dernier. Le FBI a ensuite attribué le vol à la Corée du Nord, tandis que Binance, de son côté, n'a désigné personne officiellement.
Si c'est bien Pyongyang alors c'est une stratégie d'État. Cryptoast calcule que ce butin équivaut à environ 19 % du PIB nord-coréen.
Le blanchiment, lui, vire à la comédie noire. Le pirate a converti ses jetons en ETH, que personne ne peut geler. Il a aussi vendu plus de 130 altcoins pour environ 279 millions de dollars. Et pendant ce temps, des inconnus lui écrivaient dans les transactions pour lui réclamer quelques milliers de dollars. Même les voleurs ont droit à leur lot de mendiants !
Les conséquences pour les utilisateurs
Premier réflexe de Binance : suspendre retraits et dépôts. Les dépôts ont repris, les retraits reviennent par phases depuis le 1er novembre. Binance promet de couvrir toutes les pertes avec son fonds SAFU (environ 15 000 BTC, soit près d'un milliard de dollars) et ses fonds propres. Elle affirme avoir déjà reconstitué environ 95 % des actifs touchés, en rachetant notamment les altcoins volés. Une preuve de réserves actualisée est promise.
Côté France, la situation est particulière. Binance a cessé ses services crypto dans l'UE le 1er juillet faute d'agrément MiCA, et ses clients français gardaient seulement la possibilité de retirer leurs fonds. C'est justement ce service qui s'est retrouvé bloqué. Aucun fonds de garantie des dépôts ne couvre les cryptos laissées sur une plateforme. Il y a heureusement de quoi relativiser : le vol représente moins de 4 % des quelque 165 milliards d'actifs de Binance.
Si vous étiez client de Binance alors gardez un œil sur votre boîte mail : après un hack de cette taille, les faux messages de « remboursement accéléré » fleurissent. Personne ne vous demandera jamais votre phrase de récupération.
Le rôle de l'intelligence artificielle
Soyons prudents : à ce stade, aucune source que j'ai pu consulter ne démontre que l'IA a servi à pirater Binance. En revanche, il y a des indices sur le blanchiment. Chainalysis dit observer des schémas jamais vus, avec des milliers de transactions en peu de temps, signe d'une automatisation destinée à brouiller la piste.
Le contexte joue aussi. Fin 2025, Chainalysis jugeait que la régularité du blanchiment nord-coréen évoquait l'usage de l'IA. Google et Mandiant ont, eux, documenté des attaques nord-coréennes visant la crypto avec de faux logiciels et, selon les rapports, des vidéos générées par IA. L'IA peut donc aider à préparer l'attaque (phishing, faux profils) et à la rendre difficile à suivre. Quant à son rôle exact dans ce coup-ci, il faudra attendre le rapport de Binance et les enquêtes publiques.
Les conséquences sur le marché
Le marché a pris la nouvelle de plein fouet. En quelques heures, le bitcoin est passé sous les 77 000 dollars, le BNB a perdu environ 8 % et plus de 1,3 milliard de dollars de positions à effet de levier ont été liquidées. Dans la finance décentralisée, Aave a gelé ses marchés par précaution après que le pirate y a emprunté, avant de les rouvrir.
Le choc aurait pu être pire. Les émetteurs de stablecoins ont réagi très vite : Tether, Circle, Ripple et d'autres ont gelé environ 3 milliards de dollars. Mais il reste environ 2,9 milliards de dollars en cryptos non gelables (ETH, BTC, etc.), que le pirate doit encore blanchir. Et le sujet a déjà pris une tournure politique : le patron de la CFTC plaide pour une supervision américaine des plateformes offshore, pendant que le CLARITY Act reste bloqué au Sénat américain.
Les précédents piratages
Les hacks crypto à plusieurs centaines de millions ont leurs grands classiques :
| Année | Cible | Ordre de grandeur |
|---|---|---|
| 2014 | Mt. Gox | ~850 000 BTC |
| 2018 | Coincheck | ~530 M$ |
| 2019 | Binance | ~7 000 BTC |
| 2022 | Ronin (Axie Infinity) | ~625 M$, attribué à Lazarus |
| 2022 | Pont BNB Chain | ~570 M$ |
| 2025 | Bybit | 1,5 Md$, TraderTraitor |
| 2026 | Binance | ~6,3 Md$, TraderTraitor (probable) |
Le fil rouge : les Nord-Coréens sont de plus en plus forts, et au moins 2 milliards de dollars de cryptos leur ont été attribués en 2025. Surtout, les plus gros coups n'exploitent pas une faille mathématique. Ils visent des humains, des postes de travail et des processus de signature.
Alors, 6,3 milliards volés en vingt minutes, est-ce l'histoire d'un pc portable piraté ? Non. C'est l'histoire d'un système qui a accepté de signer ce qu'il n'aurait jamais dû signer.