Recevez tous les soirs un résumé de l’actu importante avec Le Récap’
Il est déjà désigné comme le plus gros hack crypto de l’histoire.
Le 29 octobre 2026, peu après 21 heures en France, un hacker est parvenu à vider des portefeuilles de Binance sur dix blockchains différentes. L’essentiel de l’immense butin, estimé à environ 6,3 milliards de dollars, aurait été dérobé en une vingtaine de minutes.
Dans la nuit, la plus grande plateforme d’échange de cryptomonnaies au monde a expliqué que l’attaque était partie de l’ordinateur portable compromis d’un de ses ingénieurs DevOps. Cet accès aurait permis au pirate d’atteindre un conteneur de service, un environnement isolé où tourne l’un des programmes internes de la plateforme, et d’y soumettre des retraits que les systèmes de Binance ont traités comme légitimes.
Alors que près de 3 milliards de dollars ont depuis été gelés et que Binance s’est engagée à couvrir l’intégralité des pertes, l’entreprise ne s’est pas avancée sur l’identité de l’attaquant. Les analyses indépendantes, elles, livrent déjà de premiers indices.
La société TRM Labs a été la première à se prononcer. Dans une analyse publiée le soir même, elle attribue l’attaque « avec un haut degré de confiance » à TraderTraitor, un groupe lié à l’État nord-coréen, en croisant des éléments tirés de la blockchain avec d’autres sources de renseignement.
Selon l’étude, l’opération se préparait depuis au moins 36 heures. Le portefeuille de l’attaquant avait en effet été alimenté la veille par de petits retraits depuis Tornado Cash, un service qui brouille l’origine des cryptomonnaies.
La société américaine Chainalysis est arrivée à la même conclusion par un autre chemin. Ses enquêteurs ont repéré une partie des fonds volés à Binance mêlée à ceux dérobés fin septembre à la plateforme Bitget, un vol de plus de 350 millions de dollars que la société imputait déjà à la Corée du Nord.
Our investigators observed funds stolen by DPRK in last month's Bitget exploit commingling with funds stolen from Binance.We have a high degree of confidence that DPRK is responsible for the $6.4 billion hack of Binance. https://t.co/xj9dQYcbKr
L’enquêteur indépendant ZachXBT a lui aussi repéré les fonds des deux vols sur une même adresse et y voit la main d’un même acteur, qu’il rattache à Lazarus, la nébuleuse de hackers nord-coréens dont TraderTraitor est une branche.
Si ces attributions n’ont encore été confirmées par aucune autorité étatique, le mode opératoire décrit par Binance rappelle celui que le FBI prête à TraderTraitor depuis plusieurs années.
Ce nom apparaît dès avril 2022 dans une alerte du FBI qui décrivait des campagnes de messages visant les employés d’entreprises crypto, souvent sous la forme de fausses offres d’emploi bien payées, pour les pousser à installer des applications piégées.
Deux ans plus tard, le schéma semble similaire. Le pirate qui a frappé Binance est lui aussi passé par le poste d’un salarié, et n’a pas eu besoin de voler les clés privées de la plateforme, puisqu’il a fait travailler pour lui le système qui les utilise. Le scénario rappelle également celui de Bitget, où les attaquants avaient trompé le système interne d’approbation des retraits plutôt que de dérober des clés.
En attendant que l’enquête fasse la lumière sur le reste de cette affaire, le hack de Binance, déjà historique, porte un nouveau coup à la confiance accordée aux plateformes d’échange centralisées.
En février 2025, la plateforme Bybit s’était alors fait voler environ 1,5 milliard de dollars directement depuis l’un de ses portefeuilles hors ligne. Les pirates avaient compromis le Mac d’un développeur de Safe, le prestataire dont Bybit utilisait l’interface de signature, au moyen d’un faux projet de simulateur boursier. Une attaque qui avait finalement été attribuée par le FBI à… TraderTraitor.
Chaud ou froid, le point d’entrée reste donc le même, à savoir le poste de travail d’une personne qui a accès au processus de signature. Chez DMM Bitcoin, chez Bybit et désormais chez Binance, il a suffi de compromettre un seul ordinateur pour que les systèmes de la plateforme valident eux-mêmes le vol.
Découvrez les nombreux avantages de Numerama+.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information. C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez, voici trois bonnes raisons de soutenir notre travail :
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !
Le futur n’attend pas : anticipez l’avenir des nouvelles technologies et de l’IA en lisant gratuitement ToujoursPlus, chaque jeudi dans votre boîte mail !
