Binance, la plus grande plateforme d’échange de cryptomonnaies au monde, a été victime d’une cyberattaque massive le jeudi 29 octobre 2026. En quelques heures, des pirates sont parvenus à détourner environ 6,3 milliards de dollars de cryptomonnaies depuis plusieurs portefeuilles de la plateforme. Binance confirme l’incident et annonce avoir fait geler près de 3 milliards de dollars d’actifs pour empêcher les attaquants de les déplacer.
L’attaque pourrait constituer le plus important vol de cryptomonnaies jamais enregistré. Selon les premières investigations, les pirates auraient exploité un ordinateur professionnel compromis pour obtenir un accès aux systèmes autorisant les retraits. Binance a temporairement suspendu les opérations de dépôt et de retrait, tout en assurant que les fonds de ses clients seraient intégralement couverts.
Fondée en 2017 par Changpeng Zhao et Yi He, Binance est l’une des principales infrastructures mondiales du marché des cryptomonnaies. Elle permet d’acheter, vendre, échanger et conserver des actifs numériques comme le Bitcoin, l’Ethereum ou les stablecoins. La plateforme revendique plus de 335 millions d’utilisateurs enregistrés dans le monde et conserve des dizaines de milliards de dollars d’actifs pour le compte de ses clients.
6,3 milliards de dollars transférés vers des portefeuilles contrôlés par les pirates
L’attaque s’est principalement déroulée dans la soirée du 29 octobre. Les premières transactions frauduleuses identifiées sur la blockchain remontent à 20 h 05 UTC, soit 21 h 05 en France.
Les analyses techniques réalisées par TRM Labs, société spécialisée dans l’investigation des transactions en cryptomonnaies, montrent qu’environ 6,36 milliards de dollars ont quitté des portefeuilles appartenant à Binance, sur dix réseaux blockchain différents.
Une grande partie de ces transferts aurait été exécutée en une vingtaine de minutes. D’autres mouvements se sont poursuivis au cours de la soirée.
Les principaux actifs concernés comprennent :
- Environ 200 630 ethers (ETH), auxquels s’ajoutent de nombreux jetons présents sur Ethereum ;
- 18 270 bitcoins (BTC), représentant environ 1,47 milliard de dollars au moment des transferts ;
- Plus de 2 milliards de dollars de stablecoins, dont des USDT et des USDC ;
- 233,46 millions de XRP, représentant environ 296 millions de dollars ;
- 970 500 SOL, pour une valeur proche de 96 millions de dollars ;
- Des actifs présents sur Tron, Arbitrum, Avalanche, Optimism, Base et Polygon.
Les montants en dollars varient selon les cours des cryptomonnaies. Binance estime officiellement l’impact global de l’incident à environ 6,3 milliards de dollars, un chiffre cohérent avec les premières analyses des transactions.
L’ordinateur d’un ingénieur DevOps pourrait être à l’origine de l’intrusion
Dans une communication officielle publiée le 30 octobre 2026, Binance apporte des premiers éléments sur l’origine possible de la cyberattaque.
Selon l’entreprise, l’ordinateur portable d’un ingénieur DevOps aurait été compromis. Les attaquants auraient ensuite exploité cet accès pour pénétrer dans un conteneur de service et soumettre des transactions de retrait non autorisées.
Un ingénieur DevOps intervient notamment dans le déploiement, l’automatisation et l’exploitation des infrastructures informatiques. Selon ses responsabilités, son environnement de travail peut disposer d’accès à des outils techniques sensibles.
Dans cette affaire, la compromission présumée de son poste aurait donc pu constituer une porte d’entrée vers des composants utilisés pour traiter les transactions financières.
Binance précise n’avoir trouvé aucune preuve d’une fuite des clés privées de ses portefeuilles. Cette distinction est essentielle : les pirates pourraient avoir obtenu la capacité de faire exécuter des transactions par des systèmes légitimes sans nécessairement dérober les clés cryptographiques elles-mêmes.
L’entreprise doit encore confirmer la chaîne complète de compromission. Un rapport technique détaillé est annoncé une fois les investigations terminées.
Comment les pirates ont-ils pu vider des portefeuilles sans voler leurs clés privées ?
Pour comprendre cette cyberattaque, il faut distinguer deux éléments : les portefeuilles contenant les cryptomonnaies et les systèmes chargés d’autoriser leurs mouvements.
Les grandes plateformes utilisent des hot wallets, des portefeuilles connectés à Internet qui permettent d’effectuer rapidement les retraits demandés par les utilisateurs.
Ces portefeuilles disposent de mécanismes de signature permettant de vérifier qu’une transaction est autorisée. Si un attaquant parvient à compromettre le système qui prépare ou autorise ces transactions, il peut potentiellement faire signer des transferts frauduleux.
C’est l’une des hypothèses privilégiées par les spécialistes qui analysent les mouvements effectués depuis Binance. Les transactions observées sur plusieurs blockchains disposent de signatures valides, alors même que leurs destinataires semblent être contrôlés par les attaquants.
Le fait que plusieurs réseaux distincts aient été touchés presque simultanément oriente les investigations vers une compromission d’un composant centralisé chargé de l’autorisation des transferts.
Sur Ethereum, une fonction légitime détournée pour vider un portefeuille
Les analyses blockchain révèlent un mécanisme particulièrement intéressant sur Ethereum.
Les attaquants auraient utilisé EIP-7702, une fonctionnalité introduite en mai 2025, qui permet à un portefeuille Ethereum de déléguer certaines opérations à un programme informatique appelé smart contract.
Dans un fonctionnement normal, cette possibilité permet d’ajouter de nouvelles fonctions à un portefeuille. Mais dans cette attaque, les pirates auraient obtenu des autorisations permettant d’associer un portefeuille de Binance à un programme contrôlé par eux.
Les investigations font apparaître 50 autorisations préalablement signées, préparées pour différents états successifs du portefeuille. Une seule autorisation valide suffisait pour activer la délégation malveillante.
Une fois cette opération réalisée, les pirates auraient pu déclencher des transferts vers leurs propres adresses. Une transaction aurait notamment déplacé 167 464 ETH et 63 autres types de jetons, comprenant plus de 1,6 milliard d’USDT.
Le programme malveillant serait ensuite resté actif, permettant de transférer également certains fonds arrivant ultérieurement sur le portefeuille.
Il ne s’agit pas d’une preuve que la blockchain Ethereum elle-même a été piratée. Les éléments disponibles montrent plutôt un détournement de mécanismes d’autorisation dans l’environnement de Binance.
Près de 3 milliards de dollars gelés grâce à une mobilisation exceptionnelle
La réaction des entreprises de l’écosystème des cryptomonnaies a permis de bloquer une partie considérable des actifs transférés.
Dans les premières heures, Binance annonçait environ 2,54 milliards de dollars gelés. Ce montant a ensuite augmenté. Dans son communiqué du 30 octobre, la plateforme indique que près de 3 milliards de dollars d’actifs concernés ont été gelés sur les blockchains.
Plusieurs acteurs sont intervenus :
- Tether, émetteur de l’USDT, a bloqué des montants considérables de stablecoins associés aux adresses suspectes ;
- Circle, émetteur de l’USDC, a notamment gelé plus de 800 millions de dollars ;
- Ripple a participé au blocage de jetons RLUSD ;
- World Liberty Financial a également gelé des actifs liés à l’incident ;
- Le conseil de sécurité d’Arbitrum est intervenu pour placer hors de portée des attaquants certains actifs présents sur son réseau.
Ces interventions sont possibles notamment parce que certains stablecoins disposent de mécanismes permettant à leur émetteur de bloquer les transferts associés à certaines adresses.
Geler des cryptomonnaies ne signifie toutefois pas qu’elles ont déjà été restituées à Binance. Les fonds peuvent rester immobilisés dans des portefeuilles contrôlés par les pirates, sans que ces derniers puissent les transférer.
La récupération effective des actifs dépendra des procédures techniques et judiciaires engagées.
Les pirates auraient tenté de convertir les fonds pour échapper au gel
Les attaquants n’ont pas attendu la fin des investigations pour tenter de sécuriser leur butin.
Les mouvements observés montrent que certaines sommes en stablecoins ont rapidement été converties vers d’autres cryptomonnaies, notamment de l’ether, afin d’échapper aux possibilités de blocage offertes aux émetteurs.
Des opérations ont également été identifiées sur des protocoles de finance décentralisée, où des actifs peuvent être échangés ou utilisés comme garanties pour emprunter d’autres cryptomonnaies.
Ces conversions ont parfois été réalisées à des conditions financières défavorables pour les attaquants, ce qui suggère qu’ils cherchaient avant tout à déplacer rapidement les fonds avant leur immobilisation.
Le Bitcoin constitue une difficulté supplémentaire pour les enquêteurs : contrairement à certains stablecoins, il n’existe pas d’émetteur central pouvant simplement bloquer une adresse Bitcoin.
Les quelque 18 270 BTC détournés ont ainsi été répartis entre plusieurs portefeuilles. Les transferts restent visibles publiquement sur la blockchain, mais leur blocage nécessite généralement l’intervention d’un intermédiaire lorsqu’ils transitent par un service d’échange.
La Corée du Nord et le groupe TraderTraitor suspectés
La question de l’identité des attaquants commence également à se préciser.
TRM Labs attribue cette cyberattaque au groupe TraderTraitor, associé à la Corée du Nord. L’entreprise spécialisée dans les investigations blockchain indique disposer d’un niveau de confiance élevé dans cette attribution.
Plusieurs éléments sont avancés : des préparatifs réalisés avant les transferts, l’utilisation de mécanismes permettant de dissimuler l’origine de fonds, la préparation d’autorisations de transactions et des similitudes avec des opérations précédemment attribuées à des acteurs nord-coréens.
TraderTraitor avait déjà été désigné par le FBI comme responsable de la cyberattaque contre Bybit en février 2025, au cours de laquelle environ 1,5 milliard de dollars de cryptomonnaies avaient été dérobés.
La compromission de Binance représenterait donc une opération d’une ampleur environ quatre fois supérieure.
L’attribution à la Corée du Nord reste néanmoins celle d’une société d’investigation privée. Binance n’a pas publiquement identifié les responsables dans son communiqué initial et indique travailler avec les autorités pour établir leur identité.
Binance suspend les retraits et engage une vérification de sécurité
Face à l’ampleur des transferts non autorisés, Binance a pris plusieurs mesures d’urgence pour empêcher la poursuite de l’attaque.
La plateforme a notamment :
- Suspendu temporairement les opérations de dépôt et de retrait pendant les premières vérifications ;
- Révoqué certaines autorisations associées aux adresses compromises ;
- Engagé des contrôles sur ses systèmes de traitement des retraits ;
- Mobilisé des entreprises spécialisées dans le suivi des transactions blockchain ;
- Contacté les autorités chargées des investigations.
Dans une communication ultérieure du 30 octobre, Binance indique que les dépôts fonctionnent normalement, tandis que les retraits restent suspendus le temps de sécuriser les services concernés.
La plateforme évoque un rétablissement envisagé sous environ 48 heures, sous réserve de l’achèvement des vérifications techniques. Ce délai reste prévisionnel.
Les cryptomonnaies des clients ont-elles été volées ?
C’est la principale inquiétude des millions d’utilisateurs de Binance.
La plateforme affirme que les fonds des clients sont en sécurité et que toutes les pertes liées à la cyberattaque seront prises en charge, grâce à son fonds de protection SAFU et aux ressources financières de l’entreprise.
Le fonds SAFU, pour Secure Asset Fund for Users, constitue une réserve destinée à protéger les utilisateurs en cas d’incident grave.
Il faut cependant distinguer deux situations. D’un côté, des actifs ont effectivement quitté des portefeuilles contrôlés par Binance. De l’autre, cela ne signifie pas automatiquement que les utilisateurs vont subir une perte sur leurs soldes.
Une plateforme centralisée conserve généralement des cryptomonnaies dans différents portefeuilles pour le compte de ses utilisateurs. Elle reste responsable de la restitution des actifs correspondant aux soldes de ses clients.
La question essentielle devient donc celle de la capacité de Binance à remplacer les actifs manquants et à maintenir une couverture suffisante des avoirs de ses utilisateurs.
Certaines des adresses affectées figuraient dans les informations de réserves publiées précédemment par Binance. Leur compromission rend donc particulièrement importante la publication d’un nouvel état des réserves.
L’entreprise s’est engagée à publier une nouvelle preuve de réserves après les opérations de remédiation. Ce document devra permettre de mieux apprécier la situation des actifs détenus pour les clients.
À ce stade, aucune preuve d’une fuite généralisée de mots de passe, de données personnelles ou de clés privées appartenant directement aux utilisateurs n’a été présentée.
Bitcoin, Ethereum et BNB chutent après l’annonce de l’attaque
La révélation de cette cyberattaque a rapidement provoqué des tensions sur les marchés des cryptomonnaies.
Le Bitcoin est descendu jusqu’à environ 77 646 dollars, atteignant un plus bas de six semaines. L’ether a reculé jusqu’à environ 2 239 dollars, un niveau qui n’avait plus été observé depuis deux mois.
Le BNB, jeton associé à l’écosystème Binance, a également enregistré une forte baisse, dépassant temporairement 8 % sur 24 heures.
Ces mouvements reflètent les inquiétudes des investisseurs face à l’ampleur des sommes détournées, aux restrictions sur les retraits et aux interrogations concernant la sécurité des infrastructures des plateformes centralisées.
La fermeture temporaire d’un service de retrait aussi important peut également perturber la liquidité du marché, compliquer certains arbitrages et accentuer la volatilité lorsque de nombreux investisseurs cherchent simultanément à modifier leurs positions.
Une cyberattaque qui pourrait dépasser tous les précédents vols de cryptomonnaies
Avec environ 6,3 milliards de dollars transférés frauduleusement, l’attaque contre Binance dépasse largement les plus importantes compromissions historiquement documentées dans le secteur.
Le précédent vol majeur contre Bybit, en février 2025, représentait environ 1,5 milliard de dollars. Le piratage du réseau Ronin, en 2022, avait quant à lui entraîné le détournement d’environ 625 millions de dollars à l’époque.
L’affaire Binance illustre également une évolution des méthodes utilisées par les cybercriminels. Il ne s’agit plus nécessairement de rechercher une vulnérabilité dans une blockchain, mais de cibler les infrastructures internes, les outils d’administration et les mécanismes d’autorisation des entreprises qui manipulent les actifs.
Lorsqu’un système centralisé autorise chaque jour des milliards de dollars de transactions, la compromission d’un seul composant disposant de privilèges élevés peut entraîner des conséquences considérables.
Quels risques pour les utilisateurs de Binance ?
Pour les clients, le risque immédiat concerne principalement l’indisponibilité des retraits et les conséquences éventuelles d’un rétablissement prolongé des services.
La médiatisation de l’incident peut également favoriser les tentatives d’escroquerie. Des fraudeurs pourraient se faire passer pour Binance et prétendre qu’un utilisateur doit transférer ses cryptomonnaies vers un nouveau portefeuille sécurisé.
D’autres messages pourraient annoncer une vérification urgente de compte, un remboursement ou une procédure spéciale permettant de débloquer des retraits.
Les utilisateurs ne doivent jamais communiquer leur phrase de récupération, leurs clés privées ou leurs codes d’authentification à une personne prétendant intervenir au nom de Binance. Ils doivent également éviter les liens reçus par message et vérifier l’état de leur compte directement depuis les applications et canaux officiels.
Un autre point mérite d’être souligné : rien ne permet actuellement d’affirmer que les comptes personnels des 335 millions d’utilisateurs enregistrés ont été piratés. L’incident concerne, selon les premiers éléments, des systèmes internes autorisant le mouvement de cryptomonnaies.
Une enquête en cours et des milliards de dollars toujours à sécuriser
Au 30 octobre 2026, Binance confirme un incident de sécurité estimé à 6,3 milliards de dollars et annonce qu’environ 3 milliards de dollars d’actifs ont été gelés avec l’aide de ses partenaires.
Les investigations techniques indépendantes montrent toutefois que des volumes considérables de bitcoins, d’ethers et d’autres cryptomonnaies restent contrôlés par des adresses attribuées aux attaquants.
Les prochaines étapes seront déterminantes : identifier définitivement l’origine de l’intrusion, neutraliser tous les accès frauduleux, récupérer les actifs immobilisés et rétablir les retraits dans des conditions de sécurité suffisantes.
Binance devra également démontrer sa capacité à reconstituer intégralement les réserves nécessaires pour couvrir les soldes de ses clients, conformément à ses engagements.
Cette cyberattaque représente déjà un événement majeur dans l’histoire des cryptomonnaies. Elle démontre qu’une infrastructure capable de sécuriser des milliards de dollars peut être mise en difficulté par la compromission présumée d’un poste informatique et de mécanismes de validation des transactions. Malgré le gel d’une partie du butin, plusieurs milliards de dollars demeurent au cœur d’une opération internationale de traçage et de récupération.