Binance frappé par un incident de sécurité historique. 6,3 milliards de dollars transférés hors de la plateforme. Est-ce le plus grand piratage de l’histoire des cryptomonnaies ?
Le 29 octobre 2026, l’un des incidents de sécurité les plus graves de l’histoire du marché des cryptomonnaies s’est produit. Des actifs d’une valeur estimée à environ 6,3 milliards de dollars ont été transférés depuis 17 portefeuilles chauds de Binance. L’opération a touché plusieurs blockchains et a duré un peu moins de quatre heures. Binance a officiellement confirmé l’incident, s’est engagé à couvrir l’ensemble des pertes grâce à son fonds SAFU et à ses propres ressources, et a commencé à collaborer avec des sociétés d’analyse blockchain et des émetteurs de stablecoins afin de récupérer les actifs.
L’ampleur de cet événement est sans précédent. À titre de comparaison, le précédent piratage record de Bybit, en février 2025, avait entraîné des pertes estimées à environ 1,5 milliard de dollars. Dans le cas de Binance, l’impact financier annoncé est plus de quatre fois supérieur. Cela ne signifie toutefois pas que la totalité des 6,3 milliards de dollars a été définitivement perdue. Environ 3 milliards de dollars ont pu être gelés, tandis qu’une partie des actifs restants se trouve toujours sous le contrôle de l’attaquant.
Mais c’est surtout la manière dont l’opération a été menée qui est préoccupante. Selon les premières conclusions de Binance, l’attaquant aurait pu accéder à l’infrastructure interne de la plateforme grâce à l’ordinateur portable compromis d’un ingénieur DevOps. À ce stade, aucun élément ne prouve que les clés privées des portefeuilles aient été divulguées. Le problème semble donc avoir concerné le système permettant d’autoriser les retraits, et non une compromission de la sécurité de la blockchain elle-même.
Binance : que s’est-il exactement passé le 29 octobre ?
Les premiers mouvements sortants des portefeuilles de Binance ont été enregistrés vers 20:04 UTC. Au cours des minutes suivantes, les actifs ont commencé à être transférés vers des adresses contrôlées par l’attaquant. Selon la reconstitution de Bitquery, l’opération a impliqué 17 portefeuilles chauds de Binance et neuf réseaux blockchain. TRM Labs fait état de flux transitant par dix blockchains.
Parmi les réseaux concernés figuraient notamment Bitcoin, Ethereum, Tron, Solana, XRP Ledger, Arbitrum, Avalanche, Optimism, Base et Polygon. La valeur totale des actifs sortis des portefeuilles de la plateforme a été estimée entre 6,3 et 6,36 milliards de dollars.
Deux événements survenus à quelques secondes d’intervalle méritent une attention particulière, mais ne doivent pas être confondus. À 20:20:06 UTC, environ 18 270 BTC ont été transférés vers une adresse contrôlée par l’attaquant. À 20:20:59 UTC, 50 autorisations EIP-7702 associées à Binance 14 ont été enregistrées. Il s’agit de deux événements distincts, séparés de moins d’une minute.
La principale série de transferts d’ETH et de tokens ERC-20 a commencé vers 20:24 UTC. D’autres transferts depuis les portefeuilles de Binance se sont poursuivis jusqu’à 23:56 UTC. Les sorties analysées par Bitquery se sont donc étalées sur une période de près de quatre heures.
Les principaux moments de l’incident :
20:04 UTC - Début des sorties enregistrées depuis les portefeuilles de Binance.
20:20:06 UTC - Environ 18 270 BTC sont transférés vers une adresse contrôlée par l’attaquant.
20:20:59 UTC - Enregistrement de 50 autorisations EIP-7702 associées à Binance 14.
20:24 UTC - Début de la principale série de transferts d’ETH et de tokens ERC-20.
20:26 UTC - Nouveaux transferts d’ETH depuis les portefeuilles de Binance.
20:40-20:41 UTC - Transferts supplémentaires d’ETH et d’USDC.
23:56 UTC - Fin de la période de sorties analysée par Bitquery.
02:23 UTC, le 30 octobre - Binance publie son communiqué officiel sur l’incident et estime son impact à 6,3 milliards de dollars.
Sources : la reconstitution on-chain de Bitquery et le communiqué officiel de Binance.
Quelles cryptomonnaies ont été volées sur Binance ?
L’incident ne s’est pas limité à un seul actif ou à un seul réseau. L’attaquant a transféré d’énormes quantités de stablecoins, d’ETH, de BTC ainsi que de nombreux tokens populaires. Les données détaillées des transferts sur Ethereum illustrent l’ampleur de l’opération.
Parmi les principaux actifs concernés figuraient :
USDT : 1 615 409 499 tokens, pour une valeur d’environ 1,615 milliard de dollars.
USDC : 780 177 060 tokens, pour une valeur d’environ 780 millions de dollars.
ETH : environ 195 470 ETH, pour une valeur d’environ 442 millions de dollars.
wBETH : 29 934 tokens, pour une valeur d’environ 74,6 millions de dollars.
RLUSD : 62 597 240 tokens, pour une valeur d’environ 62,6 millions de dollars.
XAUt : 11 372 tokens, pour une valeur d’environ 45,6 millions de dollars.
UNI : 6 189 796 tokens, pour une valeur d’environ 41,2 millions de dollars.
ENA : 198 369 717 tokens, pour une valeur d’environ 37 millions de dollars.
PEPE : environ 7,18 billions de tokens, pour une valeur d’environ 35,3 millions de dollars.
USD1 : 27 760 802 tokens, pour une valeur d’environ 27,7 millions de dollars.
LINK : 2 263 172 tokens, pour une valeur d’environ 25 millions de dollars.
AAVE : 127 853 tokens, pour une valeur d’environ 16,2 millions de dollars.
Cette liste provient d’une analyse antérieure des transferts sur Ethereum. Elle ne représente pas le bilan complet de l’ensemble des actifs transférés lors de cet incident impliquant plusieurs blockchains. Ces montants ne doivent pas non plus être additionnés à l’estimation ultérieure de 6,3 milliards de dollars comme s’il s’agissait de pertes supplémentaires.
18 270 BTC, soit environ 1,4 milliard de dollars. L’attaquant a réparti les bitcoins sur 19 portefeuilles
L’un des aspects les plus intéressants de l’incident concerne la manière dont les bitcoins dérobés ont été répartis. Environ 18 270,2 BTC, représentant près de 1,4 milliard de dollars au moment de la publication des données, ont été envoyés vers une adresse de l’attaquant en 11 transactions. Les fonds ont ensuite été répartis sur 19 portefeuilles.
La répartition était la suivante :
17 portefeuilles ont reçu exactement 1 000 BTC chacun.
Un portefeuille a reçu environ 832,5 BTC.
Le dernier portefeuille a reçu environ 437,7 BTC.
Selon CoinDesk, à 04:23 UTC le 30 octobre, aucun de ces 19 portefeuilles n’avait encore transféré les bitcoins reçus.
Ce point est particulièrement important en raison de la différence entre Bitcoin et les stablecoins. Les émetteurs d’USDT et d’USDC peuvent geler des fonds directement au niveau des contrats des tokens. Bitcoin ne possède pas d’émetteur central capable de bloquer des unités spécifiques. En pratique, la récupération des BTC nécessite donc la coopération de plateformes d’échange, de courtiers OTC ou d’autres intermédiaires susceptibles de refuser de traiter des fonds liés à l’attaque.
L’attaquant a converti une partie des stablecoins en ETH et en TRX. Qu’est-ce qui a pu être récupéré ?
Le gel des stablecoins ne signifie pas que l’attaquant n’a pas eu le temps de convertir une partie des fonds volés en d’autres actifs. Selon la reconstitution de Bitquery, environ 729 millions de dollars de stablecoins dérobés ont été échangés contre de l’ETH et du TRX avant le gel de certaines adresses.
L’attaquant a ainsi accumulé environ 490 361 ETH. Cela représente environ 2,4 fois les 200 630 ETH initialement obtenus dans les sorties analysées. Le reste de cette position a été constitué en convertissant d’autres actifs volés en Ether.
Selon une mesure de Bitquery effectuée à 03:54 UTC le 30 octobre, environ 3,1 milliards de dollars se trouvaient encore dans des portefeuilles contrôlés par l’attaquant. À ce moment-là, Bitquery n’avait enregistré aucun transfert de ces fonds vers des plateformes d’échange ou des mixers.
TRM Labs présente une image légèrement différente, fondée sur une mesure antérieure et sa propre méthodologie. Selon son analyse, l’attaquant contrôlait encore plus de 420 000 ETH et 18 270 BTC, pour une valeur totale d’environ 2,4 milliards de dollars. Les différences entre ces estimations s’expliquent notamment par le moment de la mesure, l’étendue des actifs suivis et l’évolution des flux on-chain.
Comment l’attaquant a-t-il pris le contrôle des portefeuilles de Binance ?
Les premières conclusions de Binance indiquent que le point d’entrée pourrait être l’ordinateur portable compromis d’un ingénieur DevOps. L’attaquant aurait ainsi obtenu l’accès à un conteneur de services au sein de l’infrastructure interne de la plateforme, puis l’aurait utilisé pour envoyer des transactions de retrait non autorisées.
Binance a déclaré n’avoir trouvé aucun élément indiquant une fuite des clés privées de ses portefeuilles. Cette distinction est essentielle. Les transactions ont été signées par le système de Binance, mais cela ne signifie pas que quelqu’un ait réussi à casser la cryptographie de Bitcoin ou d’Ethereum. Le problème semble plutôt avoir concerné l’accès à l’infrastructure permettant d’autoriser les retraits.
Le mécanisme utilisé sur Ethereum, lié à EIP-7702, est particulièrement intéressant. Cette fonctionnalité permet à un portefeuille classique de déléguer l’exécution de certaines opérations à du code de smart contract, tout en conservant sa propre adresse et son solde.
Selon l’analyse on-chain, l’attaquant a utilisé 50 autorisations signées par Binance 14. Elles avaient été préparées pour des valeurs successives du compteur de transactions, appelé nonce. Cela a permis à l’une des autorisations d’être acceptée au moment opportun. Le portefeuille a alors commencé à exécuter du code contrôlé par l’attaquant, permettant le transfert automatique des actifs vers une adresse externe.
Cela ne signifie pas que EIP-7702 constitue en soi une faille de sécurité. Il s’agit d’une fonctionnalité du protocole Ethereum qui aurait été exploitée dans le cadre d’une compromission de l’infrastructure chargée d’autoriser les transactions.
Binance a annoncé qu’un rapport technique détaillé serait publié une fois l’enquête terminée. À ce stade, l’explication de l’attaque doit donc être considérée comme un ensemble de conclusions préliminaires et non comme un rapport d’investigation technique définitif.
Qui est à l’origine de l’attaque contre Binance ? Les indices pointent vers la Corée du Nord
TRM Labs a attribué l’incident au groupe nord-coréen TraderTraitor avec un niveau de confiance élevé. Chainalysis évoque également des liens avec la Corée du Nord. Les analystes ont relevé des similitudes avec l’attaque contre Bybit de février 2025, attribuée à un groupe lié à l’appareil d’État nord-coréen.
TraderTraitor est le nom utilisé pour désigner un groupe de cybercriminels associé à la Corée du Nord. Ses activités comprennent notamment des attaques contre des entreprises du secteur des cryptomonnaies et des tentatives de collecte de fonds destinés à financer les activités de l’État.
Il convient toutefois de rester prudent avant de tirer des conclusions définitives. L’attribution réalisée par des sociétés d’analyse blockchain ne constitue pas une confirmation officielle de l’identité des auteurs par les autorités judiciaires. Binance a indiqué coopérer avec les autorités compétentes et les partenaires du secteur afin d’identifier les responsables de l’incident.
Combien d’actifs ont pu être gelés ? Binance annonce environ 3 milliards de dollars
L’un des éléments essentiels de la réponse à l’attaque a été la coopération avec les émetteurs de stablecoins et les opérateurs d’infrastructures blockchain. Tether, Circle, Ripple, World Liberty Financial et d’autres partenaires ont pris des mesures pour bloquer les actifs liés à l’attaque. En outre, l’Arbitrum Security Council a gelé des fonds présents sur le réseau Arbitrum.
Dans son dernier communiqué du 30 octobre, Binance indique qu’environ 3 milliards de dollars ont été gelés. Une analyse indépendante de Bitquery a identifié environ 2,7 milliards de dollars d’actifs gelés. TRM Labs a également estimé à environ 2,7 milliards de dollars la valeur des stablecoins et autres actifs bloqués sur différents réseaux.
Les différences entre ces estimations s’expliquent par le moment des mesures, l’étendue des réseaux analysés et les méthodologies utilisées par les différentes sociétés. Ces chiffres ne doivent pas être considérés comme un bilan unique et définitif. De plus, le gel d’actifs ne signifie pas nécessairement qu’ils seront immédiatement restitués à Binance.
Comment Binance a-t-il réagi ? SAFU, couverture des pertes et suspension des retraits
Binance a officiellement confirmé l’incident le 30 octobre à 02:23 UTC. La plateforme a indiqué que son enquête préliminaire faisait état d’une possible compromission de l’ordinateur portable d’un ingénieur DevOps, qui aurait permis à l’attaquant d’accéder à un conteneur de services et d’envoyer des transactions non autorisées.
L’annonce la plus importante concerne toutefois la responsabilité financière. Binance s’est engagé à couvrir l’ensemble des pertes grâce à son fonds SAFU et à ses propres ressources. La plateforme a assuré que les actifs des utilisateurs étaient en sécurité.
SAFU, ou Secure Asset Fund for Users, est un fonds d’urgence de Binance destiné à protéger les utilisateurs en cas d’événements exceptionnels liés à la sécurité. Binance a annoncé qu’il utiliserait à la fois les ressources de ce fonds et ses propres moyens financiers.
Dans le cadre de sa réponse à l’incident, la plateforme a :
temporairement suspendu les dépôts et les retraits afin de procéder à des contrôles de sécurité ;
révoqué les autorisations des adresses concernées par l’incident ;
commencé à coopérer avec les autorités judiciaires et les sociétés d’analyse blockchain ;
promis de couvrir toutes les pertes grâce au fonds SAFU et à ses propres ressources ;
annoncé la publication d’un Proof of Reserves actualisé après la fin des opérations correctives.
Dans un communiqué ultérieur, Binance a précisé que les dépôts restaient disponibles, tandis que les retraits étaient toujours suspendus pendant la reconstruction et la vérification de ses systèmes de retrait. La plateforme prévoyait une reprise des retraits dans un délai d’environ 48 heures.
Le Proof of Reserves de Binance sous surveillance. Les réserves couvrent-elles toujours 100 % des soldes des clients ?
L’une des principales questions soulevées après l’incident concerne le Proof of Reserves, c’est-à-dire l’état des réserves d’une plateforme et de ses engagements envers les clients.
CoinDesk a souligné que les portefeuilles depuis lesquels les actifs ont été transférés figuraient dans le relevé des réserves de Binance pour le mois d’octobre. Cela signifie qu’une partie des actifs concernés par l’incident était présentée comme une couverture des soldes des utilisateurs.
Selon l’analyse de CoinDesk, Binance affichait avant l’incident un ratio de couverture de 100 % de ses engagements en ETH. Le transfert d’environ 204 500 ETH aurait pu faire tomber ce ratio à environ 94 %, à condition que les actifs manquants n’aient pas encore été remplacés. Des déficits similaires pourraient également avoir concerné l’USDC et certains altcoins.
Il s’agit d’une information importante, mais elle ne constitue pas une preuve d’insolvabilité de Binance. La plateforme s’est engagée à couvrir toutes les pertes, ce qui signifie que ses engagements envers les clients doivent rester entièrement couverts. La question essentielle sera toutefois de savoir si Binance reconstituera effectivement les actifs manquants et le démontrera dans son prochain relevé de réserves.
Le Proof of Reserves actualisé annoncé par Binance sera donc particulièrement important. Il permettra de vérifier si la plateforme a rétabli le niveau de couverture de ses engagements pour chaque cryptomonnaie concernée.
Comment le marché des cryptomonnaies a-t-il réagi ? Le Bitcoin est passé sous les 77 000 dollars
L’annonce de l’incident chez Binance a provoqué une forte réaction du marché. Le Bitcoin est tombé autour de 76 400 à 76 500 dollars, atteignant son plus bas niveau depuis six semaines. L’Ethereum a brièvement reculé vers 2 170-2 200 dollars, tandis que le BNB a perdu plus de 8 % sur une période de 24 heures.
Selon les données de marché citées par CoinDesk, le montant total des liquidations sur le marché des contrats à terme a atteint environ 1,57 milliard de dollars. Les investisseurs ayant des positions longues ont été particulièrement touchés. Les liquidations de positions sur le BTC ont représenté environ 522 millions de dollars, contre environ 361 millions de dollars pour l’ETH.
Toute la baisse ne peut pas être attribuée uniquement à l’incident de Binance. D’autres facteurs ont également pesé sur le marché, notamment la faiblesse des valeurs technologiques américaines. Il ne fait toutefois aucun doute que l’annonce du transfert d’actifs d’une valeur de 6,3 milliards de dollars a fortement détérioré le sentiment du marché et accentué la pression vendeuse.
Le BNB mérite également une attention particulière. Le token de l’écosystème Binance a enregistré l’une des plus fortes baisses parmi les principales cryptomonnaies. Le marché a pris en compte non seulement les risques directement liés à l’incident, mais aussi ses conséquences potentielles sur la confiance envers la plus grande plateforme d’échange de cryptomonnaies au monde.
Le plus grand piratage de l’histoire des cryptomonnaies ? Binance dépasse Bybit et Ronin
Avec un impact financier estimé à 6,3 milliards de dollars, l’incident de Binance bouleverse le classement historique des plus grands vols dans le secteur des cryptomonnaies.
L’un des cas les plus importants connus jusqu’à présent était celui de LuBian. Environ 127 426 BTC auraient été transférés depuis ce pool de minage chinois de Bitcoin en décembre 2020. L’affaire n’a été révélée par Arkham qu’en août 2025, avec une estimation de la valeur des fonds volés à environ 3,5 milliards de dollars au moment des transferts. Il ne s’agissait toutefois pas d’un piratage classique de plateforme d’échange clairement élucidé, et LuBian n’a pas confirmé publiquement l’incident.
Un autre cas majeur est celui de l’attaque contre Bybit en 2025, dont les pertes ont été estimées à environ 1,5 milliard de dollars. Parmi les autres grands vols historiques dans le secteur figurent notamment Ronin Network en 2022, Poly Network en 2021, Binance Bridge en 2022, Coincheck en 2018 et Mt. Gox en 2014.
Les montants historiques ne sont pas parfaitement comparables, car certains incidents ont été évalués au moment du vol, tandis que d’autres ne l’ont été qu’après leur découverte. Binance détient néanmoins désormais le record selon l’impact financier annoncé. Cela ne signifie pas pour autant que la totalité des 6,3 milliards de dollars a été définitivement perdue.
Les plateformes européennes agréées par MiCA constituent-elles un choix plus sûr ?
L’incident de Binance rappelle que même les plus grandes plateformes de cryptomonnaies ne sont pas à l’abri des risques opérationnels et des cyberattaques. La taille d’une entreprise, la notoriété de sa marque ou le montant de ses réserves ne garantissent pas une sécurité totale des fonds.
C’est également l’occasion de s’intéresser au cadre réglementaire européen. Les plateformes opérant sur la base d’une autorisation MiCA sont soumises à des exigences spécifiques en matière d’organisation, de supervision et de protection des clients. Ces règles ne suppriment pas le risque de piratage, mais imposent des obligations supplémentaires aux prestataires de services sur crypto-actifs.
Choisir une plateforme disposant des autorisations requises et opérant dans le cadre réglementaire européen peut donc offrir un niveau supplémentaire de protection formelle et une plus grande transparence concernant les responsabilités du prestataire. Il ne faut toutefois pas considérer une autorisation MiCA comme une garantie de sécurité ni l’assimiler à la protection des dépôts bancaires.
Que signifie l’incident de Binance pour la sécurité de l’ensemble du marché des cryptomonnaies ?
La principale leçon de cet événement concerne la différence entre la sécurité d’une blockchain et celle de l’infrastructure qui s’appuie sur elle.
Des réseaux comme Bitcoin et Ethereum peuvent fonctionner parfaitement, tandis que les actifs des utilisateurs peuvent malgré tout être transférés hors d’une plateforme si un attaquant prend le contrôle des systèmes qui autorisent les transactions. Dans ce cas, il n’a pas été nécessaire de casser la cryptographie ni de prendre le contrôle de l’ensemble d’une blockchain. Il a suffi d’accéder à l’infrastructure permettant d’effectuer les retraits.
L’incident met également en évidence les limites du Proof of Reserves. La publication d’un relevé des portefeuilles et des soldes ne supprime pas les risques opérationnels. Les réserves peuvent sembler suffisantes à une date donnée, mais leur sécurité dépend aussi des contrôles d’accès, des procédures d’autorisation et de la résistance des systèmes internes d’une plateforme.
Enfin, cet événement illustre deux réalités différentes du marché des cryptomonnaies. D’un côté, les émetteurs de stablecoins peuvent geler des fonds, ce qui contribue à limiter les conséquences des attaques. De l’autre, Bitcoin reste un actif qui ne peut pas être bloqué par la décision d’un émetteur central. La récupération des BTC nécessite en pratique la coopération d’entités capables de contrôler la circulation ultérieure de ces fonds.
Binance se retrouve au cœur du plus grand incident connu de ce type, mais l’évaluation définitive de son ampleur dépendra du montant des actifs qui pourront être récupérés, de la capacité de la plateforme à reconstituer ses réserves et des conclusions du rapport technique complet.
Si vous recherchez une plateforme d’échange de cryptomonnaies opérant dans le cadre réglementaire européen, consultez le classement des plateformes agréées par MiCA sur micaintelligence.com. Vous y trouverez une sélection de plateformes disposant des autorisations requises et proposant des services de trading opérationnels aux utilisateurs européens.