Imaginez un instant : en moins de soixante minutes, plus de six milliards de dollars s’évaporent des réserves d’une des plus grandes plateformes d’échange de cryptomonnaies au monde. Pas un simple incident technique. Pas une erreur humaine banale. Une attaque d’une ampleur jamais vue, qui a secoué les marchés et laissé la communauté crypto sous le choc. Dans la nuit du 29 octobre 2026, Binance a été frappée de plein fouet. Et les enquêteurs blockchain n’ont pas mis longtemps à formuler une hypothèse glaçante : le groupe Lazarus, déjà tristement célèbre pour ses raids au nom de la Corée du Nord, serait derrière ce hold-up numérique historique.
Un hold-up numérique d’une ampleur inédite
Les chiffres donnent le vertige. Selon les premières analyses de TRM Labs, environ 6,36 milliards de dollars ont quitté les portefeuilles contrôlés par Binance en l’espace de vingt minutes seulement. L’attaque a commencé autour de 20 h 05 UTC et s’est déployée sur pas moins de dix blockchains différentes. Ethereum a absorbé la plus grosse part, avec près de 3,79 milliards de dollars. Bitcoin et Tron ont suivi avec respectivement 1,47 milliard et 628 millions. Même le ledger XRP n’a pas été épargné : 233,46 millions de XRP, soit presque 296 millions de dollars, ont été siphonnés avant même que la vague principale ne touche Ethereum.
Ido Ben-Natan, co-fondateur et CEO de la société de sécurité Blockaid, n’y va pas par quatre chemins. Pour lui, il s’agit tout simplement du plus grand piratage crypto de l’histoire. Son équipe a observé au moins 3,5 milliards de dollars sortir des hot wallets de Binance sur Ethereum, Arbitrum, Optimism et Avalanche en moins d’une heure. C’est plus du double du vol subi par Bybit en février 2025. Et ce n’est qu’une partie de l’histoire. D’autres transferts impliquant Bitcoin et Tron sont encore en cours d’analyse.
Pendant que les experts s’affairaient, les marchés ont immédiatement réagi. Le Bitcoin a brièvement glissé sous la barre des 77 000 dollars. Les liquidations sur le marché des dérivés ont dépassé 1,5 milliard de dollars en vingt-quatre heures. Une onde de choc qui rappelle à quel point la confiance reste fragile dans cet univers où les milliards peuvent disparaître en un clin d’œil.
Lazarus Group et TraderTraitor dans le viseur
Très rapidement, les enquêteurs ont commencé à parler d’un nom qui fait frémir depuis des années : le groupe Lazarus. Plus précisément, son unité TraderTraitor. TRM Labs affirme attribuer l’attaque à cette équipe nord-coréenne avec un niveau de confiance élevé. ZachXBT, figure respectée de l’investigation on-chain, a également pointé du doigt Lazarus, même si Binance n’a pour l’instant officiellement confirmé aucun auteur.
Ce n’est pas la première fois que TraderTraitor fait parler de lui. En février 2025, le FBI avait déjà identifié cette même unité comme responsable du vol d’environ 1,5 milliard de dollars chez Bybit. Les autorités américaines accusent régulièrement les opérations de piratage nord-coréennes de financer les programmes d’armement du régime. Voler des cryptomonnaies est devenu pour eux une source de revenus stratégique, loin des sanctions internationales.
Les préparatifs de l’attaque actuelle n’ont pas non plus été improvisés. Selon TRM, l’assaillant a commencé à s’organiser au moins trente-six heures avant le coup. Un portefeuille sous son contrôle a reçu trois petits retraits via Tornado Cash et a testé du code malveillant. Tout était minutieusement préparé. Une fois l’attaque lancée, les fonds ont fusé dans toutes les directions, rendant le suivi extrêmement complexe.
Comment les attaquants ont percé les défenses de Binance
L’aspect technique de l’opération révèle une sophistication rare. Blockaid a mis en lumière une transaction Ethereum particulièrement inhabituelle. Elle contenait cinquante autorisations EIP-7702 ciblant le portefeuille « Binance 14 », l’un des hot wallets les plus actifs de la plateforme.
Pour ceux qui ne sont pas familiers avec ce standard, EIP-7702 permet à un portefeuille Ethereum d’autoriser un smart contract à agir en son nom. L’attaquant a préparé ces autorisations en utilisant cinquante compteurs de transaction consécutifs. L’objectif était simple : maximiser les chances qu’au moins une d’entre elles corresponde au compteur actuel du portefeuille. Une seule a fonctionné. Mais cela a suffi. Un contrat malveillant a alors pu vider le portefeuille de ses actifs.
« L’attaquant a littéralement reprogrammé un hot wallet majeur de Binance pour qu’un seul opérateur puisse le vider, y compris les nouveaux fonds qui y arrivaient », explique Ido Ben-Natan.
Environ 2,5 milliards de dollars ont ainsi été extraits de Binance 14, dont 167 464 ETH et plus de 1,6 milliard d’USDT. Les transferts suivants ont même ciblé les fonds nouvellement déposés. Sur d’autres réseaux, les enquêteurs ont observé des mouvements via des transactions signées classiques. TRM soupçonne que les attaquants ont pu obtenir un accès à l’infrastructure de signature de transactions de la plateforme.
La piste d’un ordinateur portable compromis
Binance a publié une première mise à jour de sécurité qui apporte un élément crucial. L’enquête interne pointe vers un ordinateur portable d’un ingénieur DevOps qui aurait été compromis. Cet accès aurait permis à l’assaillant d’entrer dans un conteneur de service interne et de soumettre des transactions de retrait non autorisées.
Point rassurant selon la plateforme : aucune preuve de fuite de clés privées n’a été trouvée. Binance promet de publier un rapport détaillé une fois que la cause exacte sera établie. En attendant, les retraits restent suspendus pendant que les systèmes de retrait et les contrôles d’adresses sont renforcés. Les dépôts, eux, continuent de fonctionner. La plateforme espère rétablir les retraits dans un délai de quarante-huit heures.
Face à l’ampleur du préjudice, Binance a pris un engagement clair : les pertes des clients seront couvertes grâce au fonds SAFU et aux ressources de l’entreprise. Une promesse importante pour tenter de limiter la panique et préserver la confiance des utilisateurs.
Des milliards déjà gelés, mais le danger n’est pas écarté
La réaction des émetteurs de stablecoins a été particulièrement rapide. Paolo Ardoino, CEO de Tether, a confirmé le gel de plus de 1,567 milliard d’USDT. De son côté, Jeremy Allaire, à la tête de Circle, a annoncé le gel de plus de 800 millions d’USDC. Le conseil de sécurité d’Arbitrum a également sécurisé environ 74,6 millions d’ARB et 8 425 ETH liés à l’attaquant. Au total, près de trois milliards de dollars ont déjà été gelés.
Pourtant, tout n’est pas sous contrôle. Selon la plateforme de suivi Onchain Lens, l’attaquant a récemment déplacé 17 260 ETH, soit environ 38,82 millions de dollars, vers un nouveau portefeuille. L’objectif semble clair : préparer le blanchiment via Tornado Cash ou d’autres mixeurs. L’assaillant détiendrait encore près de 480 720 ETH, valorisés à environ 1,08 milliard de dollars, des actifs qui ne peuvent pas être gelés par un émetteur de token. Le portefeuille concerné a été identifié comme 0x03b0eE5d82990cFF1bDa48651AC3e436d1a020ea.
Cette course contre la montre entre les enquêteurs et les blanchisseurs est devenue un classique des grands piratages. Chaque heure qui passe rend le suivi plus difficile et augmente les chances que les fonds disparaissent dans les méandres de la finance décentralisée.
Les conséquences pour l’écosystème crypto
Un vol de cette magnitude ne se limite pas à une plateforme. Il remet en question des certitudes. Pendant des années, les exchanges centralisés ont multiplié les discours sur la sécurité, les audits et les fonds de réserve. Pourtant, un simple ordinateur portable compromis et une exploitation intelligente d’un standard Ethereum ont suffi à faire sauter la banque.
La communauté se pose désormais des questions légitimes. Comment un hot wallet aussi critique a-t-il pu être reprogrammé aussi facilement ? Pourquoi les contrôles de signature n’ont-ils pas détecté l’anomalie plus tôt ? Et surtout, que révèle cette attaque sur la maturité réelle des systèmes de sécurité dans un secteur qui gère des centaines de milliards d’actifs ?
Les régulateurs, déjà très attentifs depuis plusieurs années, pourraient saisir l’occasion pour renforcer la pression. Aux États-Unis comme en Europe, les discussions autour de la supervision des exchanges et de la protection des clients risquent de s’accélérer. Les défenseurs de la décentralisation, de leur côté, y verront une nouvelle preuve que les plateformes centralisées restent des points de défaillance uniques trop attractifs pour les acteurs malveillants.
Une méthode d’attaque qui pourrait faire école
L’utilisation d’EIP-7702 de manière aussi agressive marque un tournant. Ce standard, conçu pour améliorer la flexibilité des portefeuilles, a été retourné contre son objectif initial. En préparant une série d’autorisations consécutives, les attaquants ont joué avec les probabilités et ont gagné. Cette technique pourrait inspirer d’autres groupes. Les équipes de sécurité des exchanges et des protocoles DeFi vont devoir revoir leurs modèles de risque liés aux autorisations de smart contracts.
Le fait que l’attaque ait touché simultanément plusieurs chaînes montre également une coordination impressionnante. Ethereum, Bitcoin, Tron, Solana, XRP Ledger… Peu d’infrastructures de signature sont capables de gérer des flux aussi massifs et multi-chaînes en si peu de temps. Si l’accès à cette infrastructure a effectivement été compromis, cela signifie que le point d’entrée était extrêmement critique.
Binance face à l’épreuve de la confiance
Pour Binance, l’enjeu dépasse largement les chiffres. La plateforme a survécu à de nombreuses tempêtes depuis sa création. Mais un vol de 6,3 milliards de dollars reste un choc sans précédent. L’engagement de couvrir les pertes des clients est un signal fort. Il reste à voir si les utilisateurs jugeront cette promesse suffisante et si les retraits pourront effectivement reprendre dans les délais annoncés.
La transparence sera déterminante. Binance a annoncé qu’un rapport complet serait publié une fois l’origine exacte de l’attaque établie. La communauté attendra des détails techniques précis, des mesures correctives claires et, si possible, des avancées dans la récupération des fonds encore en circulation.
En attendant, les retraits restent gelés. Une situation inconfortable pour des millions d’utilisateurs qui se retrouvent dans l’incapacité de sortir leurs actifs pendant que les marchés continuent de bouger. La patience sera mise à rude épreuve.
Le rôle croissant des enquêteurs on-chain
Cet incident met une nouvelle fois en lumière le rôle central des analystes blockchain. TRM Labs, Blockaid, Onchain Lens, ZachXBT… Ces acteurs ont fourni en quelques heures des informations que les plateformes elles-mêmes peinaient encore à confirmer. Leur capacité à suivre les flux, à identifier les patterns et à formuler des attributions avec un niveau de confiance élevé est devenue indispensable.
Dans un univers où les transactions sont publiques mais les identités restent floues, ces experts constituent souvent le premier rempart après l’attaque. Leur travail permet non seulement de comprendre ce qui s’est passé, mais aussi d’aider les autorités et les émetteurs de stablecoins à geler une partie des fonds avant qu’ils ne soient définitivement blanchis.
Un avertissement pour toute l’industrie
Le piratage de Binance du 29 octobre 2026 restera longtemps dans les mémoires. Non seulement pour son montant record, mais aussi pour ce qu’il révèle sur les faiblesses persistantes d’un écosystème encore jeune. Malgré les progrès techniques, malgré les fonds de réserve et les discours rassurants, un acteur déterminé et bien préparé peut encore infliger des dégâts colossaux.
La suite de l’histoire se jouera sur plusieurs fronts. La capacité de Binance à rétablir les retraits rapidement et à publier un rapport transparent. L’efficacité des efforts de gel et de récupération des fonds. Et, plus largement, la réaction de l’ensemble de l’industrie face à une nouvelle démonstration de force des groupes de pirates les plus organisés.
Pour les utilisateurs, le message est clair. La prudence reste de mise. Diversifier les plateformes, utiliser des solutions de stockage à froid pour les montants importants et rester attentif aux annonces de sécurité n’ont jamais été aussi essentiels. Dans un monde où 6,3 milliards de dollars peuvent disparaître en vingt minutes, la confiance ne se donne plus aussi facilement qu’avant.
Les prochaines heures et les prochains jours seront décisifs. Les enquêteurs continuent de tracer les flux. Les autorités sont sans doute déjà en contact avec la plateforme. Et quelque part, dans l’ombre, les auteurs de l’attaque tentent de faire disparaître ce qui reste de leur butin. Une course contre la montre dont l’issue déterminera en partie l’ampleur réelle de ce qui restera comme le plus grand vol crypto de l’histoire.
En définitive, cet événement force toute la communauté à se poser une question fondamentale : jusqu’où l’industrie est-elle prête à aller pour sécuriser réellement les actifs de ses utilisateurs ? Les réponses qui émergeront dans les semaines à venir façonneront l’avenir des exchanges centralisés et, plus largement, la perception du risque dans l’univers des actifs numériques. Le hold-up de Binance n’est pas seulement un fait divers. C’est un signal d’alarme retentissant.
Pendant que les marchés digèrent le choc et que les équipes techniques travaillent d’arrache-pied, une chose est certaine : la confiance, une fois ébranlée à ce niveau, mettra du temps à se reconstruire. Et dans la crypto, le temps est souvent le plus précieux des actifs.
