Des pirates nord-coréens auraient volé 6,3 milliards de dollars en cryptomonnaies à Binance

Le 29 octobre, à 21 h 05 (heure de Paris), cinq portefeuilles de Binance sur le registre XRP se vident en quatre minutes. Un quart d'heure plus tard, 18 270 bitcoins quittent un autre portefeuille de la plateforme. Puis un portefeuille Ethereum est entièrement vidé. Selon la société d'analyse TRM Labs, qui a reconstitué la chronologie, l'opération a touché dix réseaux de cryptomonnaies et a duré près de quatre heures.

Le montant a de quoi donner le vertige : environ 6,36 milliards de dollars selon TRM Labs, 6,4 milliards selon Chainalysis. Ce serait le plus gros vol de cryptomonnaies jamais recensé, loin devant celui de Bybit en février 2025 (environ 1,5 milliard de dollars). Binance, première plateforme d'échange au monde, a confirmé l'attaque dans la nuit, puis suspendu les dépôts et les retraits.

Un ordinateur portable, puis d'autres brèches

Le 30 octobre, Binance a livré une première piste : son enquête initiale suggère que l'incident pourrait impliquer l'ordinateur portable compromis d'un ingénieur DevOps, chargé de l'infrastructure. Depuis cet appareil, l'attaquant aurait atteint un conteneur de service et soumis des retraits non autorisés. La plateforme dit n'avoir trouvé aucune trace d'une fuite des clés privées de ses portefeuilles.

Quelques heures plus tard, le récit s'est compliqué. Binance a indiqué avoir découvert d'autres points d'intrusion au-delà de ce portable. Son codirigeant Richard Teng a précisé, selon Help Net Security, que l'attaquant ne s'était pas contenté d'utiliser les droits d'un seul ingénieur. Comment le portable a été piraté, et quels contrôles ont failli, reste inconnu. Binance promet une analyse détaillée une fois l'enquête terminée et chaque fait vérifié.

TRM Labs avance de son côté une hypothèse : la compromission de l'infrastructure de signature des portefeuilles « chauds », c'est-à-dire connectés en permanence. Des portefeuilles sur des réseaux différents ont en effet signé des transferts valides en une trentaine de minutes.

La piste nord-coréenne, avancée par deux sociétés privées

Qui est derrière ? TRM Labs attribue l'attaque « avec un haut degré de confiance » à TraderTraitor, le groupe nord-coréen que le FBI avait désigné pour le vol chez Bybit. Chainalysis juge aussi probable la piste TraderTraitor. Indices cités par TRM : un portefeuille de l'attaquant alimenté via le service d'anonymisation Tornado Cash, une préparation lancée au moins 36 heures avant le vol, des signatures obtenues à l'avance puis exécutées en rafale. Binance, elle, n'a désigné aucun groupe. Ni le FBI ni le ministère américain de la Justice n'ont répondu dans l'immédiat aux sollicitations de l'AFP. La Corée du Nord n'en est pas à son coup d'essai : ses pirates soignent aussi leurs outils.

La riposte s'est organisée vite. Tether a gelé environ 1,77 milliard de dollars en USDT et Circle environ 825 millions en USDC. Ripple, World Liberty Financial et le conseil de sécurité d'Arbitrum ont suivi. Binance parle de près de 3 milliards de dollars gelés. Selon TRM, l'attaquant détenait encore, le 30 octobre à 0 h 30 UTC, plus de 420 000 ethers et 18 270 bitcoins, soit environ 2,4 milliards de dollars, qu'il a commencé à blanchir.

Clients et entreprises : que retenir ?

Binance affirme que les fonds des utilisateurs sont en sécurité et qu'elle couvrira toutes les pertes avec son fonds de garantie (SAFU) et ses fonds propres. Les dépôts fonctionnent, les retraits restent suspendus : la plateforme espère les rétablir sous 48 heures.

• Clients de Binance : méfiez-vous des messages qui exploitent l'affaire. Binance appelle à ignorer les liens et les demandes d'informations qui ne viennent pas de ses canaux officiels.
• Entreprises : le poste de travail d'un administrateur reste une porte d'entrée de choix. Séparez les machines d'administration de la bureautique et limitez ce qu'un seul compte peut déclencher.

Reste à savoir ce que dira l'analyse promise par Binance. Pour l'instant, une question domine : comment l'attaquant a-t-il pu aller aussi loin ?

Mise à jour du 13 novembre 2026

Plusieurs réponses sont arrivées depuis le vol record de 6,3 milliards de dollars subi par Binance le 29 octobre. Le 31 octobre, le FBI a officiellement attribué l'attaque à la Corée du Nord, et plus précisément au groupe qu'il appelle TraderTraitor, selon Decrypt. La police fédérale américaine évoque un vol de « plus de 6 milliards de dollars » et demande aux acteurs des cryptomonnaies de bloquer des centaines d'adresses liées aux pirates. La Corée du Nord a démenti toute implication par la voix de Kim Yo Jong, rapporte Cointelegraph. Binance a rouvert les retraits par étapes à partir du 1er novembre. En neuf heures et demie, 4,65 milliards de dollars sont sortis de la plateforme, pour 1,01 milliard de dépôts, selon ses chiffres cités par Decrypt.

Le 3 novembre, Binance a publié son rapport sur l'incident. Selon Cointelegraph, il décrit une campagne de plusieurs mois. En juin, un ingénieur télécharge un logiciel piégé en installant un outil de programmation par IA. Binance détecte le programme malveillant et remplace l'appareil, mais les pirates ont déjà recueilli des informations sur l'équipe chargée des portefeuilles. En septembre, de faux recruteurs envoient à un autre ingénieur un fichier piégé déguisé en exercice de programmation, qui compromet son ordinateur de travail. Le 20 octobre, depuis cette machine et à l'aide d'un outil d'IA interne, les pirates atteignent les postes de deux autres ingénieurs et récupèrent des identifiants de déploiement. Le 29 octobre, ils installent un logiciel malveillant dans l'infrastructure des portefeuilles et atteignent le service interne qui signe les transactions. « Ce n'était pas une erreur ou une brèche unique, mais une campagne de plusieurs mois », résume le codirigeant Richard Teng.

Le rapport explique aussi pourquoi des transferts ont continué après la suspension des retraits. Les pirates ont exploité EIP-7702, une fonction d'Ethereum qui permet à un portefeuille de déléguer ses droits de transaction à un contrat automatisé (smart contract). Selon les derniers chiffres de Binance cités par Cointelegraph, 2,85 milliards de dollars ont été gelés ou interceptés. La plateforme maintient qu'elle absorbera seule les pertes.