Binance : des pirates dérobent 2,5 milliards de dollars en une seule transaction pour 15 dollars de frais

Les pirates qui ont dérobé 6,3 milliards de dollars en cryptomonnaies à Binance la semaine dernière ont utilisé une méthode étonnamment simple pour transférer une grande partie de leur butin. Avec seulement 15 dollars de frais de transaction, ils ont déplacé 2,5 milliards de dollars en une seule opération. Ils ont détourné pour cela une fonctionnalité d’Ethereum (ETH) conçue pour simplifier les transactions en cryptomonnaies.

Comment les pirates ont détourné des milliards pour 15 dollars de frais

L’attaque a eu lieu le 29 octobre et visait notamment Binance 14, un portefeuille numérique utilisé par la plateforme d’échange pour traiter les retraits de ses clients. Ce portefeuille contenait d’importantes quantités d’Ether, de stablecoins et d’autres cryptomonnaies.

En temps normal, le transfert de plusieurs cryptomonnaies nécessite plusieurs transactions. Ce processus prend du temps et donne aux systèmes de sécurité davantage d’occasions de détecter des activités suspectes.

Les pirates ont toutefois trouvé un moyen plus rapide. Ils ont exploité EIP-7702, une fonctionnalité intégrée à Ethereum en mai 2025. Celle-ci permet à un portefeuille d’autoriser un logiciel à effectuer des transactions au nom de son propriétaire.

Cette fonctionnalité vise à simplifier l’utilisation des cryptomonnaies, notamment en regroupant plusieurs opérations.

Grâce aux systèmes compromis de Binance, les attaquants ont réussi à obtenir cette autorisation. Pour environ 15 dollars de frais de réseau, ils ont ainsi donné à leur propre logiciel le droit de transférer les cryptomonnaies du portefeuille.

Cette première opération n’a entraîné aucun transfert de fonds. Mais environ trois minutes et demie plus tard, les pirates ont utilisé cette autorisation pour détourner quelque 2,5 milliards de dollars en une seule transaction.

Selon la société de cybersécurité Blockaid, cette transaction portait sur 167 464 ETH et plus de soixante autres cryptomonnaies. L’essentiel du butin était constitué de 1,6 milliard de dollars en USDT, le stablecoin de Tether.

Binance n’a pas pu stopper immédiatement le vol

Le fait le plus marquant de cette attaque est que les pirates ont pu continuer à transférer des fonds après la découverte de l’intrusion. Binance avait pourtant suspendu les retraits et désactivé certains systèmes. Ces mesures n’ont pas suffi.

L’autorisation obtenue par les pirates était en effet enregistrée directement sur la blockchain Ethereum. Leur logiciel conservait donc le droit d’effectuer des transactions, indépendamment des systèmes habituels de retrait de Binance.

Pendant ce temps, de nouveaux dépôts continuaient d’arriver sur le portefeuille compromis.

Selon la société d’analyse Elliptic, les attaquants ont finalement dérobé environ 3,6 milliards de dollars grâce à cette méthode, au fil de plusieurs transactions.

Binance a depuis révoqué l’autorisation frauduleuse et reconstruit l’infrastructure des portefeuilles concernés. La plateforme a également renforcé les contrôles sur les transactions et les droits d’accès.

La plateforme d’échange affirme prendre les pertes à sa charge afin que ses clients n’aient pas à les supporter.

Le FBI attribue l’attaque à la Corée du Nord

Les pirates ont d’abord accédé aux systèmes de Binance grâce à une vaste campagne de tromperie.

Selon la plateforme, les attaquants ont notamment utilisé de fausses offres d’emploi et de faux entretiens d’embauche pour amener un salarié à télécharger un logiciel malveillant. Ils ont également eu recours à des techniques faisant appel à l’intelligence artificielle.

À partir des systèmes compromis, ils ont ensuite pu obtenir l’autorisation nécessaire pour transférer les cryptomonnaies.

Le FBI a attribué l’attaque à la Corée du Nord, qui nie toute implication. Avec un butin total d’environ 6,3 milliards de dollars, il s’agit du plus important vol de cryptomonnaies connu à ce jour.

Binance a annoncé le 3 novembre qu’environ 2,85 milliards de dollars de fonds volés avaient été gelés ou interceptés. À cette date, la plateforme avait également reconstitué 98 % des avoirs en cryptomonnaies touchés par le vol.

Cette attaque montre que les fonctionnalités destinées à simplifier les transactions en cryptomonnaies peuvent aussi créer de nouveaux risques lorsque des pirates parviennent à accéder aux systèmes d’une entreprise du secteur.