Binance : comment 6,3 milliards de dollars ont disparu dans le plus grand vol de cryptomonnaies de l’histoire

Quelques dizaines de minutes ont suffi pour commettre le plus grand vol de cryptomonnaies de l’histoire. Le 29 octobre, environ 6,3 milliards de dollars ont disparu des portefeuilles de Binance, la première plateforme mondiale d’échange de cryptomonnaies. Selon TRM Labs, spécialiste de l’analyse blockchain, l’essentiel des fonds a été dérobé en une vingtaine de minutes.

Cette attaque éclair était pourtant le fruit d’une longue préparation. Les pirates ont ciblé les salariés et les systèmes internes de Binance, jusqu’à accéder à l’infrastructure permettant de transférer des sommes considérables.

Des mois de préparation pour une attaque de vingt minutes

L’attaque n’a pas commencé par une faille dans Bitcoin ou Ethereum. À l’issue de son enquête interne, Binance a annoncé qu’un salarié avait été victime, plusieurs semaines avant le piratage, d’une opération sophistiquée d’ingénierie sociale reposant notamment sur un faux recrutement. L’entreprise a ensuite découvert que les pirates disposaient de plusieurs points d’accès et que l’opération était plus complexe qu’elle ne le pensait initialement.

En septembre, un développeur avait été contacté sur une plateforme de recrutement légitime par une personne se présentant comme un directeur de projet. Un entretien vidéo avait ensuite été organisé avec un prétendu responsable des ressources humaines. Des profils sur les réseaux sociaux, agrémentés de photos personnelles, avaient même été utilisés pour rendre le scénario crédible.

Lors d’un entretien suivant, le salarié a reçu un exercice de programmation. Le logiciel qu’il devait télécharger pour le réaliser contenait un programme malveillant qui, selon Binance, a réussi à contourner les dispositifs de sécurité en place.

Le 20 octobre, les pirates se sont servis de cet ordinateur déjà infecté pour atteindre deux autres salariés chargés des portefeuilles. Ils se rapprochaient ainsi des systèmes permettant à Binance d’autoriser les transactions.

Le déroulement du vol

Le vol a eu lieu le 29 octobre. À l’aide d’identifiants dérobés, les attaquants ont accédé à une partie de l’infrastructure interne et y ont exécuté un logiciel malveillant. Vers 20 h 05 UTC, des sommes considérables ont commencé à quitter les portefeuilles de Binance.

En une vingtaine de minutes, plusieurs milliards de dollars ont été transférés sur différentes blockchains. Sur Ethereum seulement, le montant atteignait environ 3,79 milliards de dollars, selon TRM Labs, dont 200 630 ETH et d’importantes quantités d’USDT, d’USDC et de RLUSD.

Les pirates ont également dérobé 18 270 bitcoins (BTC), qui valaient alors environ 1,47 milliard de dollars. À cela s’ajoutent notamment des centaines de millions de dollars transférés via Tron, XRP Ledger et Solana.

Sur Ethereum, les pirates ont exploité une fonctionnalité permettant d’autoriser à l’avance l’exécution de certains programmes pour le compte d’un portefeuille. Concrètement, ils ont manipulé un portefeuille de Binance pour que leur propre code puisse effectuer des transactions.

Lorsque Binance a compris ce qui se passait, la plateforme a suspendu les retraits et ses équipes ont commencé à révoquer les droits d’accès. Mais lorsque l’attaque a été entièrement maîtrisée, vers minuit, l’essentiel des fonds avait déjà disparu.

Binance estime le préjudice total à environ 6,3 milliards de dollars. TRM Labs l’évalue à quelque 6,36 milliards de dollars et Elliptic à environ 6,43 milliards.

Quelle que soit l’estimation retenue, le record ne fait aucun doute. Le précédent plus grand piratage de cryptomonnaies était celui de Bybit, en février 2025, au cours duquel environ 1,46 milliard de dollars avaient été dérobés. Le montant volé à Binance est donc plus de quatre fois supérieur.

Elliptic va même plus loin et considère qu’il s’agit probablement du plus grand vol jamais recensé, toutes catégories confondues.

Des milliards de dollars rapidement bloqués

Après l’attaque, une course contre la montre s’est engagée pour bloquer le maximum de cryptomonnaies volées. Les résultats ont surtout concerné les stablecoins, dont les émetteurs, comme Tether et Circle, peuvent geler les adresses.

Selon Elliptic, environ 2,85 milliards de dollars ont depuis été gelés ou interceptés, soit près de 44 % du montant dérobé. Il s’agit presque exclusivement de stablecoins, notamment d’USDT et d’USDC.

Les autres cryptomonnaies sont plus difficiles à bloquer. Les attaquants ont donc converti plusieurs des jetons volés en ethers (ETH), puis utilisé différentes blockchains et des protocoles de finance décentralisée pour disperser davantage les fonds. Quelques jours plus tard, TRM Labs a également observé de nouvelles méthodes faisant notamment appel à des passerelles entre blockchains et à des jetons créés par les pirates eux-mêmes pour compliquer le traçage des transactions.

Le 31 octobre, le FBI a annoncé attribuer l’attaque à la Corée du Nord. La police fédérale américaine rattache le piratage à TraderTraitor, un nom qui désigne des opérations cybernétiques nord-coréennes ciblant spécifiquement les entreprises du secteur des cryptomonnaies. Pyongyang rejette ces accusations.

Binance reconstitue la quasi-totalité des avoirs dérobés

Binance a immédiatement promis que ses clients n’auraient pas à supporter les pertes. La plateforme a mobilisé plus de 6,34 milliards de dollars de fonds propres, en puisant notamment dans son fonds d’urgence SAFU et dans d’autres réserves de l’entreprise.

Le 4 novembre, Binance a annoncé avoir reconstitué environ 98 % des avoirs touchés. Les 2 % restants correspondent principalement à des jetons moins liquides, plus difficiles à racheter en grandes quantités.

Un nouveau contrôle des réserves a également été réalisé. Alors que le précédent portait sur dix jetons, celui-ci a couvert 44 cryptomonnaies. Binance entend ainsi démontrer que les avoirs de ses clients sont intégralement couverts, au minimum à hauteur d’un pour un.

Le piratage a néanmoins provoqué d’importants retraits. Selon Reuters, les sorties nettes ont atteint environ 4,72 milliards de dollars, soit près de 3 % de l’ensemble des actifs détenus sur la plateforme. Quelques jours plus tard, le directeur général de Binance, Richard Teng, a affirmé que les flux financiers étaient déjà largement revenus à la normale.

Les services sont progressivement rétablis et les retraits rouvrent réseau par réseau. En parallèle, Binance renforce ses mesures de sécurité et approfondit son enquête sur les failles précises exploitées par les attaquants.

Ce piratage montre surtout que le point faible d’une plateforme de cryptomonnaies n’est pas toujours la blockchain elle-même. Les pirates n’ont pas eu à compromettre Bitcoin ou Ethereum. En ciblant les salariés et l’infrastructure de gestion des portefeuilles, ils ont pu transférer plus de 6 milliards de dollars en une vingtaine de minutes.

C’est ce qui distingue cette attaque : des mois de préparation ont abouti à l’un des vols financiers les plus rapides et les plus importants jamais recensés.