Il est déjà désigné comme le plus gros hack crypto de l’histoire.
Le 29 octobre 2026, peu après 21 heures en France, un hacker est parvenu à vider des portefeuilles de Binance sur dix blockchains différentes. L’essentiel de l’immense butin, estimé à environ 6,3 milliards de dollars, aurait été dérobé en une vingtaine de minutes.
Dans la nuit, la plus grande plateforme d’échange de cryptomonnaies au monde a expliqué que l’attaque était partie de l’ordinateur portable compromis d’un de ses ingénieurs DevOps. Cet accès aurait permis au pirate d’atteindre un conteneur de service, un environnement isolé où tourne l’un des programmes internes de la plateforme, et d’y soumettre des retraits que les systèmes de Binance ont traités comme légitimes.
Alors que près de 3 milliards de dollars ont depuis été gelés et que Binance s’est engagée à couvrir l’intégralité des pertes, l’entreprise ne s’est pas avancée sur l’identité de l’attaquant. Les analyses indépendantes, elles, livrent déjà de premiers indices.
// Source : Montage Numerama
Les analystes de la blockchain remontent jusqu’à Pyongyang
La société TRM Labs a été la première à se prononcer. Dans une analyse publiée le soir même, elle attribue l’attaque « avec un haut degré de confiance » à TraderTraitor, un groupe lié à l’État nord-coréen, en croisant des éléments tirés de la blockchain avec d’autres sources de renseignement.
Selon l’étude, l’opération se préparait depuis au moins 36 heures. Le portefeuille de l’attaquant avait en effet été alimenté la veille par de petits retraits depuis Tornado Cash, un service qui brouille l’origine des cryptomonnaies.
La société américaine Chainalysis est arrivée à la même conclusion par un autre chemin. Ses enquêteurs ont repéré une partie des fonds volés à Binance mêlée à ceux dérobés fin septembre à la plateforme Bitget, un vol de plus de 350 millions de dollars que la société imputait déjà à la Corée du Nord.
L’enquêteur indépendant ZachXBT a lui aussi repéré les fonds des deux vols sur une même adresse et y voit la main d’un même acteur, qu’il rattache à Lazarus, la nébuleuse de hackers nord-coréens dont TraderTraitor est une branche.
Les hackers nord-coréens ciblent les salariés plutôt que les coffres
Si ces attributions n’ont encore été confirmées par aucune autorité étatique, le mode opératoire décrit par Binance rappelle celui que le FBI prête à TraderTraitor depuis plusieurs années.
Ce nom apparaît dès avril 2022 dans une alerte du FBI qui décrivait des campagnes de messages visant les employés d’entreprises crypto, souvent sous la forme de fausses offres d’emploi bien payées, pour les pousser à installer des applications piégées.
En 2024, le groupe avait déjà été formellement accusé par les autorités japonaises d’avoir appliqué cette méthode pour voler plus de 300 millions de dollars à la plateforme DMM Bitcoin. Un faux recruteur avait alors contacté sur LinkedIn un salarié d’un prestataire, avant que les pirates ne se fassent passer pour lui en réutilisant ses cookies de session.
Deux ans plus tard, le schéma semble similaire. Le pirate qui a frappé Binance est lui aussi passé par le poste d’un salarié, et n’a pas eu besoin de voler les clés privées de la plateforme, puisqu’il a fait travailler pour lui le système qui les utilise. Le scénario rappelle également celui de Bitget, où les attaquants avaient trompé le système interne d’approbation des retraits plutôt que de dérober des clés.
Les portefeuilles hors ligne n’échappent pas non plus à ce mode opératoire
En attendant que l’enquête fasse la lumière sur le reste de cette affaire, le hack de Binance, déjà historique, porte un nouveau coup à la confiance accordée aux plateformes d’échange centralisées.
On pourrait croire que la plateforme a payé le prix de sa connexion à Internet, puisque les fonds dérobés se trouvaient dans des portefeuilles « chauds », reliés en permanence au réseau pour traiter les retraits courants, et qu’il suffirait de les garder dans des portefeuilles « froids », hors ligne, pour les mettre à l’abri d’une telle attaque. Le précédent record montre pourtant le contraire.
En février 2025, la plateforme Bybit s’était alors fait voler environ 1,5 milliard de dollars directement depuis l’un de ses portefeuilles hors ligne. Les pirates avaient compromis le Mac d’un développeur de Safe, le prestataire dont Bybit utilisait l’interface de signature, au moyen d’un faux projet de simulateur boursier. Une attaque qui avait finalement été attribuée par le FBI à… TraderTraitor.
Chaud ou froid, le point d’entrée reste donc le même, à savoir le poste de travail d’une personne qui a accès au processus de signature. Chez DMM Bitcoin, chez Bybit et désormais chez Binance, il a suffi de compromettre un seul ordinateur pour que les systèmes de la plateforme valident eux-mêmes le vol.
+ rapide, + pratique, + exclusif
Zéro publicité, fonctions avancées de lecture, articles résumés par l'I.A, contenus exclusifs et plus encore.
Découvrez les nombreux avantages de Numerama+.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Toute l'actu tech en un clin d'œil
Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !
Anticipez le futur en vous inscrivant gratuitement à ToujoursPlus, la newsletter tech de référence.