Contexte de l'attaque

En octobre 2026, des acteurs non identifiés ont détourné environ 6,3 milliards de dollars d’actifs numériques depuis Binance, la plus grande plateforme d’échange de cryptomonnaies. Le vol représente plus de quatre fois le précédent record, selon les données de TRM Labs, une société d’intelligence blockchain. Quarante pour cent du montant volé était constitué de stablecoins émis par Circle, Ripple et Tether, dont la plupart ont été gelés avant d’être transférés hors d’accès. TRM attribue l’opération à un groupe de hackers soutenu par l’État nord‑coréen, identifié sous le nom de TraderTraitor.

Mécanisme d’exploitation EIP‑7702

TraderTraitor a ciblé un portefeuille Ethereum utilisé par Binance pour le traitement des transactions client. Le groupe a exploité la fonctionnalité EIP‑7702, introduite l’an dernier, qui autorise un contrat intelligent à prendre temporairement le contrôle d’un portefeuille à condition de recevoir une autorisation cryptée du propriétaire. Le code malveillant a injecté un contrat capable d’exécuter des transferts sans passer par les contrôles habituels. La source de l’autorisation reste inconnue, mais l’enquête interne de Binance indique que le dispositif a été obtenu via la compromission d’un ordinateur portable d’un ingénieur DevOps.

Analyse de la chaîne de compromission

TRM a relevé que les attaquants ont préparé l’opération pendant au moins 36 heures, déposant d’abord une petite somme dans un portefeuille test avant d’expérimenter le code sur trois portefeuilles distincts. Le malware déployé comportait un mécanisme d’autodestruction qui a effacé les outils et les journaux d’activité, compliquant la reconstitution des faits. De plus, les hackers ont contourné les workflows d’approbation que Binance utilise pour valider les sorties de crypto, ce qui a permis le transfert complet du solde du portefeuille compromis.

Réactions de Binance et limites de la réponse

Suite à la découverte, Binance a bloqué les dépôts et les retraits, puis a réactivé les dépôts tout en maintenant le service de retrait hors ligne. La société a réservé plus de 6,34 milliards de dollars pour indemniser les utilisateurs affectés. Malgré ces mesures, la suspension prolongée du retrait montre la dépendance critique du système à un petit nombre de points d’accès. La fuite met en évidence la nécessité de segmenter davantage les environnements DevOps et de renforcer la gestion des autorisations de contrats intelligents, notamment pour les fonctionnalités introduites par des EIP récentes.