Contexte de l'attaque

Le 30 octobre 2026, Binance a confirmé le vol de 6,36 milliards de dollars depuis ses portefeuilles sur dix blockchains différentes. L’opération aurait duré environ vingt minutes, selon la firme d’intelligence blockchain TRM. La même entité, nommée TraderTraitor, est déjà liée à la perte de 1,5 milliard de dollars subie par Bybit en février 2025. TRM et Chainalysis attribuent les deux incidents à un groupe nord‑coréen, ce qui renforce la corrélation avec les précédents cambriolages de cryptomonnaies imputés à la Corée du Nord.

Mécanismes techniques identifiés

Les premiers éléments d’enquête évoquent un ordinateur portable compromis, suivi de « points de brèche » supplémentaires. Selon Kok Tin Gan, cofondateur de NyxLab, l’attaquant aurait exploité un jeton d’accès permanent à un portefeuille chaud de Binance. Un tel jeton, s’il n’est pas limité dans le temps, autorise le transfert illimité des fonds sans nécessiter la clé privée du portefeuille. Binance a toutefois déclaré ne pas avoir détecté de fuite de clé privée, ce qui indique que le vol s’est produit via une autorisation légitime mais mal protégée.

Analyse de la réponse de Binance

Binance a gelé environ trois milliards de dollars d’actifs affectés en collaboration avec des partenaires blockchain, puis a amorcé le processus de récupération pour les utilisateurs. Les dépôts restent opérationnels, tandis que les retraits ont été suspendus pendant un à deux jours. La société a affirmé couvrir intégralement les pertes, même si le fondateur CZ, désormais actionnaire, a rappelé que les fonds des utilisateurs sont « sûrs ». Aucun détail technique supplémentaire n’a été publié, limitant l’évaluation de la robustesse des mesures correctives.

Implications et limites

Cette attaque confirme la capacité des groupes étatiques à mobiliser des ressources pour des opérations de grande envergure sur les réseaux blockchain. Le recours à un jeton d’accès permanent expose une faiblesse de conception des portefeuilles chauds, où la séparation entre authentification et autorisation n’est pas suffisamment stricte. L’absence de divulgation de la nature exacte des « points de brèche » empêche une analyse complète des vecteurs d’infection, notamment si des vulnérabilités logicielles ou des erreurs de configuration ont été exploitées. Enfin, le gel partiel des fonds montre l’efficacité des outils de suivi blockchain, mais souligne que la récupération totale reste conditionnée par la coopération des acteurs du réseau.