Binance réserve plus de 6,34 milliards de dollars de fonds propres pour couvrir les pertes liées au piratage

Le 30 octobre 2026, Binance a déclaré dans une publication sur son compte X officiel avoir déjà réservé plus de 6,34 milliards de dollars US de fonds propres afin de couvrir les pertes liées à l’incident de sécurité du 29 octobre 2026. Sur cette somme, 5 milliards de dollars sont déjà détenus dans les actifs en jetons mêmes qui ont été touchés.

La plateforme d’échange a indiqué qu’elle achevait l’achat du montant restant en acquérant des actifs en jetons sur les marchés et de gré à gré, afin d’obtenir les actifs en jetons restants dans le format voulu et de combler tout éventuel déficit d’actifs. Elle a précisé que cette étape pouvait prendre plus de temps, car certains jetons peuvent être peu liquides et que le règlement des transactions de gré à gré prend également du temps. Les chiffres ne comprennent pas les actifs gelés ou protégés, qui font toujours l’objet de procédures de récupération et de vérification. À ce jour, 3 milliards de dollars ont été gelés, et Binance a remercié ses partenaires du secteur.

L’entreprise a déclaré avoir commencé à récupérer les actifs touchés pour les utilisateurs et continuer à collaborer avec les forces de l’ordre, les émetteurs, les sociétés spécialisées dans le renseignement sur les chaînes de blocs et ses partenaires du secteur afin de localiser, geler et récupérer des fonds supplémentaires. Binance a indiqué qu’elle continuerait à mobiliser ses ressources pour couvrir les déficits confirmés et qu’à terme, tous les fonds des utilisateurs seraient vérifiables publiquement grâce à sa preuve de réserves.

Compte rendu de l’intrusion et suspension des retraits

Dans un rapport officiel sur l’incident de sécurité publié le 30 octobre, Binance a déclaré que son enquête préliminaire laissait penser que l’incident pourrait être lié à la compromission de l’ordinateur portable d’un ingénieur DevOps, ce qui aurait permis à un attaquant d’accéder à un conteneur de service et de soumettre des opérations de retrait non autorisées. L’entreprise a indiqué n’avoir trouvé aucun indice de fuite de clés privées de portefeuilles. Elle a estimé l’impact total à environ 6,3 milliards de dollars, précisé qu’environ 3 milliards de dollars avaient été gelés jusque-là sur la chaîne avec l’aide de partenaires spécialisés dans les chaînes de blocs, et annoncé qu’elle couvrirait toutes les pertes au moyen du fonds SAFU et des fonds de l’entreprise, en affirmant que les fonds des utilisateurs étaient en sécurité.

À titre de précaution immédiate, Binance a indiqué avoir temporairement suspendu les retraits le temps d’effectuer des contrôles de sécurité, révoqué l’autorisation de l’adresse touchée et fait appel aux forces de l’ordre ainsi qu’à des partenaires spécialisés dans le renseignement sur les chaînes de blocs pour localiser et récupérer les fonds. L’annonce a été mise à jour plus tard le 30 octobre afin de préciser que les dépôts n’étaient pas touchés et continuaient de fonctionner normalement.

Le codirecteur général Richard Teng a écrit dans une publication que l’attaquant ne s’était pas contenté d’utiliser les autorisations d’un seul ingénieur et qu’il ne s’agissait pas d’une simple action « en un clic ». Il a ajouté que l’enquête n’avait désigné aucun individu comme responsable. Teng a indiqué que les retraits avaient été suspendus pendant que Binance procédait à une refonte de la sécurité du service de retrait et des adresses associées. « En bref, votre argent est en sécurité et nous couvrons toutes les pertes », a-t-il écrit.

Dans une mise à jour de l’enquête ultérieure, Binance a déclaré que ses investigations avaient révélé d’autres points d’intrusion que l’ordinateur portable potentiellement compromis, décrivant une attaque complexe. L’entreprise a indiqué que les sorties de fonds avaient cessé une fois les retraits suspendus, qu’environ 3 milliards de dollars avaient été gelés jusque-là et qu’elle restait en voie de rétablir le service de retrait dans le délai prévu de 45 heures.

Constats sur la chaîne et gel des actifs

TRM Labs a indiqué dans une analyse qu’un attaquant avait transféré environ 6,36 milliards de dollars depuis des portefeuilles Binance sur dix chaînes de blocs. La majeure partie des fonds avait été déplacée en quelque 20 minutes, à partir de 20 h 05 UTC le 29 octobre. Une deuxième vague, vers 23 h 05 UTC, a atteint des portefeuilles Binance sur Avalanche et Polygon (POL ). TRM a déclaré que cet incident constituait le plus important vol de cryptomonnaies jamais recensé, représentant environ quatre fois le montant du piratage de Bybit en février 2025, qui avait porté sur 1,5 milliard de dollars. Selon TRM, aux cours actuels, les actifs dérobés valent environ 6,23 milliards de dollars.

TRM a attribué l’attaque, avec un degré de confiance élevé, à TraderTraitor, qu’elle a décrit comme l’unité d’élite de piratage informatique de la Corée du Nord. Elle a également indiqué que le FBI avait désigné le même groupe comme responsable du piratage de Bybit. Chainalysis a déclaré dans ses propres conclusions que ses enquêteurs estimaient que l’exploitation, d’un montant d’environ 6,4 milliards de dollars, était l’œuvre de TraderTraitor. Elle a ajouté que les éléments les plus probants étaient apparus lorsque ses enquêteurs avaient observé en temps réel des fonds volés à Binance se mêler à des fonds dérobés lors de l’exploitation de Bitget le mois précédent, attribuée à des acteurs nord-coréens. Chainalysis a indiqué que les fonds avaient commencé à quitter les portefeuilles chauds de Binance sur plusieurs chaînes de blocs vers 16 h 20, heure de l’Est, le 29 octobre.

Sur Ethereum (ETH ), l’attaquant a utilisé une délégation EIP-7702, un mécanisme qui permet à un portefeuille ordinaire de confier le contrôle de son fonctionnement à un contrat intelligent en signant une autorisation, selon le rapport de TRM. TRM a indiqué que l’attaquant avait préparé à l’avance 50 autorisations pré-signées afin de transformer un portefeuille chaud de Binance en portefeuille collecteur sous son contrôle. Sur les neuf autres chaînes, les portefeuilles Binance ont transféré les fonds par des opérations ordinaires signées, un schéma qui, selon l’analyse de TRM, indique une compromission de l’infrastructure de signature des portefeuilles chauds de Binance.

TRM a évalué chaque transfert au cours de l’actif au moment où celui-ci a été dérobé, ce qui donne le détail suivant, chaîne par chaîne :

TRM a indiqué que les sorties d’Ethereum comprenaient 200 630 ETH et 185 autres jetons, que les sorties de Bitcoin totalisaient 18 270 BTC, celles de Tron 612,7 millions d’USDT et 46,4 millions de TRX, que le XRP Ledger avait perdu 233,46 millions de XRP, que les sorties de Solana totalisaient 970 500 SOL et que le montant combiné pour Arbitrum, Optimism et Base comprenait les 74,6 millions d’ARB transférés depuis Arbitrum.

Concernant les gels, TRM a indiqué que Tether avait gelé environ 1,77 milliard d’USDT, Circle environ 825 millions d’USDC, Ripple 40,5 millions de RLUSD et World Liberty Financial 27,8 millions d’USD1, tandis que le conseil de sécurité d’Arbitrum (ARB ) a utilisé ses pouvoirs d’urgence pour imposer deux transferts depuis le portefeuille de l’attaquant sur Arbitrum, mettant ainsi 8 426 ETH et 74,6 millions d’ARB, d’une valeur d’environ 30 millions de dollars, hors de sa portée. Selon TRM, le montant total gelé sur la chaîne s’élevait alors à environ 2,7 milliards de dollars au 30 octobre à 00 h 30 UTC. TRM a précisé que Binance avait déclaré, le 29 octobre à 23 h 35 UTC, que le montant total vérifié des fonds gelés avait atteint 2,54 milliards de dollars. Chainalysis a indiqué qu’environ 2,8 milliards de dollars avaient été gelés jusqu’alors, les premiers gels ayant commencé au plus tard le 29 octobre à 17 h 14, heure de l’Est.

TRM a indiqué que l’attaquant contrôlait toujours plus de 420 000 ETH et 18 270 BTC, soit environ 2,4 milliards de dollars d’actifs hors de portée de tout émetteur, et qu’elle s’attendait à ce que la prochaine étape du blanchiment fasse intervenir des ponts interchaînes, des services d’échange et des courtiers de gré à gré. Chainalysis a déclaré que l’attaquant avait transféré 500 millions de dollars en stablecoins vers un portefeuille dédié et échangé 325 millions de dollars en stablecoins contre 285 millions de dollars en ETH en près de 20 minutes, dans sa course pour convertir des actifs susceptibles d’être gelés. L’entreprise a également indiqué observer des schémas de blanchiment inédits, notamment des milliers de transactions sur une courte période, signe possible d’automatisation, ainsi que des adresses qui reçoivent exactement 1 TRX avant de recevoir puis de transférer des fonds supplémentaires.

Binance a déclaré qu’elle publierait une analyse technique détaillée après l’incident une fois l’enquête terminée et les faits entièrement vérifiés, puis mettrait à jour sa preuve de réserves une fois les mesures correctives achevées.