Lazarus Soupçonné Dans Le Piratage Record De Binance

Imaginez un instant : en moins d’une heure, plusieurs milliards de dollars s’évaporent des hot wallets d’une plateforme que des millions d’utilisateurs considèrent comme l’une des plus solides du secteur. Ce n’est plus de la fiction. Le 29 octobre 2026, Binance a subi ce que plusieurs analystes décrivent déjà comme le plus grand vol de cryptomonnaies de l’histoire. Et les regards se tournent rapidement vers un nom bien connu des spécialistes de la cybersécurité : le groupe Lazarus, associé aux opérations de piratage de la Corée du Nord.

Un vol d’une ampleur jamais vue sur les marchés crypto

Les premières estimations font état d’environ 6,3 milliards de dollars sortis des portefeuilles contrôlés par Binance. Les fonds ont circulé sur une dizaine de blockchains différentes, dont Ethereum, Bitcoin, Tron, Solana et le XRP Ledger. La vitesse d’exécution a stupéfait les observateurs : la majorité des mouvements se serait concentrée sur une fenêtre d’environ vingt minutes, démarrant peu après 20 heures UTC.

Selon les analyses de TRM Labs, l’attaque est attribuée avec un niveau de confiance élevé à TraderTraitor, une unité de piratage rattachée à Lazarus. L’enquêteur indépendant ZachXBT a lui aussi pointé dans la même direction, même si Binance n’a pas encore officiellement confirmé l’identité des auteurs.

Ido Ben-Natan, co-fondateur et PDG de la société de sécurité blockchain Blockaid, a résumé la situation avec une phrase qui résonne encore dans les cercles d’experts : « C’est le plus grand hack crypto de l’histoire. Notre analyse montre qu’au moins 3,5 milliards de dollars ont quitté les hot wallets de Binance sur Ethereum, Arbitrum, Optimism et Avalanche en moins d’une heure, soit plus du double du vol de Bybit en février 2025. »

C’est le plus grand hack crypto de l’histoire. Notre analyse montre qu’au moins 3,5 milliards de dollars ont quitté les hot wallets de Binance sur Ethereum, Arbitrum, Optimism et Avalanche en moins d’une heure, soit plus du double du vol de Bybit en février 2025.

Ido Ben-Natan, Blockaid

Comment les attaquants ont-ils procédé ?

Les détails techniques qui émergent dessinent un scénario particulièrement sophistiqué. Blockaid a identifié une transaction Ethereum inhabituelle contenant 50 autorisations EIP-7702 visant le portefeuille « Binance 14 », l’un des hot wallets les plus actifs de la plateforme.

Pour rappel, EIP-7702 permet à un portefeuille Ethereum d’autoriser un contrat intelligent à agir en son nom. Les attaquants auraient préparé des autorisations en utilisant 50 compteurs de transactions consécutifs, augmentant ainsi la probabilité qu’au moins l’une d’elles corresponde au compteur actuel du wallet. Une seule a fonctionné. Suffisamment pour que le contrat malveillant prenne le contrôle et commence à vider les actifs.

Environ 2,5 milliards de dollars auraient été extraits de ce seul portefeuille, comprenant plus de 167 000 ETH et plus de 1,6 milliard d’USDT. Les équipes d’investigation ont ensuite constaté que d’autres wallets Binance ont également bougé des fonds via des transactions signées classiques sur plusieurs réseaux. L’hypothèse la plus sérieuse est que les attaquants ont obtenu un accès aux infrastructures de signature de transactions de l’exchange.

La piste nord-coréenne se précise

TRM Labs a retracé environ 6,36 milliards de dollars sortis des wallets contrôlés par Binance. Sur Ethereum uniquement, près de 3,79 milliards ont circulé. Bitcoin et Tron ont représenté respectivement 1,47 milliard et 628 millions de dollars. On note également le départ de plus de 233 millions de XRP, soit près de 296 millions de dollars, avant même le début de l’attaque sur Ethereum.

Les préparatifs semblent avoir commencé au moins 36 heures avant le vol. Un wallet contrôlé par les attaquants a reçu trois petits retraits via Tornado Cash et a testé du code malveillant. Ces éléments, croisés avec d’autres renseignements, ont permis à TRM de lier l’opération à TraderTraitor.

Ce n’est pas la première fois que cette unité est citée. Le FBI l’avait déjà identifiée comme responsable du vol d’environ 1,5 milliard de dollars sur Bybit en février 2025. Les autorités américaines accusent régulièrement les opérations de piratage nord-coréennes de financer les programmes d’armement du pays.

Binance réagit et gèle une partie des fonds

Dans sa première communication, Binance a indiqué que l’enquête préliminaire pointait vers un ordinateur portable d’un ingénieur DevOps compromis. Cet accès aurait permis à un attaquant de soumettre des transactions de retrait non autorisées via un conteneur de service interne. L’exchange affirme n’avoir trouvé aucune preuve de fuite de clés privées.

Du côté des stablecoins, la réaction a été rapide. Paolo Ardoino, PDG de Tether, a confirmé le gel de plus de 1,567 milliard d’USDT. Jeremy Allaire, de Circle, a de son côté annoncé le blocage de plus de 800 millions d’USDC. Le conseil de sécurité d’Arbitrum a également sécurisé environ 74,6 millions d’ARB et 8 425 ETH liés à l’attaquant.

Binance a déclaré disposer d’environ 3 milliards de dollars d’actifs gelés et s’est engagée à couvrir les pertes des clients via son fonds SAFU et ses ressources propres. Les dépôts restent ouverts, mais les retraits sont suspendus le temps d’upgrader les systèmes de contrôle. La plateforme espère rétablir les services dans un délai de 48 heures.

Les fonds volés commencent à bouger

Pendant que les échanges sont en pause, les traqueurs on-chain ne dorment pas. Onchain Lens a rapporté que l’attaquant avait déjà déplacé 17 260 ETH, soit environ 38,8 millions de dollars, vers un nouveau wallet. L’objectif semble clair : préparer un blanchiment via Tornado Cash ou d’autres mixeurs.

Selon le même tracker, l’attaquant contrôlait encore près de 480 720 ETH, valorisés à environ 1,08 milliard de dollars, des actifs qui ne peuvent pas être gelés par un émetteur de token. Le wallet de réception identifié est 0x03b0eE5d82990cFF1bDa48651AC3e436d1a020ea.

Ces mouvements rappellent que, même après un vol massif, la traçabilité reste un outil puissant. Les enquêteurs blockchain continuent de suivre chaque flux, et les collaborations avec les forces de l’ordre se multiplient.

Un choc pour le marché et la confiance

L’annonce du piratage a immédiatement pesé sur les cours. Bitcoin a brièvement glissé sous les 77 000 dollars. Les liquidations sur le marché des dérivés ont dépassé 1,5 milliard de dollars en 24 heures. Au-delà des chiffres, c’est la question de la confiance qui revient au premier plan.

Binance reste l’un des exchanges les plus utilisés au monde. Un incident de cette magnitude force l’ensemble du secteur à reconsidérer les pratiques de sécurité autour des hot wallets, des systèmes de signature et de la gestion des accès internes. Les discussions techniques autour d’EIP-7702 et des autorisations multiples vont probablement s’intensifier dans les semaines à venir.

Ce que révèle cette attaque sur la sécurité des exchanges

Plusieurs points saillants méritent d’être soulignés. D’abord, la sophistication de l’attaque : elle ne repose pas uniquement sur une faille logicielle classique, mais sur une combinaison d’accès interne et d’utilisation intelligente de fonctionnalités Ethereum. Ensuite, la rapidité d’exécution montre que les attaquants avaient parfaitement préparé le terrain.

Enfin, la capacité de réaction des émetteurs de stablecoins et des équipes de sécurité on-chain a permis de geler une partie significative des fonds. C’est un point positif, mais il ne doit pas masquer la vulnérabilité structurelle qui a été exploitée.

Les exchanges centralisés restent des cibles de choix. Les volumes qu’ils gèrent, la concentration d’actifs dans certains wallets et la complexité de leurs infrastructures internes créent des opportunités que des groupes organisés, notamment ceux soutenus par des États, savent exploiter.

Les précédents qui éclairent le présent

Le vol de Bybit en février 2025, estimé à 1,5 milliard de dollars et également attribué à TraderTraitor, constitue un précédent direct. Les méthodes évoluent, mais la finalité reste la même : générer des ressources pour des programmes étatiques. Les autorités américaines ont plusieurs fois souligné ce lien entre piratage crypto et financement d’activités militaires nord-coréennes.

D’autres incidents plus anciens, comme ceux impliquant des exchanges asiatiques ou des protocoles DeFi, montrent une tendance de fond : les attaques les plus coûteuses ne sont plus le fait de simples opportunistes, mais d’équipes structurées, patientes et bien équipées.

Que faire en attendant le rétablissement des retraits ?

Pour les utilisateurs de Binance, la situation reste inconfortable. Les dépôts fonctionnent, les retraits non. La plateforme a promis une communication détaillée une fois la cause exacte établie. En attendant, la prudence reste de mise. Les utilisateurs sont invités à surveiller les annonces officielles et à éviter de se fier aux rumeurs qui circulent sur les réseaux sociaux.

Plus largement, cet événement rappelle l’importance de la diversification des risques. Ne pas concentrer l’intégralité de ses actifs sur une seule plateforme, utiliser des solutions de stockage à froid pour les montants importants, et rester attentif aux bonnes pratiques de sécurité personnelle restent des réflexes essentiels.

Une crise qui pourrait accélérer les changements

Il est encore trop tôt pour mesurer l’impact à long terme de ce piratage. Pourtant, plusieurs pistes se dessinent déjà. Les exigences de sécurité autour des hot wallets vont probablement se renforcer. Les discussions sur les architectures de signature multi-parties, les contrôles d’accès plus stricts et les audits externes pourraient s’intensifier.

Les régulateurs, déjà très attentifs au secteur, pourraient y voir un argument supplémentaire pour accélérer certaines règles. Les utilisateurs, quant à eux, risquent de devenir plus exigeants sur la transparence des pratiques de sécurité des plateformes qu’ils utilisent.

Binance a affirmé qu’elle publierait un rapport complet. Ce document sera scruté avec attention par l’ensemble de l’industrie. Il pourrait devenir un cas d’école pour les prochaines années.

Le rôle des outils de traçabilité blockchain

Un aspect souvent sous-estimé de ces affaires concerne le travail des firmes spécialisées dans l’analyse on-chain. TRM Labs, Blockaid, Onchain Lens et d’autres acteurs ont joué un rôle central dans l’identification rapide des flux et dans l’attribution de l’attaque. Leur capacité à suivre les mouvements en temps réel et à collaborer avec les autorités change la donne.

Même si une partie des fonds a déjà commencé à être déplacée vers des mixeurs, la traçabilité reste un frein majeur pour les attaquants. Plus le temps passe, plus il devient difficile de convertir de grandes quantités d’actifs volés en liquidités utilisables sans laisser de traces.

Une leçon pour l’ensemble de l’écosystème

Ce piratage de 6,3 milliards de dollars n’est pas seulement un incident isolé. Il met en lumière les défis permanents de la sécurité dans un environnement où les sommes en jeu atteignent des niveaux vertigineux. Les exchanges centralisés, malgré leurs efforts, restent des cibles attractives. Les protocoles décentralisés ne sont pas non plus à l’abri, comme l’ont montré d’autres incidents récents.

La combinaison d’accès interne et d’exploitation de fonctionnalités de la blockchain Ethereum montre que la surface d’attaque est large. Les équipes de sécurité doivent désormais penser non seulement aux failles techniques classiques, mais aussi aux vecteurs liés aux processus humains et aux outils de signature.

Pour les investisseurs et les utilisateurs, le message est clair : la sécurité n’est jamais garantie à 100 %. La diversification, la vigilance et le choix de plateformes transparentes restent les meilleurs remparts disponibles.

Les prochaines heures seront décisives

Binance a indiqué viser un rétablissement des retraits sous 48 heures. Ce délai sera suivi de près. La manière dont la plateforme communiquera, la qualité des informations fournies et les mesures concrètes mises en place détermineront en partie le niveau de confiance qui pourra être rétabli.

En parallèle, les enquêtes se poursuivent. Les forces de l’ordre, les firmes d’analyse blockchain et les équipes internes de Binance travaillent à cartographier l’ensemble des flux et à identifier d’éventuels complices ou failles supplémentaires.

Le nom de Lazarus, déjà associé à plusieurs des plus grands vols de l’histoire récente des cryptomonnaies, revient une fois de plus sur le devant de la scène. Si l’attribution se confirme, cet incident s’inscrira dans une série d’opérations qui ont déjà coûté plusieurs milliards de dollars au secteur.

Pour l’instant, une chose est certaine : le 29 octobre 2026 restera comme une date noire dans le calendrier de la crypto. Un rappel brutal que même les plus grandes plateformes peuvent être vulnérables, et que la vigilance collective reste plus nécessaire que jamais.

Les jours et semaines à venir diront si ce choc se transforme en opportunité de renforcement des pratiques de sécurité, ou s’il laisse simplement une cicatrice supplémentaire sur la confiance des utilisateurs. Dans un marché où la mémoire des incidents passés influence encore les comportements, l’issue n’est pas anodine.

En attendant, les regards restent fixés sur les prochains communiqués officiels de Binance, sur les mouvements des wallets identifiés, et sur la capacité de l’écosystème à tirer les leçons d’une attaque qui a, en quelques minutes, redéfini l’échelle des risques dans la finance décentralisée et centralisée.