Piratage Record Binance FBI Corée Du Nord

Plus de six milliards de dollars d’actifs numériques disparus en quelques heures. Le 29 octobre, Binance a vécu l’un des plus grands chocs de son histoire. Deux jours plus tard, le FBI a publié une alerte de sécurité qui a immédiatement mis le secteur crypto en ébullition : l’attaque serait l’œuvre de TraderTraitor, une opération rattachée à la Corée du Nord et connue aussi sous le nom de Lazarus Group. Un chiffre qui dépasse largement le précédent record détenu par le piratage de Bybit en 2025.

Un vol historique attribué à TraderTraitor

L’alerte fédérale, datée du 31 octobre, ne laisse guère de place au doute selon les autorités américaines. Le FBI y désigne clairement TraderTraitor comme responsable du piratage record de Binance. Cette opération, étroitement liée au Lazarus Group, est déjà connue pour plusieurs attaques de grande ampleur dans le monde de la cryptomonnaie. Le butin est estimé par le bureau à plus de 6 milliards de dollars.

Binance avait de son côté annoncé que 6,3 milliards de dollars d’actifs étaient impactés. La société d’analyse blockchain Chainalysis a légèrement relevé ce montant à 6,4 milliards. Pour mesurer l’ampleur, il suffit de rappeler que le précédent record, le piratage de Bybit en 2025, s’élevait à 1,5 milliard de dollars. Le vol subi par Binance représente donc plus de quatre fois cette somme.

Plusieurs acteurs de la sécurité blockchain ont rapidement convergent vers la même conclusion. Chainalysis, TRM Labs et Check Point ont tous lié l’attaque à des acteurs nord-coréens. Chainalysis a même évoqué une « confiance élevée » dans cette attribution. Binance, prudente, n’a pas confirmé officiellement cette piste. La plateforme a simplement indiqué qu’elle collaborait étroitement avec les forces de l’ordre pour identifier les auteurs du vol.

La chronologie d’une attaque massive

Tout a commencé le 29 octobre avec la suspension brutale des retraits sur Binance. Cette décision, prise en urgence, a immédiatement alerté la communauté. Les utilisateurs se sont retrouvés dans l’incapacité de sortir leurs fonds tandis que les rumeurs enflaient sur les réseaux sociaux et les forums spécialisés.

Le coprésident de Binance, Richard Teng, a livré dès le 30 octobre une description précise de la chaîne d’attaque. Selon lui, un ordinateur portable d’ingénieur a été compromis. Cette machine a ensuite donné accès à un conteneur de service. « Cela a donné à l’attaquant l’accès à un conteneur de service, où il a soumis des transactions de retrait non autorisées », a-t-il expliqué.

Cela a donné à l’attaquant l’accès à un conteneur de service, où il a soumis des transactions de retrait non autorisées.

Richard Teng, coprésident de Binance

L’enquête interne a permis de rassurer partiellement les utilisateurs : aucune fuite de clé privée de portefeuille n’a été détectée. En revanche, d’autres points d’intrusion ont été identifiés par la suite. Yi He, coprésidente de la plateforme, a confirmé que les retraits resteraient désactivés tant que l’environnement ne serait pas considéré comme pleinement sécurisé. Elle a également assuré que Binance couvrirait l’intégralité des pertes. De son côté, Binance.US a précisé que sa plateforme n’était pas concernée par l’incident.

Des centaines d’adresses à bloquer d’urgence

Dans son alerte, le FBI a publié une longue liste de centaines d’adresses liées au vol. Le message est clair : les opérateurs de nœuds THORNode, les plateformes DeFi, les échanges instantanés et tous les autres prestataires sont invités à bloquer immédiatement les transactions impliquant ces portefeuilles.

Les enquêteurs du Secret Service et de l’IRS Criminal Investigation ont observé un comportement particulier des attaquants. Selon l’alerte, ces derniers convertissent pour l’essentiel les fonds volés en Ethereum. Cette concentration sur une seule cryptomonnaie facilite le suivi pour les autorités, mais complique aussi le travail des fonds une fois qu’ils circulent dans des protocoles complexes.

Cette publication d’adresses s’inscrit dans une stratégie de collaboration internationale. Plus les plateformes et protocoles bloquent rapidement ces adresses, plus les chances de récupérer une partie des fonds augmentent. C’est un jeu de vitesse auquel se livrent désormais les autorités et les acteurs du secteur.

Le gel massif des stablecoins

Dès le 29 octobre, les émetteurs de stablecoins ont réagi. Tether a gelé environ 971 millions de dollars en USDT. Circle a de son côté bloqué près de 823 millions de dollars en USDC. Ces mesures ont permis de freiner une partie significative du mouvement des fonds volés.

Au 31 octobre, Binance et Chainalysis estimaient qu’environ 3 milliards de dollars de fonds volés avaient déjà été gelés ou bloqués. Ce chiffre reste évolutif selon les sources et les moments de relevé. Il montre néanmoins l’efficacité relative des mécanismes de gel mis en place par les principaux émetteurs de stablecoins.

Ces interventions ne sont pas anodines. Elles soulignent le rôle central que jouent les stablecoins dans les flux de valeur du monde crypto. Lorsqu’un grand volume de tokens est gelé, cela envoie un signal fort aux marchés et aux pirates eux-mêmes.

La parade inventée par les attaquants

Malgré ces gels, les pirates n’ont pas resté inactifs. Chainalysis a documenté une méthode de contournement particulièrement ingénieuse. Sur le réseau Tron, les attaquants convertissent des TRX en stablecoins. Ils déposent ensuite ces stablecoins dans des protocoles de prêt DeFi. En échange, ils reçoivent des jetons de dépôt que les émetteurs de stablecoins ne peuvent pas geler.

Ces jetons de dépôt sont ensuite échangés contre de l’Ethereum via un pont. Environ 500 000 dollars ont déjà été retracés par ce procédé. Même si le montant reste limité par rapport à l’ensemble du butin, il démontre la capacité des groupes organisés à s’adapter rapidement aux mesures de blocage.

Cette technique met en lumière une limite structurelle des gels de stablecoins. Une fois les fonds transformés en positions DeFi, le contrôle des émetteurs devient beaucoup plus difficile. Les protocoles de prêt et les ponts inter-chaînes offrent des voies de sortie que les autorités peinent encore à colmater complètement.

THORChain au centre des discussions

Le FBI a également sollicité les opérateurs de THORChain. Ce protocole avait déjà fait parler de lui en septembre en refusant de bloquer des fonds liés au piratage de Bitget. L’argument avancé à l’époque reposait sur son architecture sans permission.

Le cofondateur du protocole, Chad Barraford, a répondu le 1er novembre. Selon lui, les opérateurs de nœuds ne détiennent « aucune information qui ne soit pas déjà publique et disponible en temps réel ». Il a insisté sur le fait qu’aucune assignation n’était nécessaire, considérant cette transparence comme un avantage pour les investigations.

Les opérateurs de nœuds THORNode ne détiennent aucune information qui ne soit pas déjà publique et disponible en temps réel. Aucune assignation n’est requise, c’est le meilleur scénario possible pour les enquêtes.

Chad Barraford, cofondateur de THORChain

Le même jour, un événement technique est venu complexifier encore la situation. Une réorganisation de blocs sur Ethereum a conduit THORChain à rembourser par erreur deux fois un dépôt de 10 ETH. Cette anomalie a déclenché une pause d’urgence. Les échanges trans-chaînes ont été interrompus sur la majorité de ses ponts, touchant aussi bien les pirates que l’ensemble des utilisateurs du protocole.

Cette pause involontaire a illustré la fragilité de certains mécanismes inter-chaînes face à des événements rares mais possibles sur les blockchains sous-jacentes. Pour les autorités, elle a peut-être offert un répit temporaire. Pour les utilisateurs légitimes, elle a représenté une nouvelle source de frustration.

Les conséquences pour Binance et ses utilisateurs

La promesse de Binance de couvrir l’intégralité des pertes constitue un engagement majeur. Dans un secteur où la confiance reste fragile, cette décision vise à rassurer les clients et à limiter l’impact réputationnel. Yi He a clairement indiqué que les retraits resteraient fermés tant que la sécurité de l’environnement ne serait pas totalement rétablie.

Pour les utilisateurs, cette période d’incertitude a été difficile. Beaucoup se sont retrouvés dans l’impossibilité d’accéder à leurs fonds au moment où les marchés pouvaient évoluer rapidement. La suspension des retraits a également nourri des spéculations sur l’étendue réelle des dégâts et sur la capacité de la plateforme à se remettre.

Binance.US a tenu à se démarquer en affirmant que sa plateforme n’était pas concernée. Cette distinction géographique et structurelle rappelle que les différentes entités du groupe ne partagent pas nécessairement les mêmes infrastructures critiques.

Un schéma déjà connu des autorités

L’attribution à TraderTraitor et au Lazarus Group s’inscrit dans une série d’incidents similaires. Ces groupes sont régulièrement cités dans les rapports de sécurité crypto pour des attaques sophistiquées visant des exchanges, des protocoles DeFi ou des portefeuilles de grande taille. Leur capacité à opérer à grande échelle et à blanchir des volumes importants a forcé les autorités à renforcer leur surveillance.

Les méthodes employées évoluent constamment. L’utilisation d’un ordinateur portable d’ingénieur comme point d’entrée montre que l’humain reste souvent le maillon faible, même dans des infrastructures ultra-sécurisées. Une fois à l’intérieur, les attaquants ont su naviguer dans les systèmes pour soumettre des transactions non autorisées sans avoir besoin de clés privées de portefeuilles.

Cette approche hybride, mélangeant ingénierie sociale ou compromission d’endpoint et exploitation technique, est devenue classique chez certains acteurs étatiques ou quasi-étatiques. Elle rend la détection plus complexe et force les entreprises à renforcer aussi bien leurs défenses techniques que leurs procédures de sécurité interne.

Le rôle croissant des analyses blockchain

Dans cette affaire, les sociétés d’analyse comme Chainalysis, TRM Labs et Check Point ont joué un rôle central. Leur capacité à suivre les flux de tokens en temps quasi réel a permis d’identifier rapidement les adresses impliquées et de relier l’attaque à des clusters déjà connus.

Chainalysis a notamment documenté la technique de contournement sur Tron et les protocoles de prêt. Ces analyses publiques aident non seulement les autorités, mais aussi l’ensemble de l’écosystème à comprendre les nouvelles méthodes de blanchiment. Elles alimentent également les discussions sur les améliorations possibles des mécanismes de gel et de traçabilité.

La collaboration entre plateformes, émetteurs de stablecoins, protocoles DeFi et autorités devient de plus en plus structurée. Chaque incident majeur accélère cette coopération, même si des frictions subsistent, comme l’illustre le cas de THORChain.

Les défis pour les protocoles sans permission

THORChain n’est pas le seul protocole à se retrouver dans une position délicate. Les architectures sans permission, conçues pour fonctionner de manière décentralisée et résistante à la censure, se heurtent régulièrement aux demandes des autorités de bloquer des adresses liées à des activités illicites.

Le débat est philosophique autant que technique. D’un côté, la promesse de neutralité et d’ouverture. De l’autre, la pression croissante des régulateurs et des forces de l’ordre face à des volumes de plus en plus importants. Le refus de THORChain de bloquer certains fonds en septembre a relancé ces discussions. La réponse de Chad Barraford en novembre montre que le protocole continue de défendre sa position.

La pause d’urgence provoquée par la réorganisation de blocs sur Ethereum a cependant rappelé que même les protocoles les plus robustes restent dépendants des blockchains sous-jacentes. Un événement rare peut entraîner des conséquences en cascade pour tous les utilisateurs.

Ce que révèle cet incident sur la sécurité des exchanges

Le piratage de Binance met en lumière plusieurs points de vigilance. D’abord, la sécurité des postes de travail des employés critiques. Un ordinateur portable compromis a suffi à ouvrir une brèche majeure. Ensuite, la nécessité de cloisonner strictement les systèmes permettant de soumettre des transactions de retrait.

L’absence de fuite de clés privées de portefeuilles est une bonne nouvelle relative. Elle montre que les mécanismes de stockage à froid ou multi-signatures ont probablement tenu. En revanche, l’accès à un conteneur de service capable de valider des retraits non autorisés révèle une faiblesse dans le contrôle d’accès et le monitoring des opérations sensibles.

Pour l’ensemble du secteur, cet incident servira de cas d’école. Les exchanges de taille similaire vont sans doute revoir leurs procédures, renforcer la surveillance des endpoints et multiplier les contrôles sur les opérations de retrait à gros volume.

L’impact sur la confiance du marché

Un vol de plus de 6 milliards de dollars ne peut pas rester sans conséquence sur la perception du risque. Même si Binance s’est engagée à indemniser les victimes, l’événement alimente les critiques sur la concentration des actifs dans les grandes plateformes centralisées.

De nombreux utilisateurs se posent déjà la question de la diversification de leurs avoirs entre exchanges, portefeuilles auto-custodial et protocoles DeFi. D’autres s’interrogent sur la solidité réelle des mesures de sécurité annoncées par les géants du secteur.

Dans le même temps, la rapidité de réaction de Tether et Circle, ainsi que le travail d’une partie des fonds, montrent que l’écosystème dispose de leviers pour limiter les dégâts. Cette dualité entre vulnérabilité et résilience caractérise aujourd’hui le monde de la cryptomonnaie.

Les prochaines étapes de l’enquête

Le FBI, le Secret Service et l’IRS Criminal Investigation continuent de suivre les flux. La publication des adresses et l’appel aux opérateurs de protocoles s’inscrivent dans une stratégie de long terme. Chaque transaction bloquée ou chaque identifiant découvert rapproche un peu plus les autorités d’éventuels responsables.

Binance, de son côté, poursuit son enquête interne et travaille à sécuriser définitivement son environnement avant de rouvrir pleinement les retraits. La plateforme a déjà communiqué sur plusieurs étapes de progression, mais la prudence reste de mise.

Les sociétés d’analyse blockchain continueront de publier des mises à jour sur les mouvements des fonds restants. Ces rapports alimenteront à la fois les investigations officielles et la compréhension collective des nouvelles techniques utilisées par les groupes organisés.

Un tournant pour la régulation et la coopération

Cet incident de grande ampleur risque d’accélérer les discussions sur la régulation des exchanges et des protocoles DeFi. Les autorités américaines ont démontré leur capacité à mobiliser rapidement des ressources et à publier des alertes détaillées. Elles attendent désormais une coopération plus systématique de la part des acteurs privés.

Pour les protocoles décentralisés, la pression s’intensifie. Refuser de bloquer des adresses peut être perçu comme un frein aux enquêtes, même lorsque l’architecture technique ne le permet pas facilement. Trouver un équilibre entre neutralité et responsabilité devient un enjeu majeur.

Les émetteurs de stablecoins, eux, ont prouvé qu’ils pouvaient intervenir de manière significative. Leur rôle de « gardiens » de la liquidité les place dans une position particulière, entre acteurs privés et relais potentiels des autorités.

Ce qu’il faut retenir de cet épisode

Le piratage de Binance du 29 octobre 2026 marque un nouveau record dans l’histoire des vols de cryptomonnaies. L’attribution par le FBI à l’opération TraderTraitor, liée à la Corée du Nord, donne une dimension géopolitique à l’affaire. Les montants en jeu, dépassant les 6 milliards de dollars, dépassent largement les précédents records.

La réaction des émetteurs de stablecoins a permis de geler près de 3 milliards de dollars en quelques jours. Les pirates ont cependant déjà testé des méthodes de contournement via des protocoles de prêt et des ponts. THORChain s’est retrouvé au cœur des discussions, entre demandes des autorités et défense de son architecture sans permission.

Binance a promis de couvrir les pertes et de ne rouvrir les retraits que lorsque la sécurité sera pleinement rétablie. L’enquête se poursuit, avec une collaboration active entre forces de l’ordre, plateformes et sociétés d’analyse. Cet événement restera longtemps comme un cas d’étude sur les risques et les résiliences du secteur crypto.

Dans les semaines et mois à venir, les leçons tirées de cette attaque influenceront probablement les pratiques de sécurité, les discussions réglementaires et la manière dont les protocoles décentralisés interagissent avec les autorités. Le monde de la cryptomonnaie, une fois de plus, est confronté à ses propres limites et à sa capacité à s’adapter.

Les utilisateurs, eux, retiennent surtout une chose : même les plus grandes plateformes ne sont pas à l’abri. La vigilance, la diversification et la compréhension des mécanismes de sécurité restent plus que jamais nécessaires dans un écosystème où les enjeux se chiffrent désormais en milliards.