Hack Binance 6,3 Milliards Lien TraderTraitor

Et si le plus grand casse de l’histoire des cryptomonnaies n’était que le dernier chapitre d’une série déjà écrite par les mêmes acteurs ? Dans la nuit du 29 au 30 octobre 2026, Binance a perdu 6,3 milliards de dollars. Quelques heures plus tard, des fonds issus de ce vol et d’un précédent incident chez Bitget convergeaient vers une unique adresse Ethereum après un passage par THORChain. Les analystes on-chain et les firmes de renseignement parlent déjà de TraderTraitor, ce sous-groupe nord-coréen que le FBI avait formellement désigné pour le raid de 1,5 milliard de dollars contre Bybit en février 2025. Le scénario se répète : aucun vol de clé privée, mais la compromission d’un humain ou d’un prestataire, suivie d’une signature légitime détournée.

Un même fil rouge entre trois géants de la crypto

La découverte a éclaté à 5 h 51, heure de Paris. L’enquêteur indépendant ZachXBT a signalé que des actifs provenant du piratage de Binance et de celui de Bitget, estimé à 388 millions de dollars fin septembre 2026, venaient d’atterrir sur la même adresse Ethereum : 0x15104a…feb7. Les deux flux avaient auparavant traversé THORChain, ce protocole d’échange inter-chaînes qui ne permet à aucun intermédiaire de geler les transactions. « Le même acteur est probablement derrière les deux incidents », a-t-il écrit. Cette observation a immédiatement relancé les spéculations sur l’identité des pirates.

TRM Labs n’a pas tardé à confirmer la piste. Selon les informations relayées par plusieurs médias spécialisés, la société d’analyse on-chain attribue le vol de Binance à TraderTraitor avec un niveau de confiance élevé. Blockaid évoque de son côté des tactiques « cohérentes » avec les opérations menées par des acteurs liés à Pyongyang. Le parallèle avec Bybit devient alors presque impossible à ignorer.

Bybit, Bitget, Binance : trois modes opératoires qui se ressemblent trop

Remontons le fil chronologique. Le 21 février 2025, Bybit subit un raid de 1,5 milliard de dollars. Cinq jours plus tard, le FBI publie un avis officiel désignant la Corée du Nord et baptisant l’opération « TraderTraitor », un sous-groupe souvent rattaché à Lazarus. Les détails techniques sont édifiants : les pirates ont compromis le poste de travail d’un développeur de Safe{Wallet} et ont trafiqué l’interface de signature. Aucune clé privée n’a fuité. L’infrastructure a simplement signé ce que les attaquants lui ont présenté.

En septembre 2026, Bitget perd 388 millions de dollars. Cette fois, c’est une faille dans un logiciel de sécurité tiers qui est exploitée pour injecter de faux ordres de retrait. Là encore, les clés privées restent intactes. Les fonds transitent en partie par THORChain. Environ 269 millions de dollars auraient emprunté cette voie selon BlockSec.

Et maintenant Binance. D’après les premières informations communiquées par la plateforme, l’attaque aurait été possible grâce au portable compromis d’un ingénieur DevOps. Une fois de plus, aucune clé privée n’a été extraite. Les pirates ont réussi à faire signer des transactions par les systèmes légitimes de l’exchange. Le schéma est devenu trop familier pour être fortuit.

Le rôle central de THORChain dans la fuite des fonds

THORChain revient comme un leitmotiv. Ce protocole permet d’échanger des actifs entre différentes blockchains sans intermédiaire centralisé capable de geler les mouvements. Ben Zhou, le dirigeant de Bybit, avait estimé dès le 4 mars 2025 que 72 % du butin de son exchange avait transité par cette voie. Pour Bitget, les chiffres avancés par BlockSec tournent autour de 269 millions de dollars. Dans le cas de Binance, une partie significative des fonds a également emprunté ce chemin avant de se regrouper avec ceux de Bitget.

Cette préférence pour THORChain n’est pas anodine. Elle traduit une connaissance fine des outils disponibles pour contourner les dispositifs de gel mis en place par les émetteurs de stablecoins et les exchanges. Les pirates semblent privilégier la vitesse et l’absence de point de contrôle unique dès les premières heures qui suivent l’attaque.

Ce que Binance a déjà réussi à bloquer

Face à l’ampleur du préjudice, Binance a réagi rapidement. La plateforme affirme avoir gelé environ 3 milliards de dollars d’actifs. Parmi eux, plus de 1,5 milliard d’USDT ont été bloqués par Tether et plus de 800 millions d’USDC par Circle. Ces interventions montrent que les émetteurs de stablecoins restent des alliés précieux lorsqu’il s’agit de limiter les dégâts.

En revanche, environ 1,4 milliard de dollars en bitcoins, répartis sur 19 portefeuilles distincts, échappent pour l’instant à toute mesure de gel. Ces montants se trouvent désormais hors de portée immédiate des autorités et des plateformes. Yi He, co-PDG de Binance, a promis que toutes les pertes des utilisateurs seraient couvertes et que les retraits pourraient reprendre sous 48 heures. Une promesse ambitieuse qui vise à rassurer une communauté encore sous le choc.

Le casse de Bybit, longtemps présenté comme le plus grand hold-up de l’histoire des cryptomonnaies, recule au deuxième rang, quatre fois plus petit.

Un faisceau d’indices qui ne fait pas encore office de preuve définitive

Il faut toutefois rester prudent. Le regroupement de fonds sur une même adresse ne constitue pas une preuve absolue que les mêmes opérateurs ont mené les trois attaques. En septembre, BlockSec avait déjà nuancé les analyses autour de Bitget en indiquant que les recoupements désignaient « plus directement des réseaux de blanchiment partagés que les mêmes attaquants ». ZachXBT lui-même avait documenté l’activité de blanchisseurs chinois sollicitant de l’aide sur des serveurs Discord et Telegram pour le compte de pirates présumés.

Cependant, l’attribution de TRM Labs, la cohérence des modes opératoires et le portefeuille commun forment un faisceau d’indices difficile à ignorer. Seul un avis officiel du FBI, comme celui rendu en cinq jours dans l’affaire Bybit, pourrait transformer ces soupçons en conclusion formelle. Pour l’instant, le monde de la crypto observe, analyse et attend.

Pourquoi les échanges restent vulnérables malgré les progrès de sécurité

Ces trois incidents successifs posent une question dérangeante : comment des plateformes parmi les plus sophistiquées du secteur continuent-elles de céder à des attaques qui ne reposent même pas sur le vol de clés privées ? La réponse se trouve probablement dans la complexité croissante des chaînes d’approvisionnement logicielles et dans la place encore trop importante accordée au facteur humain.

Un ingénieur DevOps, un développeur de prestataire, un logiciel de sécurité tiers : dans chaque cas, le point d’entrée a été un maillon relativement périphérique. Une fois ce maillon contrôlé, les systèmes de signature multi-signatures ou les processus de validation internes ont été détournés pour valider des transactions malveillantes. La leçon est claire. Renforcer les contrôles autour des clés privées ne suffit plus. Il faut désormais sécuriser l’ensemble de l’écosystème humain et technique qui entoure ces clés.

L’impact psychologique et marché d’un tel record

Au-delà des montants, le symbole est puissant. Un exchange de la taille de Binance qui perd 6,3 milliards de dollars en une seule opération redéfinit l’échelle des risques perçus par les investisseurs institutionnels et les régulateurs. Même si la plateforme promet de couvrir les pertes, la confiance prend un nouveau coup. Les discussions sur les exigences de réserves, les audits de sécurité et les obligations de transparence vont inévitablement s’intensifier dans les semaines qui viennent.

Paradoxalement, certains acteurs du marché pourraient y voir une opportunité. Les solutions de custody institutionnelle, les outils de monitoring on-chain et les protocoles de détection d’anomalies ont de beaux jours devant eux. Chaque grand piratage accélère l’adoption de mesures qui, à terme, rendent l’écosystème plus résilient. Mais le prix à payer reste extrêmement élevé.

TraderTraitor : un acteur de plus en plus visible

Si les attributions se confirment, TraderTraitor s’impose comme l’un des groupes les plus efficaces et les plus dangereux de l’histoire récente de la crypto. Entre Bybit, Bitget et désormais Binance, les montants cumulés dépassent largement les 8 milliards de dollars. Ces ressources alimentent très probablement les activités de la Corée du Nord, comme l’ont déjà documenté de nombreux rapports de renseignement.

Le groupe semble avoir perfectionné une méthode : identifier des points d’entrée humains ou logiciels, obtenir des signatures légitimes, puis disperser rapidement les fonds via des protocoles décentralisés difficiles à intercepter. La répétition de ce schéma suggère une organisation structurée, bien financée et capable d’apprendre de ses succès précédents.

Ce que les prochains jours vont révéler

Plusieurs éléments restent encore flous. Quelle est l’ampleur exacte des fonds encore en mouvement ? Les 19 portefeuilles de bitcoins vont-ils continuer à se déplacer ou resteront-ils dormants ? D’autres exchanges ou protocoles vont-ils découvrir qu’ils ont été touchés par des opérations similaires restées discrètes jusqu’ici ? Les réponses à ces questions détermineront la suite de l’histoire.

Binance a annoncé viser une reprise des retraits sous 48 heures. Si la plateforme tient cet engagement, elle enverra un signal fort de résilience. Dans le cas contraire, la pression médiatique et réglementaire risque de monter rapidement. Les utilisateurs, quant à eux, suivent avec attention chaque nouvelle mise à jour on-chain et chaque déclaration officielle.

Une nouvelle ère pour la cybersécurité des exchanges

Ces événements marquent probablement un tournant. Les attaques ne se contentent plus de cibler les failles techniques classiques. Elles s’attaquent à la confiance placée dans les processus internes et dans les prestataires. La sécurité devient un sujet qui dépasse largement les équipes techniques pour concerner l’ensemble de l’organisation, des ressources humaines aux relations fournisseurs.

Les régulateurs observeront de près la manière dont Binance gère la crise. La promesse de couverture totale des pertes est un engagement fort. Sa tenue conditionnera en partie la perception de maturité de l’industrie. Dans un contexte où plusieurs juridictions renforcent déjà leurs exigences en matière de réserves et de contrôles, un tel incident pourrait accélérer certaines initiatives législatives.

Les leçons à tirer pour l’ensemble de l’écosystème

Pour les autres plateformes, le message est clair. Il ne suffit plus de protéger les cold wallets et les clés privées. Il faut cartographier l’ensemble des accès humains et logiciels capables d’influencer les processus de signature. Les audits de sécurité doivent désormais inclure des scénarios d’ingénierie sociale avancée et de compromission de postes de travail d’employés clés.

Les utilisateurs, de leur côté, sont rappelés à une réalité parfois oubliée : même les plus grands acteurs du marché ne sont pas invulnérables. La diversification des plateformes, l’utilisation de solutions de self-custody pour une partie des avoirs et la vigilance face aux annonces officielles restent des réflexes sains.

Un dossier qui reste ouvert

L’histoire n’est pas terminée. Les prochaines heures et les prochains jours vont apporter de nouvelles pièces au puzzle. Les analystes on-chain continueront de suivre les mouvements de fonds. Les firmes de renseignement affineront leurs attributions. Binance communiquera probablement de nouveaux éléments sur son enquête interne. Et peut-être que le FBI finira par publier un avis formel, comme il l’avait fait pour Bybit.

En attendant, une chose est certaine : le piratage de Binance à 6,3 milliards de dollars ne restera pas isolé dans les annales de la crypto. Il s’inscrit dans une série d’attaques qui révèlent à la fois les faiblesses persistantes de l’écosystème et la détermination d’acteurs étatiques à exploiter ces faiblesses. La suite dépendra de la capacité de l’industrie à tirer les leçons de ces événements et à renforcer durablement ses défenses.

Pour l’heure, les regards restent braqués sur cette adresse Ethereum où se sont rencontrés les butins de deux exchanges. Un simple portefeuille qui, en quelques heures, est devenu le symbole d’une menace bien plus vaste. TraderTraitor ou non, le message est le même : dans le monde de la crypto, la prochaine faille se cache souvent là où on ne l’attend plus.