Piratage Binance Une Astuce Portefeuille Cause Une Brèche De 6,3 Milliards

Imaginez un instant qu’une simple signature numérique, glissée au bon moment, suffise à ouvrir les portes d’un coffre-fort contenant plusieurs milliards de dollars. C’est exactement ce qui s’est produit le 29 octobre 2026 lorsque Binance a vu l’un de ses portefeuilles chauds les plus actifs basculer sous le contrôle d’un attaquant. En quelques minutes, des centaines de millions d’ethers et de stablecoins ont quitté les réserves de la plateforme. Ce qui a commencé comme une opération technique sophistiquée s’est transformé en l’un des plus grands incidents de sécurité de l’histoire des cryptomonnaies, estimé à environ 6,3 milliards de dollars d’actifs touchés.

Comment Une Seule Autorisation A Suffi À Tout Faire Basculer

Le cœur de l’attaque repose sur un mécanisme relativement récent de la blockchain Ethereum appelé EIP-7702. Cette proposition technique permet à un portefeuille classique de déléguer temporairement l’exécution de ses transactions à un contrat intelligent. Sur le papier, l’idée vise à améliorer l’expérience utilisateur. Dans les faits, elle a offert à l’attaquant une porte d’entrée inattendue.

Selon l’analyse de la société de sécurité Blockaid, l’assaillant a soumis une transaction unique contenant cinquante autorisations différentes. Chacune ciblait le portefeuille connu sous le nom de Binance 14, l’un des hot wallets les plus sollicités de la plateforme. Comme ce portefeuille traitait en continu des retraits, son compteur de transactions, le fameux nonce, évoluait sans cesse. Impossible de prédire avec certitude la valeur exacte au moment précis où la blockchain validerait la transaction.

L’attaquant a donc joué la carte de la couverture : il a balayé une plage de cinquante nonces consécutifs, de 18 914 775 à 18 914 824. Une seule de ces autorisations a coïncidé avec le compteur réel. Ce fut suffisant. Le portefeuille a été redirigé vers un contrat malveillant non vérifié qui exposait une fonction appelée sweep(). Cette fonction permettait de transférer la quasi-totalité des ETH et des tokens ERC-20 tout en laissant un ether pour couvrir les frais de gas.

Une seule autorisation a réussi. Elle a transformé un portefeuille opérationnel en une simple interface contrôlée à distance.

Analyse technique de Blockaid

Le scénario minute par minute de l’attaque

Les préparatifs ont commencé plusieurs heures avant le coup de force. L’attaquant a d’abord alimenté une adresse opérationnelle grâce à trois retraits successifs effectués via Tornado Cash. Il a ensuite déployé le contrat malveillant. À 20 h 20 min 59 s UTC le 29 octobre, la transaction contenant les cinquante autorisations a été diffusée. Quatre minutes plus tard, vers 20 h 24 UTC, le drainage a démarré.

Les montants sortis du seul portefeuille Binance 14 atteignent déjà des proportions vertigineuses : 167 464 ETH, plus de 1,6 milliard d’USDT et des dizaines d’autres tokens. L’opération ne s’est pas arrêtée là. Des transferts supplémentaires ont touché le portefeuille Binance 16 ainsi qu’un autre hot wallet détenant des USDC. L’attaque s’est ensuite propagée sur plusieurs réseaux : Bitcoin, Tron, Arbitrum et Avalanche.

La piste du laptop compromis

Dans sa mise à jour du 30 octobre, Binance a indiqué que l’origine probable de l’incident se trouvait du côté d’un ingénieur DevOps. Le portable de ce collaborateur aurait été compromis, permettant à l’attaquant d’accéder à un conteneur de service interne utilisé pour soumettre des transactions de retrait. Fait notable : l’échange affirme n’avoir trouvé aucune preuve de fuite de clé privée de portefeuille.

Cette distinction est essentielle. Si les clés privées des hot wallets n’ont pas circulé, cela signifie que l’attaquant a réussi à injecter les autorisations EIP-7702 depuis l’intérieur du système de soumission des retraits. Autrement dit, la faille se situerait plus dans la chaîne opérationnelle que dans la gestion pure des clés cryptographiques.

Les enquêteurs de Binance continuent de retracer le chemin exact par lequel les autorisations ont été obtenues et signées. Pour l’instant, le scénario le plus plausible reste celui d’un accès privilégié à un environnement de production via un poste de travail compromis.

La réaction rapide des émetteurs de stablecoins

Face à l’ampleur des flux, les principaux émetteurs de stablecoins ont agi avec une rapidité inhabituelle. Paolo Ardoino, directeur général de Tether, a confirmé le gel de plus de 1,567 milliard d’USDT liés aux adresses suspectes. De son côté, Jeremy Allaire, PDG de Circle, a annoncé le gel de plus de 800 millions d’USDC en coordination avec les autorités.

Ripple a également indiqué travailler avec les parties concernées pour geler les holdings RLUSD touchés. Sur Arbitrum, le Security Council a transféré 74 559 805 ARB et 8 425 ETH vers un portefeuille intermédiaire verrouillé. Ces actifs ne pourront être déplacés qu’après une nouvelle décision du conseil ou un vote de gouvernance de l’Arbitrum DAO.

Au total, Binance estime qu’environ 3 milliards de dollars d’actifs ont déjà été gelés. Ce montant représente une part significative des 6,3 milliards initialement impactés, même si la distinction entre actifs gelés et actifs réellement récupérables reste à préciser.

Les fonds des utilisateurs sont en sécurité. Nous utiliserons le SAFU et les réserves de l’entreprise pour couvrir les pertes.

Déclaration de Binance

Les mesures prises par la plateforme

Dès la détection de l’incident, Binance a suspendu temporairement les dépôts et les retraits afin de sécuriser l’ensemble de ses systèmes. Quelques heures plus tard, Yi He, cofondatrice de la plateforme, a précisé que les dépôts continuaient de fonctionner normalement. Seuls les retraits restaient suspendus le temps d’améliorer les contrôles d’adresses et les systèmes de validation.

La reprise progressive des retraits était annoncée dans un délai de quarante-huit heures. Binance a également promis de publier une preuve de réserves actualisée une fois les opérations de remediation terminées. Changpeng Zhao, fondateur de l’échange, a pour sa part rappelé que les fonds des utilisateurs seraient intégralement couverts, même s’il n’exerce plus de fonctions opérationnelles au sein de la société.

L’affiliée américaine de Binance a de son côté confirmé que ses opérations n’avaient pas été affectées par l’incident, soulignant une séparation claire entre les entités.

Pourquoi EIP-7702 a changé la donne

Avant la mise en place de cette proposition, un portefeuille Ethereum classique ne pouvait pas déléguer son exécution à un contrat intelligent de manière aussi flexible. EIP-7702 a introduit une capacité de délégation temporaire qui, si elle n’est pas correctement contrôlée, transforme un simple compte en un point d’entrée potentiellement dangereux.

Des incidents plus modestes avaient déjà illustré ce risque. Le 14 octobre 2026, un compte Ethereum compromis avait perdu environ 22 770 dollars d’ETH via le même mécanisme. L’attaque contre Binance représente cependant une montée en puissance spectaculaire : non plus quelques dizaines de milliers de dollars, mais plusieurs milliards.

Le point critique réside dans la combinaison de deux facteurs. D’une part, la possibilité technique de rediriger un portefeuille via une autorisation. D’autre part, l’accès à un environnement interne permettant de soumettre cette autorisation au moment opportun. Sans le second élément, le premier n’aurait probablement pas suffi.

Les leçons pour l’ensemble de l’écosystème

Cet incident met en lumière plusieurs vulnérabilités structurelles. La première concerne la gestion des hot wallets. Même lorsqu’aucune clé privée n’est exposée, un accès privilégié aux systèmes de soumission de transactions peut s’avérer tout aussi destructeur. La seconde touche à la nature même des nouvelles fonctionnalités de délégation introduites sur Ethereum.

Les équipes de sécurité des plateformes d’échange devront désormais intégrer des contrôles spécifiques autour des autorisations EIP-7702. Surveillance en temps réel des nonces, validation multi-signatures renforcée, isolation stricte des environnements de production : autant de pistes déjà évoquées dans les discussions techniques qui ont suivi l’attaque.

Du côté des utilisateurs, l’épisode rappelle une réalité parfois oubliée. Même les plus grandes plateformes restent exposées. La promesse de couverture par le fonds SAFU et les réserves de l’entreprise apporte un filet de sécurité, mais elle ne dispense pas d’une vigilance accrue sur les pratiques de retrait et de conservation des actifs.

Un impact qui dépasse les seuls chiffres

Au-delà des montants, cet événement soulève des questions de confiance. Binance reste l’une des plateformes les plus utilisées au monde. Voir l’un de ses portefeuilles chauds détourné par une technique relativement nouvelle interroge sur la maturité des contrôles internes face à l’évolution rapide des protocoles.

La coordination entre Tether, Circle, Ripple et le Security Council d’Arbitrum montre cependant que l’écosystème a progressé dans sa capacité de réponse. Le gel de plus de 2,3 milliards de dollars de stablecoins en quelques heures constitue une démonstration de force rarement observée auparavant.

Il reste à déterminer quelle part des actifs non gelés pourra être récupérée. Les transferts vers des réseaux comme Bitcoin ou Tron compliquent le suivi. Les enquêtes menées conjointement avec les sociétés d’intelligence blockchain et les forces de l’ordre prendront probablement plusieurs semaines, voire plusieurs mois.

Ce que révèle la préparation de l’attaquant

Les traces laissées sur la blockchain indiquent une préparation méthodique. L’utilisation de Tornado Cash pour alimenter l’adresse opérationnelle, le déploiement anticipé du contrat malveillant, le choix d’une plage de nonces large : tout cela témoigne d’une connaissance fine à la fois de la technique EIP-7702 et du fonctionnement opérationnel de Binance.

Le fait que l’attaquant ait ciblé précisément le portefeuille Binance 14, connu pour traiter un volume élevé de retraits, n’est pas anodin. Ce choix maximisait les chances de trouver un nonce valide dans la plage soumise. Il maximisait aussi le volume d’actifs immédiatement disponibles.

Cette sophistication contraste avec des attaques plus classiques fondées uniquement sur le vol de clés privées. Ici, l’attaquant a combiné une vulnérabilité technique récente et un accès opérationnel interne. Le résultat est l’un des plus importants volumes jamais détournés en une seule opération.

Les suites attendues de l’enquête

Binance a annoncé qu’un post-mortem technique détaillé serait publié une fois l’enquête interne terminée. Ce document devrait préciser le vecteur exact d’accès au conteneur de service, le niveau de privilèges obtenu et les mesures correctives déjà déployées.

Dans l’intervalle, la plateforme a renforcé ses contrôles d’adresses et ses systèmes de validation des retraits. La reprise progressive des services de sortie de fonds devait s’accompagner d’une surveillance accrue des mouvements suspects.

De leur côté, les autorités et les sociétés spécialisées dans le traçage des flux continuent de suivre les adresses liées à l’attaque. Le gel déjà effectué par les émetteurs de stablecoins constitue un premier filet. La récupération des actifs non gelés dépendra largement de la capacité à identifier les destinataires finaux et à obtenir des décisions judiciaires dans plusieurs juridictions.

Un rappel brutal pour toute l’industrie

L’histoire des cryptomonnaies est jalonnée d’incidents de sécurité. Celui-ci se distingue par l’utilisation d’un mécanisme encore peu éprouvé à grande échelle. EIP-7702 avait déjà donné lieu à des alertes. L’attaque contre Binance transforme ces alertes en réalité concrète et extrêmement coûteuse.

Pour les développeurs de protocoles, l’épisode souligne la nécessité de prévoir des garde-fous dès la conception. Pour les plateformes d’échange, il rappelle que la sécurité ne se limite pas à la protection des clés privées. L’ensemble de la chaîne opérationnelle doit être considéré comme un potentiel point d’entrée.

Enfin, pour les utilisateurs, le message reste double. D’un côté, la promesse de couverture par le SAFU et les réserves de Binance apporte une forme de réassurance. De l’autre, la sophistication de l’attaque montre que même les acteurs les mieux capitalisés restent exposés à des risques évolutifs.

Dans les semaines qui viennent, l’attention se portera sur deux éléments : la publication du post-mortem technique et l’évolution des montants réellement récupérés. Ces deux indicateurs diront si l’écosystème a tiré les leçons nécessaires ou s’il se contente de colmater une brèche temporaire. Pour l’instant, une chose est certaine : une simple autorisation a suffi à faire trembler l’une des plus grandes plateformes mondiales. Et cette leçon ne sera pas oubliée de sitôt.

Les prochains mois permettront de mesurer l’impact réel sur la confiance des utilisateurs et sur les pratiques de sécurité de l’ensemble du secteur. En attendant, Binance continue de travailler avec les autorités et les partenaires techniques pour retracer chaque flux et sécuriser durablement ses infrastructures. L’affaire n’est pas close. Elle ne fait que commencer à révéler toute sa complexité.