Propriété Des 6,3 Milliards Volés Sur Binance

Six milliards de dollars qui s’évaporent en une seule soirée. Quand un coffre-fort numérique se vide, la première question qui fuse est toujours la même : combien a-t-on perdu ? La seconde, bien plus embarrassante, reste trop souvent dans l’ombre : à qui appartenait réellement cet argent ? Depuis le piratage de Binance survenu jeudi soir, les comptes s’affolent de toutes parts. Presque personne ne s’interroge sérieusement sur la propriété exacte de ces fonds. Aux clients ? À la plateforme elle-même ? Aux émetteurs de stablecoins ? Ou désormais aux mains de ceux que l’on soupçonne d’agir depuis Pyongyang ?

La réponse se niche dans un contrat, dans des fichiers de preuves de réserves et dans le code même des jetons gelés. Nous avons plongé dans ces documents, croisé les chronologies et examiné les précédents judiciaires. Voici ce que l’on sait vraiment de la propriété de ces 6,3 milliards de dollars, et surtout qui risque de porter le fardeau final.

Le casse en une seule transaction : chronologie d’un vol éclair

Tout a commencé sans grand bruit, dès le mercredi. Un portefeuille anonyme retire à trois reprises 0,1 ETH depuis Tornado Cash, le mixeur préféré de ceux qui tiennent à effacer leurs traces. Quelques centaines de dollars à peine, de l’argent de poche numérique. Le lendemain, vers 17 heures, ce même portefeuille déploie un contrat intelligent. À ce moment-là, le hot wallet baptisé Binance 14 est déjà compromis.

Grâce à la fonction EIP-7702 d’Ethereum, qui permet à une adresse de déléguer ses commandes à un programme, le hot wallet obéit désormais aux ordres du pirate. Comment l’attaquant a obtenu la signature nécessaire demeure pour l’instant l’angle mort de l’enquête. À 21 h 16, les premiers mouvements suspects apparaissent sur Base et Optimism. Quatre minutes plus tard, 18 270 bitcoins quittent le hot wallet bitcoin de la plateforme. Puis, à 21 h 24, une unique transaction vide Binance 14 de 64 jetons différents. Le montant total de cette opération s’élève à 2,54 milliards de dollars.

Le pirate enchaîne immédiatement les échanges d’USDT contre de l’ether sur Uniswap et 1inch. À 22 h 14, Tether et Circle déclenchent enfin leurs premiers gels. Ironie du calendrier, Binance 14 reçoit encore 200,4 millions d’USDT dans la soirée. Le contrat du pirate les aspire aussitôt, et Tether les gèle à l’arrivée. Cette chronologie, reconstituée grâce aux outils d’analyse on-chain, tient en à peine une heure et demie.

Neuf blockchains vidées en une seule soirée

L’inventaire donne le vertige. Les traceurs spécialisés recensent près de 5,98 milliards de dollars sortis des hot wallets de Binance. En une soirée, neuf blockchains ont été touchées. Ethereum ouvre le bal avec 3,78 milliards de dollars, dont les 2,54 milliards provenant de Binance 14. Bitcoin suit avec 1,44 milliard, répartis en paquets de 1 000 BTC sur une vingtaine d’adresses neuves. Tron, Solana et Arbitrum arrivent ensuite, avec des montants allant de 32 à 628 millions de dollars chacun.

Rien d’exotique dans le panier. Ces portefeuilles servaient aux retraits quotidiens des utilisateurs. Vendredi après-midi, le pirate détenait encore principalement 1,76 milliard d’USDT et 825 millions d’USDC. Suivaient 1,4 milliard en bitcoin, 1,18 milliard en ether et 68 autres jetons. Le piège posé sur Binance 14 a d’ailleurs continué de fonctionner après le casse principal. Une seconde rafle a emporté une centaine de petits jetons, d’ARKM à CHZ, pour environ 38 millions de dollars supplémentaires.

Les cryptos en staking étaient-elles concernées ?

Pour l’essentiel, non. Un hot wallet sert à payer les retraits en quelques secondes. Les ethers stakés via Binance, eux, dorment dans des validateurs Ethereum. Pour en sortir, ils doivent passer par une file d’attente de retrait. Aucune signature volée ne permet de les vider en vingt minutes.

Le staking s’est pourtant glissé dans le butin par la petite porte. Lorsqu’un client stake ses ETH sur Binance, il reçoit du wBETH, un jeton qui représente son ether staké. Le pirate en a raflé 29 934, soit environ 74 millions de dollars. Mauvaise pioche pour lui : Binance émet ce jeton et l’a gelé elle-même. L’attaquant détient donc un reçu bloqué. Les ethers stakés restent, eux, dans les validateurs de la plateforme.

Les clients de Binance : propriétaires sur le papier

Revenons au point de départ. Binance 14 a perdu 167 464 ETH à 21 h 24 jeudi. Or cette adresse figure noir sur blanc dans le fichier de preuve de réserves du 1er octobre. Ce document liste les portefeuilles censés garantir les soldes des clients. Binance avait donc adossé ces ethers à sa dette envers ses utilisateurs, et non à sa propre trésorerie.

Le fichier compte 1 395 lignes. L’adresse 0x28c6…1d60 y revient 37 fois, une par actif, de 1INCH à USDT. La plateforme la classait donc elle-même parmi les réserves destinées aux clients. Le même jour, Binance déclarait 3 799 136 ETH dus à ses clients. Ses adresses en contenaient 3 799 139. La marge de sécurité tenait donc en trois ethers, autant dire presque rien. Le pirate en a emporté près de 200 000 depuis Binance 14 et Binance 16. La couverture de l’ether est alors tombée d’environ 100 % à 94 %.

Le bitcoin suit la même pente. Le rapport affichait 691 004 BTC détenus pour 688 573 BTC dus, soit 2 431 BTC d’avance. Les 18 270 BTC volés jeudi effacent cette avance plus de sept fois. Sur la base du 1er octobre, le ratio tomberait autour de 97,7 %. Ces soldes concernent aussi des lecteurs français. Depuis le 1er juillet, Binance ne leur permet plus d’acheter ni de déposer. Ceux qui ont laissé des cryptos sur la plateforme les retrouvent malgré tout dans ces réserves, en mode retrait seul.

Binance 14 était un hot wallet, le tiroir-caisse de la plateforme, dont la clé reste branchée sur internet pour traiter dépôts et retraits. Ce vendredi matin, l’adresse ne contenait plus que 0,8 ETH.

Un contrat qui place les cryptos en fiducie

Vient alors la question qui fâche. À qui appartenaient réellement ces fonds ? Les conditions d’utilisation en vigueur depuis le 5 janvier 2026 répondent avec une précision rare. Les cryptos des clients sont gardées par Nest Clearing and Custody Limited (NCCL), une entité basée à Abu Dhabi. Selon la clause 8.2 du contrat, NCCL « détient les actifs pour vous en qualité de trustee ».

Le contrat accorde au client « un droit individuel, sous la forme d’un intérêt bénéficiaire » sur la quantité inscrite à son compte. Les jetons dorment dans des portefeuilles omnibus « détenus en fiducie ». Les 6,3 milliards volés appartenaient donc aux clients, par parts proportionnelles.

NCCL détient les actifs pour vous en qualité de trustee. Vous disposez d’un droit individuel sous forme d’intérêt bénéficiaire sur la quantité inscrite à votre compte.

Conditions d’utilisation de Binance, clause 8.2

Il faut toutefois lire la phrase jusqu’au bout. Ce statut de trustee vaut « sous réserve et conformément » aux termes du contrat. Pour le reste, NCCL « n’agit pas en tant que trustee ou fiduciaire ». La fiducie protège donc les avoirs des créanciers de NCCL en cas de faillite. Elle ne dit rien, en revanche, de qui bouche le trou après un vol.

La comparaison avec Celsius s’impose. Le 4 janvier 2023, un juge américain a attribué à Celsius les 4,2 milliards de dollars des comptes Earn. Les conditions de cette plateforme transféraient en effet « le titre et la propriété » des actifs à l’entreprise. Ses 600 000 déposants sont alors devenus de simples créanciers ordinaires. Chez Binance, le texte dit exactement l’inverse.

Une fiducie sans assurance contre le vol

Le reste du contrat refroidit pourtant l’enthousiasme. La clause 18.2 précise que Binance « n’est pas tenue d’assurer les actifs numériques ». La page 3 prévient aussi que « vous pouvez subir une perte en cas de cyberattaque ». Enfin, la clause 8.4.2 autorise à prélever les frais d’une liquidation sur les actifs en fiducie, « au prorata ».

La couverture intégrale des pertes promise par les dirigeants, via le fonds SAFU et les fonds propres, relève donc de l’engagement commercial. Le contrat ne l’impose nulle part. Si Binance tient parole, la perte des clients deviendra celle de l’entreprise. Elle l’avait déjà fait en 2019 pour 7 000 bitcoins, et d’autres plateformes ont suivi le même chemin dans des affaires plus récentes.

Stablecoins gelés : propriété des victimes et pouvoir des émetteurs

Passons aux stablecoins, le plus gros tas et le plus facile à geler. Tether a bloqué plus de 1,57 milliard d’USDT et Circle plus de 800 millions d’USDC. D’autres émetteurs ont suivi le mouvement. Le total atteint ainsi environ 2,8 milliards de dollars selon les bilans publiés vendredi.

Le pirate le savait très bien. Dès les premières minutes, il a envoyé 500 millions de dollars de stablecoins vers un portefeuille d’échange. En moins de vingt minutes, il en a converti 325 millions en ether. Les premiers gels sont tombés à 22 h 14. Course contre la montre classique : un stablecoin se bloque, un ether non.

Ces jetons gelés restent sur les adresses du pirate. Un gel n’est en effet qu’une inscription sur la liste noire du contrat de l’émetteur. Chez Tether, l’étape suivante s’appelle destroyBlackFunds. Cette fonction remet le solde à zéro et réduit d’autant l’offre totale. Seul le multisig de Tether peut la déclencher, et non un juge ou Binance.

Vient ensuite la réémission, vers une adresse désignée par un tribunal ou vers la victime vérifiée. Les délais entre le gel et la destruction oscillent généralement entre six et dix-huit mois dans les affaires civiles. Tether se réserve en plus des frais pouvant aller jusqu’à 10 % du montant, à sa seule discrétion.

Les 1,57 milliard gelés ont donc un propriétaire légitime : la fiducie des clients de Binance. Ils ont aussi un possesseur qui ne peut plus rien en faire et un arbitre privé qui fixe seul le calendrier. Une partie de ces stablecoins a même changé de mains avant le gel. Le pirate avait déposé des USDT volés sur Aave pour emprunter 20 000 WETH, soit 44 millions de dollars. Aave se retrouve alors avec une garantie gelée face à un prêt qui ne sera jamais remboursé. Si Tether détruit ces USDT pour les rendre à Binance, le trou passera chez les déposants d’Aave. Seul un accord entre les deux parties l’éviterait.

Même logique sur Arbitrum, dont le Security Council a gelé dans la nuit 74,56 millions d’ARB et 8 426 ETH. Douze personnes ont tranché, et les détenteurs d’ARB voteront ensuite sur leur sort.

Bitcoin et ether volés : propriété des clients, possession nord-coréenne

Le dernier tas n’a aucun bouton d’arrêt. Les analystes évaluent à 2,4 milliards de dollars les actifs hors de portée de tout émetteur. On y trouve les 18 270 bitcoins répartis sur 19 portefeuilles et plus de 420 000 ethers.

Sur ce point, le droit est clair dans la plupart des pays. Un vol ne transfère pas la propriété. Une cour suprême asiatique l’a d’ailleurs rappelé récemment en jugeant que le bitcoin est un bien que l’on peut voler. Ces bitcoins appartiennent donc toujours à la fiducie des clients de Binance.

Ils sont simplement entre les mains d’un groupe que plusieurs sociétés de traçage désignent avec un haut niveau de confiance comme une unité nord-coréenne. Les analystes ont observé en temps réel des fonds volés à Binance se mêler à ceux d’un exploit précédent déjà attribué à Pyongyang. Sur les 5,8 milliards de dollars détenus par l’attaquant, les USDT et USDC sont gelés. Les bitcoins et ethers restent libres de circuler.

Propriété et possession vont donc vivre séparées longtemps. Dans l’affaire Bybit, seuls 40 millions de dollars avaient pu être gelés sur 1,5 milliard volé, soit moins de 3 %. Pyongyang ne rend jamais l’argent. Il le blanchit par petites tranches, avec une patience d’horloger. Jusqu’ici, les 18 270 BTC n’ont pas bougé d’un satoshi.

Clients français de Binance : comptes en retrait seul et protection hors MiCA

Un dernier détail concerne directement les lecteurs français, et il n’a rien d’anecdotique. Binance n’a pas obtenu d’agrément MiCA. À la fin de la période transitoire, le 1er juillet 2026, la plateforme a donc coupé ses services aux résidents français. Ordres au comptant, dépôts, staking et Simple Earn ont fermé boutique. Le lendemain, l’AMF a radié d’office Binance France SAS de la liste des PSAN.

Seuls les retraits sont encore possibles, et Binance assure que les actifs restent « accessibles à tout moment ». Un résident français ne devrait donc plus détenir de cryptos chez Binance que par inertie, sur un compte figé. Ces soldes dorment pourtant dans les mêmes portefeuilles omnibus et dans la même fiducie. Le vol les touche ainsi comme ceux des autres clients.

Ailleurs dans l’Union, Binance sert encore des clients depuis Abu Dhabi grâce à la « sollicitation inversée », un régime que plusieurs régulateurs nationaux examinent de près. Pour un client français resté chez Binance, la protection repose donc sur le droit des trusts d’Abu Dhabi et sur la parole des dirigeants de la plateforme.

MiCA aurait pourtant tranché net. Son considérant 83 vise toute perte, « y compris une cyberattaque ou un vol », et son article 75 en fait une obligation à hauteur de la valeur de marché des actifs. Le client d’une plateforme agréée en France n’aurait donc pas attendu un message sur les réseaux pour savoir qui paie.

Le cas particulier des Français expatriés

Pour MiCA comme pour Binance, c’est le pays de résidence qui compte, pas le passeport. Un Français installé hors de l’Union, à Dubaï par exemple, relève des règles de son pays d’accueil. Il peut alors continuer à utiliser la plateforme si elle y est autorisée. Un expatrié installé ailleurs dans l’Union dépend en revanche du régime de ce pays, avec les mêmes incertitudes.

Binance publiera son prochain rapport de preuve de réserves le 1er novembre. Il dira si l’ether est revenu de 94 % à 100 %, autrement dit si la plateforme a comblé sur son propre bilan la perte de ses clients.

Ce que révèle vraiment cette affaire sur la propriété des cryptos

Au-delà des chiffres, ce piratage met en lumière une réalité souvent occultée. Sur le papier, les clients de Binance restent propriétaires de leurs actifs grâce au mécanisme de fiducie. En pratique, la possession et la capacité de récupérer ces fonds dépendent d’une série d’acteurs privés : les émetteurs de stablecoins, les équipes de sécurité des blockchains, et bien sûr la plateforme elle-même.

Les stablecoins gelés illustrent parfaitement cette dualité. Leur propriétaire légitime reste la fiducie des clients. Leur sort effectif dépend cependant d’une décision privée de Tether ou de Circle. Les bitcoins et les ethers, eux, appartiennent toujours aux clients sur le plan juridique, mais se trouvent entre les mains d’acteurs qui n’ont aucune intention de les restituer.

Cette séparation entre propriété et possession n’est pas nouvelle. Elle apparaît dans chaque grand piratage. Ce qui change ici, c’est l’ampleur et la clarté relative des documents contractuels. Binance a choisi de ranger explicitement les actifs clients dans une fiducie. Celsius avait fait l’inverse. Le résultat, en cas de problème, n’est pas le même.

Les leçons pour les utilisateurs de plateformes centralisées

Plusieurs enseignements se dégagent de cette affaire. Premier point : les preuves de réserves constituent un outil utile, mais elles ne protègent pas contre un vol. Elles permettent seulement de mesurer l’ampleur du trou après coup. Deuxième point : le statut juridique des fonds détenus sur une plateforme varie considérablement d’un acteur à l’autre. Lire les conditions d’utilisation reste indispensable, même si c’est fastidieux.

Troisième point : les stablecoins offrent une voie de récupération partielle grâce aux mécanismes de gel, mais cette voie reste longue et soumise à la discrétion des émetteurs. Quatrième point : les bitcoins et les ethers non gelables constituent le butin le plus dangereux, car leur récupération dépend presque exclusivement de la traçabilité et de la coopération internationale.

Enfin, pour les clients français, l’absence d’agrément MiCA laisse un vide réglementaire. La protection repose sur un contrat de droit émirati et sur la volonté commerciale de la plateforme de couvrir les pertes. Ce n’est pas négligeable, mais ce n’est pas non plus une garantie légale de niveau européen.

Perspectives à court et moyen terme

Dans les semaines qui viennent, l’attention se portera sur trois points. D’abord, le prochain rapport de preuve de réserves. S’il montre un retour à 100 % de couverture, cela signifiera que Binance a décidé de combler le trou avec ses propres fonds. Ensuite, le sort des stablecoins gelés. Les délais habituels laissent penser que plusieurs mois s’écouleront avant toute réémission. Enfin, le mouvement des bitcoins et des ethers. S’ils restent immobiles, cela confirmera la stratégie habituelle des groupes nord-coréens : attendre et blanchir progressivement.

Sur le plan réglementaire, cette affaire pourrait accélérer les discussions autour de la sollicitation inversée et du statut des plateformes opérant depuis des juridictions hors Union européenne. Pour les clients restés sur Binance malgré la radiation en France, la situation reste celle d’un compte en mode retrait seul, exposé aux mêmes risques que tous les autres utilisateurs de la plateforme.

Au final, les 6,3 milliards de dollars volés appartenaient bien aux clients, par le biais de la fiducie. Une partie importante de ces fonds a été gelée et pourrait un jour revenir. Une autre partie, principalement en bitcoin et en ether, restera longtemps hors de portée. Entre ces deux réalités se joue la différence entre propriété juridique et possession effective, une distinction que le monde de la crypto continue d’apprendre à ses dépens.

Cette affaire rappelle aussi que la confiance dans une plateforme centralisée repose autant sur sa solidité financière que sur la clarté de ses engagements contractuels. Lorsque le contrat place les actifs en fiducie, les clients partent avec un avantage juridique. Lorsque la plateforme s’engage publiquement à couvrir les pertes, cet avantage se transforme potentiellement en restitution. Mais tant que les fonds n’ont pas été récupérés ou remplacés, la propriété reste théorique pour une part non négligeable du butin.

Les prochains mois diront si Binance transforme sa promesse en réalité comptable. Le rapport du 1er novembre apportera une première réponse. Les décisions de Tether et de Circle sur les stablecoins gelés en apporteront une seconde. Quant aux bitcoins et aux ethers, ils continueront sans doute de dormir sur leurs adresses, témoins silencieux d’un vol dont la propriété juridique ne fait presque aucun doute, mais dont la récupération effective reste un défi de très longue haleine.