Cyberattaque contre Binance: comment des pirates ont dérobé pour 6,3 milliards de dollars d'actifs numériques à la première plateforme mondiale de cryptomonnaies
Dans la soirée du 29 octobre, le géant des cryptomonnaies a été victime d'une cyberattaque massive. Menant son enquête sur cet incident, la plateforme a déjà révélé de premiers indices, parlant d'un ordinateur…
La nuit n'a pas été de tout repos pour Binance. Elle a même été très agitée pour le géant des cryptomonnaies (et même première place mondiale en matière de volume d'échange au comptant), victime d'une cyberattaque dans la soirée du 29 octobre. Au total, 6,3 milliards de dollars en actifs numériques se seraient envolés.
La plateforme mène depuis l'enquête pour faire la lumière sur cet incident, multipliant les annonces sur les réseaux sociaux ces dernières heures. "Notre enquête préliminaire laissait penser que cet incident de sécurité pouvait être lié à la compromission d'un ordinateur. Cependant, nos investigations suivantes ont révélé des points de brèche supplémentaires", a-t-elle révélé sur X, dans un effort de transparence nécessaire.
"Il s'agissait d'une attaque complexe", a poursuivi l'entreprise. Mais comment Binance a-t-elle pu subir cette cyberattaque massive. Explications.
Point d'intrusion Comme la plateforme l'avait expliqué au départ sur le réseau social d'Elon Musk, tout serait parti d'un ordinateur portable appartenant à un ingénieur DevOps (contraction de "développement logiciel" et "opérations informatiques") qui a été compromis. Cela "a permis à un attaquant d'accéder à un conteneur de service et de soumettre des transactions de retrait non autorisées", a écrit l'entreprise. Ce mode opératoire est d'ailleurs l'un des signes poussant des sociétés d'analyse de la blockchain comme Chainalysis et TRM Labs à attribuer la cyberattaque au groupe de hackers nord-coréens "TraderTraitor", aussi connu sous le nom de "Lazarus".
Il est connu pour avoir ciblé "à maintes reprises le secteur des cryptomonnaies (... ) ainsi que les investisseurs, afin de collecter des fonds pour le régime", rappelle Chainalysis dans ses premières conclusions liées à l'incident de Binance. Le FBI lui a d'ailleurs attribué le piratage de la plateforme de cryptomonnaies Bybit en février 2025, avec 1,5 milliard de dollars dérobés.
L'agence fédérale américaine avait à l'époque précisé dans un avis de cybersécurité que l'une des tactiques du groupe pour s'introduire dans les systèmes des entreprises de cryptomonnaies était d'envoyer un "grand nombre de messages d'hameçonnage ciblé" à leurs employés. Pas n'importe quel salarié, mais ceux occupant souvent des postes en administration système ou en DevOps, avait-elle spécifié. Donc acte.
C'est ce qui s'est passé avec Binance. "Il y a une longue phase de prise d'information, pour savoir qui a accès à quoi et ensuite cibler les personnes identifiées comme permettant de rentrer dans le système", nous explique Renaud Lifchitz, directeur scientifique du cabinet de conseil en cybersécurité Holiseum. L'ingénieur qui a été piégé par le groupe de hackers nord-coréens est en charge de l'infrastructure interne de la plateforme de cryptomonnaies.
Seule la rédaction BFM Business rapporte cette information pour l’instant. Elle reste « source unique » tant qu’une autre rédaction ne l’a pas confirmée.
Méthode : les dépêches sont regroupées d’après les mots de leur titre et de leur résumé ; chaque rédaction compte une fois ; les chiffres sont lus tels que publiés. Rien ici n’est rédigé par une IA.
Il dispose ainsi d'un accès permettant de contrôler ce qu'on appelle les portefeuilles chauds, indique l'expert en cybersécurité et en cryptomonnaies. "Les plateformes séparent toujours leurs fonds entre portefeuilles chauds et portefeuilles froids. Les portefeuilles chauds sont connectés à internet, ce qui permet de faire des dépôts et des retraits sur la plateforme.
Les portefeuilles froids sont des fonds qui ne sont actuellement pas actifs, qu'on décommissionne et qu'on déconnecte d'internet pour les sécuriser", détaille-t-il. Et ce sont évidemment les premiers qui ont été vidés. Une attaque complexe Les hackers, une fois entrés dans le système de Binance, ont utilisé diverses techniques complexes pour parvenir à leurs fins.
Preuve qu'il ne s'agit pas d'un groupe amateur, insiste Renaud Lifchitz. Pour commencer, un portefeuille a été provisionné quelques jours avant le piratage. Car "pour initier une attaque, il faut avoir des fonds initiaux, notamment avoir du gaz (frais à payer, NDLR) pour faire les transactions", fait savoir l'expert en cybersécurité et en cryptomonnaies.
Les personnes derrière ce portefeuille ont alors utilisé le service de mixage Tornado Cash, qui permet d'anonymiser les transactions, pour le provisionner. "C'est le mixeur le plus utilisé par les groupes actifs en Corée du Nord de type Lazarus", pointe Renaud Lifchitz. Il est donc impossible de savoir d'où proviennent les fonds initiaux.
Les pirates ne se sont pas arrêtés là dans leur stratagème. "L'attaquant n'a pas simplement utilisé les autorisations d'un seul ingénieur, et il ne s'agissait pas d'une action unique de type 'un clic'", a souligné Richard Teng, co-PDG de Binance sur X. Plus précisément, ils ont profité d'une mise à jour de la plateforme Ethereum remontant à mai 2025.
Avec elle est arrivée une fonction baptisée "EIP-7702", qui permet d'avoir un portefeuille se comportant comme un "smart contract" ("contrat intelligent", en français). Il s'agit d'un programme informatique autonome stocké sur une blockchain qui s'exécute automatiquement dès que des conditions spécifiques sont remplies. "Cette fonction a été exploitée dans l'attaque, permettant de réutiliser une autorisation pour faire plusieurs prélèvements sans avoir à signer chaque prélèvement", explique l'expert en cybersécurité et en cryptomonnaies.
Les pirates se sont également montrés malins dans les fonds qu'ils ont dérobés sur plusieurs blockchains (Ethereum... ). "Parmi les fonds qui ont été volés, il y a des jetons et des cryptoactifs natifs de blockchain", relève le directeur scientifique d'Holiseum.
Une distinction importante car les premiers sont ce qu'on appelle des contrats intelligents. Or, à la différence des seconds, ils peuvent être gelés à distance, grâce à un "kill switch". Concrètement, l'émetteur d'un jeton peut geler des fonds sur un compte en cas de vol.
C'est d'ailleurs ce qui s'est passé avec la cyberattaque de Binance. Le patron de Tether, qui émet le stablecoin le plus utilisé au monde (USTD), a annoncé dans la soirée du 29 octobre avoir gelé pour environ 1,6 milliard de ces actifs. De même, Circle, qui supervise la cryptomonnaie USDC, a immobilisé environ 800 millions de dollars.
Les cryptoactifs natifs de blockchain, à l'image du bitcoin, ne peuvent, eux, pas être gelés à distance. Et les pirates en ont profité. "Ils ont déposé une garantie de fonds gelés juste avant qu'ils ne soient gelés pour emprunter, via des systèmes de prêt, des fonds qui ne sont pas gelables", relate Renaud Lifchitz.
Quels risques pour les utilisateurs? Ainsi les hackers sont parvenus à leurs fins, avec un préjudice estimé à 6,3 milliards de dollars. Binance a cependant rapidement assuré avoir gelé la moitié de ces fonds pour éviter un vol massif.
Le géant des cryptomonnaies a depuis enchaîné les messages contradictoires à propos des fonds déposés par les clients. Après avoir affirmé qu'ils étaient "totalement à l'abri", il s'est engagé à couvrir "toutes les pertes". "Binance a commencé à récupérer les actifs concernés pour les utilisateurs et continue de collaborer avec les forces de l'ordre, les émetteurs, les sociétés d'analyse de la blockchain et les partenaires de l'industrie pour tracer, geler et récupérer des fonds supplémentaires", a déclaré la plateforme ce 30 octobre.
Mais que risquent vraiment ses clients? Un des dangers vient du gel des fonds. "En théorie, si x% des fonds ont été gelés sur Binance, les utilisateurs risquent d'être ponctionnés de ces x%.
(... ) C'est un peu comme être actionnaire et avoir une dépréciation des actifs d'une entreprise, donc tout le monde est affecté du même pourcentage", explique Renaud Lifchitz. Mais l'entreprise s'est engagée à rembourser ses clients, notamment avec le SAFU (Fonds d'Actifs Sécurisé pour les Utilisateurs).
Ce dernier a été créé en juillet 2018 pour protéger les actifs des clients en cas d'incidents affectant la plateforme. "En 2026, le fonds SAFU se compose de cryptoactifs évalués à environ un milliard de dollars, détenus intégralement en bitcoins", certifie la société sur une page dédiée et qui a été mise à jour le 13 octobre. "Ce fonds pourrait servir à absorber une partie de l'indemnisation", comme l'indique l'expert en cybersécurité et en cryptomonnaies.
Et pour le reste? Dans son dernier message, la plateforme certifie qu'elle utilisera aussi ses propres fonds pour rembourser les clients. "Binance a déjà réservé plus de 6,34 milliards de dollars de fonds propres pour couvrir cet incident", a-t-elle écrit.
"Ces chiffres n'incluent pas les actifs gelés ou protégés, qui restent soumis à une récupération et une vérification en cours", a-t-elle ajouté. En attendant, les utilisateurs ont cependant la possibilité de récupérer ceux qui ont été gelés par les émetteurs. "Quand on gèle des USDT, on peut demander à Tether d'obtenir les vrais dollars derrière ces jetons gelés puisqu'ils ne peuvent pas être réclamés deux fois.
On est donc certains qu'ils sont échangeables après avoir été gelés", soutient le directeur scientifique d'Holiseum. Mais alors que Binance n'a pas encore fait toute la lumière sur cette cyberattaque massive, ses clients devront faire preuve de patience avant de pouvoir récupérer l'intégralité de leurs fonds.
