Binance victime du plus gros piratage crypto de l'histoire : 6,3 milliards de dollars volés

Un ordinateur portable d'ingénieur DevOps compromis. Un accès à un service interne. Des retraits non autorisés sur dix blockchains en une vingtaine de minutes. Binance confirme l'incident elle-même — et deux cabinets d'analyse blockchain indépendants pointent vers la Corée du Nord.

30 octobre 2026 · Équipe SunuCyberSecurity · Mis à jour le 1er novembre 2026

Sources : CoinDesk, CNBC, Cybernews, Forbes, Yahoo Finance — détail en fin d'article. La situation évolue rapidement.

Le 29 octobre 2026, Binance, la plus grande plateforme d'échange de cryptomonnaies au monde en volume, a été exploitée pour plus de 6 milliards de dollars — ce qui en fait, selon plusieurs experts cités par CoinDesk, le plus important vol de cryptomonnaies jamais enregistré. L'exchange a lui-même estimé l'impact total de l'incident à environ 6,3 milliards de dollars et a suspendu les retraits dans la foulée, en attendant la résolution du problème.

Comment le piratage a eu lieu

Selon la propre enquête préliminaire de Binance, l'incident proviendrait d'un ordinateur portable compromis appartenant à un ingénieur DevOps. Ce compromis aurait permis à l'attaquant d'accéder à un « service container » interne et de soumettre des transactions de retrait non autorisées. Point important souligné par Binance : aucune preuve d'une fuite des clés privées des portefeuilles n'a été trouvée — l'attaque semble donc être passée par un accès système plutôt que par un vol de clé cryptographique.

C'est un schéma d'attaque qui mérite d'être pris au sérieux au-delà du monde crypto : un poste de travail individuel compromis qui ouvre, par ricochet, un accès à une infrastructure critique capable d'exécuter des actions financières irréversibles. Le point de défaillance n'est pas la blockchain elle-même, mais la frontière entre un terminal utilisateur et les systèmes internes qu'il peut atteindre.

L'ampleur du vol — des chiffres qui varient, un ordre de grandeur qui ne varie pas

Comme pour beaucoup d'incidents de cette ampleur analysés en temps réel, les chiffres diffèrent légèrement selon la méthode et la source — sans remettre en cause l'ordre de grandeur. Binance parle de 6,3 milliards de dollars d'impact total. La société d'analyse blockchain Chainalysis évalue le vol à environ 5,9 milliards de dollars au moment des faits. TRM Labs, de son côté, chiffre à environ 6,36 milliards de dollars les sorties de fonds constatées sur dix blockchains différentes, l'essentiel du vol s'étant déroulé en seulement une vingtaine de minutes. Selon Arkham Intelligence, les portefeuilles du pirate ont à un moment détenu plus de 5,7 milliards de dollars en cryptoactifs divers : près de 1,5 milliard en bitcoin, 900 millions en ether, environ 1,5 milliard en USDT et plus de 800 millions en USDC.

Rapporté aux quelque 144 milliards de dollars d'actifs détenus par Binance avant l'incident (selon DefiLlama), le vol représenterait environ 4 % des avoirs de la plateforme.

La course contre le temps pour geler les fonds

Dès les premières heures, Binance a annoncé avoir déjà fait geler environ 3 milliards de dollars d'actifs, dont 2,3 milliards de dollars en stablecoins USDT et USDC combinés — une action rendue possible par le fait que ces jetons ont un émetteur centralisé capable de bloquer des transferts. Tether (Paolo Ardoino) a confirmé avoir gelé plus de 1,57 milliard de dollars en USDT liés à l'incident, et Circle (Jeremy Allaire) plus de 800 millions de dollars en USDC.

L'attaquant, de son côté, cherche visiblement à échapper à ces gels en déplaçant les fonds vers des actifs décentralisés, sans émetteur central capable de les bloquer : des mouvements via la plateforme d'échange décentralisée Uniswap ont été repérés, ainsi qu'un emprunt d'environ 44 millions de dollars en wrapped ether (WETH) via le protocole de prêt Aave, en utilisant de l'USDT volé comme garantie. Une partie du bitcoin dérobé — environ 1,4 milliard de dollars selon un suivi ultérieur — aurait aussi été répartie sur 19 portefeuilles distincts pour compliquer tout gel ou traçage.

Qui est derrière l'attaque

Plusieurs enquêteurs indépendants convergent vers la même origine, sans utiliser exactement le même nom de groupe — une nuance qu'il faut garder à l'esprit plutôt que de la lisser en une seule étiquette. La société de sécurité Blockaid (son PDG Ido Ben-Natan cité par CoinDesk) estime que « le niveau de sophistication observé jusqu'ici est cohérent avec les opérations habituelles de la Corée du Nord ». TRM Labs affirme avoir retracé l'attaque jusqu'à TraderTraitor, un groupe de pirates nord-coréen d'élite, avec un niveau de confiance qu'elle qualifie d'élevé. L'enquêteur blockchain reconnu ZachXBT, lui, désigne plus spécifiquement le Lazarus Group — le groupe de hackers étatique nord-coréen déjà associé à de nombreux vols de cryptomonnaies — comme l'attaquant le plus probable.

Ce n'est pas un coup isolé pour l'écosystème : le même mois de septembre 2026, l'exchange Bitget avait déjà subi un vol de plus de 350 millions de dollars, et Chainalysis affirme avoir repéré des fonds issus de cet incident se mélanger à ceux du piratage Binance — un signe que les mêmes acteurs (ou des acteurs liés) opèrent en continu contre plusieurs cibles du secteur.

Le FBI confirme officiellement l'attribution à TraderTraitor

Le 1er novembre 2026, le FBI, conjointement avec le Secret Service (USSS) et l'IRS Criminal Investigation (IRS-CI), a officiellement attribué le vol à TraderTraitor — un groupe de pirates d'élite affilié à la Corée du Nord, également suivi sous les noms Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces et UNC4899, actif depuis au moins 2020. C'est un changement de nature, pas seulement de degré : la section précédente relatait des estimations de cabinets d'analyse privés (TRM Labs, ZachXBT) ; il s'agit désormais d'une attribution officielle de trois agences fédérales américaines.

Les agences indiquent avoir observé l'attaquant convertir l'essentiel des actifs volés en Ethereum (ETH), en vue d'un blanchiment ultérieur via des services DeFi et d'échange instantané. Le FBI a publié une liste d'adresses de portefeuilles utilisées dans cette phase de blanchiment, destinée à aider les plateformes et exchanges à bloquer les fonds concernés. Un nouveau total de fonds gelés a été communiqué : 2,85 milliards de dollars, répartis entre Tether, Circle, Ripple, Arbitrum et Optimism — un chiffre proche de l'estimation initiale de Binance (~3 Md$) mais mesuré séparément, par des émetteurs différents.

Côté exploitation, Binance a annoncé la reprise de la phase 1 des retraits, débutée le 1er novembre entre 6h et 9h UTC, après avoir complété ses vérifications de sécurité. Les dépôts n'ont jamais été affectés par l'incident.

Pour resituer la menace : des rapports de Microsoft, SentinelOne et Zscaler ThreatLabz montrent que TraderTraitor continue d'affiner ses méthodes au-delà du vol de cryptoactifs — notamment via des fournisseurs Terraform piégés comme vecteur de diffusion de malwares multiplateformes, et des approches de recrutement factice assistées par IA (faux profils, fausses sociétés) pour cibler des professionnels de la cybersécurité, de l'IA et de la blockchain. Le même acteur qui a visé Binance est documenté comme menant, en parallèle, des campagnes d'ingénierie sociale ciblées — une confirmation supplémentaire qu'il s'agit d'un groupe étatique structuré, pas d'un acteur opportuniste isolé.

Les fonds des utilisateurs sont-ils en sécurité ?

La co-PDG de Binance, Yi He, a annoncé sur X que la plateforme couvrirait l'intégralité des pertes liées au piratage, en s'appuyant sur le SAFU (Secure Asset Fund for Users), un fonds de réserve créé en 2018 spécifiquement pour ce type de scénario et qui détenait environ 1 milliard de dollars en bitcoin, complété par les fonds propres de l'entreprise. Changpeng Zhao (CZ), fondateur de Binance — qui ne dirige plus l'exchange au quotidien — a lui aussi affirmé publiquement que les fonds des utilisateurs étaient en sécurité, précisant qu'en tant qu'actionnaire, il s'attendait à ce qu'ils soient intégralement couverts.

L'annonce a tout de même fait trembler les marchés : le bitcoin a chuté de près de 5 % sous les 77 000 $, l'ether a perdu environ 5,7 %, et le token BNB a reculé de 8 % le jour de l'annonce.

Pourquoi ça compte pour l'Afrique francophone

Binance est l'une des plateformes d'échange de cryptomonnaies les plus utilisées en Afrique francophone, notamment pour le trading et les transferts transfrontaliers dans des contextes où l'accès aux devises étrangères est parfois contraint. La suspension mondiale des retraits touche donc aussi, concrètement, des utilisateurs de la région — pas seulement les marchés occidentaux où l'incident fait les gros titres.

Mais la leçon de fond dépasse largement le monde crypto : un seul poste de travail compromis — celui d'un ingénieur, pas d'un dirigeant — a suffi à exposer plusieurs milliards de dollars d'actifs. C'est exactement le type de risque qu'affronte n'importe quelle organisation qui laisse un accès interne critique joignable depuis un terminal utilisateur insuffisamment cloisonné, qu'elle manipule des cryptoactifs ou non.

Les leçons de sécurité à en tirer

Sources et méthodologie

CoinDesk (déclaration officielle de Binance, chiffres Arkham/Chainalysis, citations Blockaid/TRM Labs/ZachXBT, mouvements Uniswap/Aave) · CNBC · Cybernews (attribution Corée du Nord) · Forbes (mécanisme technique) · Yahoo Finance · The Hacker News (attribution officielle FBI/USSS/IRS-CI du 1er novembre 2026, rapports Microsoft/SentinelOne/Zscaler ThreatLabz). Incident confirmé publiquement par Binance le 29 octobre 2026. Données initiales au 30 octobre 2026, mises à jour le 1er novembre 2026 avec l'attribution officielle du FBI — la situation évolue encore ; nous mettrons à jour cet article si des faits significatifs changent.

À lire aussi

Vérifiez votre propre exposition

Un scan gratuit, en quelques minutes, sans carte bancaire.