Binance, la plus grande plateforme de crypto-monnaies au monde, victime du vol le plus important de l’histoire

Le 29 octobre 2026, Binance a annoncé avoir détecté des retraits non autorisés massifs depuis sa plateforme. L’échange a suspendu l’ensemble des opérations, dépôts, retraits et trading, tandis que ses équipes tentaient de contenir la brèche. Les premières estimations faisaient état de 6,3 milliards de dollars dérobés, une somme qui dépasse de loin le précédent record de 1,5 milliard volé sur Bybit en février 2025.

L’enquête interne a rapidement orienté les soupçons vers un ordinateur portable appartenant à un ingénieur DevOps de l’entreprise. Cet appareil compromis a permis aux attaquants d’accéder à un conteneur de service et de soumettre des transactions de retrait frauduleuses. En l’espace de vingt minutes, les fonds ont été dispersés sur onze blockchains différentes, dont 82 % sur Ethereum et Bitcoin. La rapidité d’exécution suggère une préparation minutieuse et une connaissance approfondie de l’infrastructure cible.

Le Federal Bureau of Investigation a confirmé le 1er novembre l’implication de TraderTraitor, un groupe de pirates nord-coréens également suivi sous les noms de Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces et UNC4899. Cette attribution officielle fait suite aux analyses des sociétés de renseignement blockchain TRM Labs et Chainalysis, qui avaient identifié les signatures techniques caractéristiques de ce groupe dès les premières heures. Le FBI a publié une liste de 628 adresses de portefeuilles utilisées pour le blanchiment, dont 608 sur Ethereum, dix-neuf sur Bitcoin et une sur Solana.

Les observateurs notent que cette attaque s’inscrit dans un schéma récurrent. Depuis 2020, TraderTraitor a été lié au vol de 387,5 millions chez Bitget en septembre 2026, 280 millions chez Drift en avril 2026, 1,5 milliard chez Bybit en février 2025 et 308 millions chez DMM Bitcoin en mai 2024. Le mode opératoire privilégie l’ingénierie sociale : les pirates se font passer pour des recruteurs, approchent des développeurs ou des employés de sociétés crypto lors de conférences ou via LinkedIn, et les incitent à exécuter du code malveillant déguisé en test technique.

Une évolution récente inquiète les spécialistes : l’utilisation de fournisseurs Terraform piégés comme vecteur de distribution. Ces composants légitimes, une fois compromis, délivrent un chargeur Bash qui sélectionne et télécharge un malware adapté au système d’exploitation de la victime, macOS, Linux ou Windows. L’implant multiplateforme FLATROOF exfiltre alors les données sensibles avant de déployer la porte dérobée ROOFDECK pour un contrôle total. L’intelligence artificielle serait désormais employée pour affiner les leurres, créer de faux profils et échapper à la détection.

Du côté de Binance, la réponse s’est voulue rassurante. La plateforme affirme avoir réservé plus de 6,34 milliards de dollars de fonds propres pour couvrir l’intégralité des pertes, dont 5 milliards déjà détenus dans les jetons concernés. Les stablecoins Tether (USDT) et USD Coin (USDC) ont gelé environ 2,85 milliards d’actifs volés sur leurs chaînes respectives, limitant la capacité des attaquants à convertir leur butin. Binance a annoncé la reprise progressive des retraits à partir du 1er novembre, tout en maintenant une surveillance renforcée.

Cet épisode rappelle la vulnérabilité structurelle des échanges centralisés, dont la sécurité repose in fine sur l’intégrité de quelques postes de travail privilégiés. Il illustre aussi la professionnalisation croissante des groupes étatiques nord-coréens, qui transforment le vol de crypto-actifs en une source de revenus stratégique pour le régime. La coopération internationale entre forces de l’ordre, acteurs privés et plateformes de blocage d’adresses reste, pour l’instant, la seule parade efficace.

Sources : BleepingComputer, The Hacker News, The Register, Ars Technica