Le piratage de Binance a permis des retraits non autorisés estimés à 6,3 milliards de dollars. La plateforme, qui permet à ses clients d’acheter, de vendre et de conserver des cryptomonnaies, est la plus importante du secteur. Selon Elliptic, une entreprise internationale experte dans l’analyse et le traçage des transactions en cryptomonnaies, près de 200 types d’actifs auraient été concernés. Si l’estimation est confirmée, il s’agirait du plus grand vol de cryptomonnaies recensé, devant celui de Bybit en 2025, évalué à environ 1,5 milliard de dollars.
Elliptic situe le début des retraits à 20h05 GMT jeudi 29 octobre, soit 21h05 au Maroc. La première vague aurait duré une trentaine de minutes, puis une seconde aurait eu lieu après 23h GMT. Les transactions ont touché plusieurs réseaux de cryptomonnaies, dont Ethereum, Solana, Base et Tron.
Une porte d’entrée dans les systèmes internes
Les premiers résultats de l'enquête de Binance pointent vers l’ordinateur d’un ingénieur chargé de ses systèmes informatiques. Ce type de spécialiste, appelé ingénieur DevOps, s’occupe des outils qui font fonctionner les services en ligne. Les pirates auraient compromis son ordinateur puis utilisé les accès qui y étaient enregistrés pour envoyer des demandes de retrait non autorisées. Binance dit n’avoir trouvé aucune preuve que les clés privées — les codes secrets qui permettent de contrôler un portefeuille numérique — aient été volées, mais l’entreprise a repéré d’autres points d’intrusion et poursuit son enquête.
Les fonds ont été retirés de portefeuilles connectés à Internet, que Binance utilise pour traiter rapidement les opérations de ses clients. Comme ces portefeuilles peuvent regrouper les actifs de nombreux utilisateurs, une intrusion dans les systèmes qui autorisent les retraits peut toucher des sommes importantes sans que les pirates aient à voler les clés privées de chaque client.
TRM Labs, une société qui analyse les transactions en cryptomonnaies pour détecter les fraudes et suivre les fonds, soupçonne le groupe nord-coréen TraderTraitor d’être à l’origine de l’attaque, mais cette attribution n’a pas encore été confirmée par les autorités.
Une partie des fonds est bloquée
Binance affirme avoir travaillé avec des partenaires pour bloquer près de 3 milliards de dollars d’actifs. De son côté, Elliptic a pu suivre le gel d’environ 2,8 milliards de dollars en USDC et USDT par Circle et Tether. Ces deux cryptomonnaies sont conçues pour valoir environ un dollar chacune ; les entreprises qui les émettent peuvent empêcher leur transfert. Les fonds concernés sont donc bloqués, mais cela ne signifie pas qu’ils ont déjà été rendus aux clients.
Elliptic estime aussi que les pirates ont converti environ 3,3 milliards de dollars en actifs numériques plus difficiles à bloquer, comme l’ether. Circle et Tether peuvent intervenir sur les cryptomonnaies qu’elles émettent, mais elles n’ont pas le même contrôle sur l’ether. La récupération des fonds gelés peut nécessiter une demande des autorités ou une décision de justice et prendre plusieurs semaines, voire plusieurs mois.
Binance promet de couvrir les pertes
Binance affirme que les clients qui ont perdu des fonds seront remboursés grâce aux fonds SAFU, son fonds d’urgence destiné à protéger les utilisateurs, et aux ressources de l’entreprise. Le portefeuille du SAFU contiendrait environ 1,2 milliard de dollars en bitcoins. Binance dit également avoir réservé 6,34 milliards de dollars de fonds propres pour couvrir l’incident, dont 5 milliards dans les types de cryptomonnaies touchés. Elle prévoit d’acheter sur le marché les actifs manquants, une opération qui peut prendre davantage de temps pour les cryptomonnaies rarement échangées.
La co-directrice générale Yi He a affirmé ce vendredi sur X que les revenus de Binance cette année suffiraient à couvrir les pertes, mais cette déclaration ne peut pas être vérifiée, car l’entreprise ne publie pas ses comptes. Dans une mise à jour diffusée le même jour, Binance indiquait que les dépôts avaient repris, tandis que les retraits restaient suspendus pendant le renforcement de ses contrôles de sécurité, avec une reprise alors prévue dans les 48 heures.
