Binance piratée par des hackers nord-coréens, qui ont dérobé $6,3 milliards

Binance a estimé le montant du piratage à environ $6,3 milliards et indiqué avoir gelé près de $3 milliards. Les analystes de TRM Labs et de Chainalysis attribuent l’attaque au groupe nord-coréen TraderTraitor, tandis que l’enquête préliminaire de la plateforme pointe vers le piratage de l’ordinateur portable d’un employé.

Selon les estimations de TRM Labs, le 29 octobre, les pirates ont dérobé environ $6,36 milliards dans des portefeuilles Binance répartis sur dix blockchains. L’essentiel des actifs a été volé en une vingtaine de minutes, à partir de 20 h 05 UTC. Les analystes qualifient l’incident de plus grand vol de l’histoire des cryptomonnaies : le montant est environ quatre fois supérieur aux pertes dues au piratage de Bybit en février 2025.

Qui est soupçonné d’être à l’origine de l’attaque

TRM Labs attribue avec un haut degré de confiance le piratage à TraderTraitor, une unité de hackers nord-coréenne liée à Lazarus. L’entreprise s’appuie sur un ensemble de données issues des blockchains et d’autres sources.

Lazarus est directement lié aux structures étatiques de la Corée du Nord. Le Trésor américain considère le groupe comme une organisation placée sous le contrôle du gouvernement nord-coréen par l’intermédiaire du Bureau général de reconnaissance (RGB), le service de renseignement du pays.

Les autorités des États-Unis, du Japon et de la Corée du Sud considèrent les vols de cryptomonnaies commis par des hackers nord-coréens comme une source de revenus illicites destinée à financer les programmes d’armes de destruction massive et de missiles balistiques. L’utilisation des fonds dérobés spécifiquement à Binance n’a toutefois pas encore été déterminée.

Le cofondateur et directeur général de Chainalysis, Jonathan Levin, a lui aussi désigné TraderTraitor comme l’auteur probable de l’attaque. Binance n’a pas encore communiqué ses propres conclusions sur l’identité des pirates et continue de collaborer avec les forces de l’ordre.

Comment Binance a été piratée

Selon la version préliminaire de la plateforme, les attaquants auraient pu accéder à l’ordinateur portable d’un ingénieur DevOps. Ils s’en seraient servis pour pénétrer dans un conteneur de services et envoyer des transactions de retrait non autorisées.

Binance n’a toutefois trouvé aucun indice de fuite des clés privées des portefeuilles. La première version de l’entreprise évoque donc une compromission de l’infrastructure interne utilisée pour effectuer les opérations de retrait. Le mécanisme exact de l’attaque reste à déterminer.

La plateforme a révoqué l’autorisation de l’adresse concernée et temporairement suspendu les dépôts et les retraits, le temps de terminer les contrôles de sécurité. Binance promet de publier un rapport technique détaillé à l’issue de l’enquête.

Qu’adviendra-t-il des fonds des clients ?

Avec l’aide de ses partenaires, Binance a réussi à geler des actifs sur les blockchains pour un montant d’environ $3 milliards. L’entreprise continue de suivre les autres fonds et collabore avec des émetteurs de jetons, des sociétés d’analyse et les forces de l’ordre afin d’obtenir de nouveaux gels et de récupérer les actifs.

Les fonds qui n’ont pas été gelés ne peuvent pas encore être considérés comme définitivement perdus : les recherches se poursuivent. Le gel limite toutefois les mouvements des actifs, sans pour autant signifier qu’ils ont été restitués à la plateforme.

Binance a déclaré qu’elle couvrirait toutes les pertes grâce au fonds de réserve SAFU et à ses propres fonds. L’entreprise a assuré ses utilisateurs que leurs actifs étaient en sécurité et a promis de publier une attestation de réserves (Proof of Reserves) actualisée une fois les opérations de rétablissement terminées.