Binance piratée : 6,3 milliards de dollars en 20 minutes — et ce que ça dit de la sécurité de votre entreprise

📌 Ce qui s'est passé, en clair

Jeudi 29 octobre, un peu après 21 heures, heure de Paris, les portefeuilles « chauds » de Binance — ceux qui sont connectés à Internet pour servir les retraits — ont commencé à se vider. En une vingtaine de minutes, l'essentiel des fonds avait été transféré vers des adresses contrôlées par les attaquants, sur onze blockchains selon l'analyse d'Elliptic. Une seconde vague de retraits a suivi vers 23 heures UTC.

Binance a d'abord parlé d'un « potentiel problème de sécurité », avant de confirmer l'ampleur : environ 6,3 milliards de dollars d'actifs concernés. Elliptic, qui a recalculé les flux on-chain, monte à 6,43 milliards. Pour situer : le record précédent était le vol de 1,46 milliard de dollars chez Bybit en février 2025 — celui-ci est plus de quatre fois plus gros.

Les retraits ont été suspendus, les dépôts sont restés ouverts, et la plateforme affirme couvrir l'intégralité des pertes : elle a indiqué avoir réservé plus de 6,34 milliards de dollars de fonds propres, dont 5 milliards déjà détenus dans les jetons exacts qui ont été volés. Le bitcoin a perdu environ 5 % vendredi, sous 77 000 dollars, avant de repasser au-dessus de 78 000 dollars.

🔬 Ce qui a réellement cédé : un portable, pas un algorithme

C'est la partie de l'histoire qui intéresse toutes les entreprises, y compris celles qui n'ont jamais acheté un satoshi. L'enquête initiale de Binance pointe l'ordinateur portable d'un ingénieur DevOps : la machine compromise aurait donné accès à un conteneur de service, permettant de soumettre des demandes de retrait non autorisées. Binance a précisé n'avoir trouvé aucune preuve de fuite de clé privée. Autrement dit : les coffres n'ont pas été forcés, on a convaincu leur propriétaire d'ouvrir.

L'analyse on-chain d'Elliptic va plus loin, et c'est plus dérangeant encore. Vers 15h59 UTC, l'attaquant déploie un contrat « balayeur », après l'avoir répété quatre heures plus tôt sur un autre portefeuille. À 20h20 UTC, il soumet une seule transaction contenant cinquante autorisations, toutes signées avec la clé d'un portefeuille chaud de Binance, chacune couvrant un compteur différent — de sorte que l'une d'elles corresponde forcément à l'état du portefeuille au moment où elle atterrit. Trois minutes et demie plus tard, ce portefeuille était vidé de 167 464 ETH et de 63 jetons, dont 1,6 milliard d'USDT.

La délégation est restée en place : plus besoin de nouvelle signature. L'attaquant s'en est servi pour aspirer 823 millions d'USDC dans un autre portefeuille Binance, et pour balayer quatre fois de plus les nouveaux dépôts, jusqu'à 23h56 UTC. Sur les dix autres blockchains, les transferts sont partis de portefeuilles Binance par des transactions signées normalement — l'un d'eux, Binance 16, a envoyé 28 006 ETH et des jetons pour 174 millions de dollars avec sa propre clé. Ce qui suggère que l'attaquant pouvait donner des ordres directement à l'infrastructure de signature.

« Dans les deux cas, ce sont l'infrastructure et les personnes autour des portefeuilles qui ont été compromises, pas la cryptographie. »
— Elliptic, à propos du casse de Binance et de celui de Bybit, 30 octobre 2026 (traduit de l'anglais)

Binance a depuis nuancé son propre récit : l'enquête a « découvert d'autres points de compromission » et l'attaque, qualifiée de « complexe », « n'a pas été menée par une seule personne ». Richard Teng évoque aussi un mécanisme d'autodestruction qui effaçait les outils et les traces au fur et à mesure, pour compliquer l'investigation.

🧊 Trois milliards gelés : ce que le gel peut, et ne peut pas

La réaction de l'écosystème a été rapide. Tether a gelé 1,18 milliard d'USDT dans le portefeuille principal de l'attaquant 37 minutes après y avoir vu arriver les fonds, puis quatre adresses supplémentaires en 17 minutes. Circle a bloqué 823 millions d'USDC trois minutes plus tard. Ripple, Paxos, World Liberty Financial et First Digital ont gelé leurs stablecoins, le conseil de sécurité d'Arbitrum a déplacé les actifs hors de portée, et la gouvernance d'Optimism a fait de même. Au total, Elliptic a vérifié 2,85 milliards de dollars gelés ou saisis, proches des 3 milliards annoncés par Binance.

Mais le gel n'existe que s'il y a un émetteur à qui demander. Les stablecoins représentent 94 % des fonds gelés. Sur Bitcoin, XRP Ledger, Solana ou NEAR, rien n'a pu être gelé : ces actifs n'ont pas d'émetteur central. L'attaquant a d'ailleurs converti environ 786 millions de dollars de stablecoins en ETH et en TRX avant que les gels n'arrivent, en acceptant des décotes de 12 % à 26 % sur le marché — la vitesse avant la valeur. Il contrôle aujourd'hui environ 3,21 milliards de dollars d'actifs non gelables, répartis sur des dizaines d'adresses, et le blanchiment tourne à l'automate : 546 transferts depuis un portefeuille Tron, un intervalle médian de 96 secondes.

C'est une leçon à retenir même sans crypto : un gel n'est pas une garantie technique, c'est une décision humaine, prise par une entreprise qui en a les moyens et l'intérêt. Elle a fonctionné ici pour près de la moitié du butin — pas pour l'autre moitié.

🎯 Qui est derrière

Trois cabinets d'analyse on-chain concordent. TRM Labs attribue l'attaque à TraderTraitor, l'unité de piratage d'élite de la Corée du Nord, « avec une confiance élevée » ; Chainalysis la suit ; Elliptic la juge « probable ». Aucun gouvernement n'avait confirmé publiquement cette attribution au moment d'écrire ces lignes, mais le FBI et le Secret Service américain ont annoncé travailler au traçage et au gel des fonds.

« Un attaquant a déplacé environ 6,36 milliards de dollars hors des portefeuilles de Binance sur dix blockchains, l'essentiel en une vingtaine de minutes. »
— TRM Labs, cité par CBS News, 30 octobre 2026 (traduit de l'anglais)

TRM ajoute que « plusieurs caractéristiques de cette attaque correspondent à des vols antérieurs liés à la Corée du Nord, dont celui de Bybit ». Le mode opératoire ressemble en effet à celui de Bybit, en février 2025 : de petits retraits préalables via le mélangeur Tornado Cash pour financer un portefeuille opérateur, une préparation qui commence bien avant le vol, des signatures obtenues à l'avance puis exécutées en une seule salve. Elliptic a aussi confirmé que certains fonds volés ont été blanchis avec le produit du piratage de Bitget en septembre 2026, également imputé à la Corée du Nord. Selon Chainalysis, les hackers nord-coréens ont dérobé environ 2 milliards de dollars en crypto en 2025, en hausse de 50 % sur un an ; les autorités américaines rattachent ces vols au financement des programmes d'armement du régime.

🏔️ Ce que ça change pour une entreprise comme la vôtre

Vous n'êtes pas une plateforme d'échange. Vous n'avez probablement pas de portefeuille chaud, ni de contrat « balayeur », ni de service de retrait. Et pourtant quatre mécanismes de cette affaire se retrouvent, à votre échelle, dans n'importe quelle PME des Hautes-Alpes.

• Un poste de travail vaut une clé. La compromission initiale passe par le portable d'un ingénieur. Chez vous, c'est la boîte mail de la comptable, le PC du commercial, la session ouverte sur l'hébergement. Le périmètre d'attaque, ce n'est pas le serveur : c'est l'ensemble des machines qui ont le droit d'y toucher.
• Les autorisations signées à l'avance. Cinquante signatures préparées, une seule utilisée. En entreprise, l'équivalent s'appelle un accès délégué, un jeton d'API oublié, un compte prestataire encore actif deux ans après la fin de la mission.
• La dépendance à un fournisseur. Le casse de Bybit passait par un développeur chez le fournisseur de portefeuille, pas chez la victime. Votre site dépend de son hébergeur, de son registrar, de ses polices, de ses scripts tiers : chacun est une porte.
• L'effacement des traces. Un attaquant qui nettoie derrière lui transforme un incident en enquête de plusieurs jours. Sans journaux et sans sauvegardes saines, vous ne saurez pas ce qui a été touché.

Rien de tout cela n'est exotique, et rien de tout cela ne se règle avec un antivirus. C'est de l'architecture, des droits d'accès et des sauvegardes.

🛡️ Comment Alpesdata vous protège

Soyons précis sur ce que nous pouvons et ne pouvons pas promettre. Nous ne gardons pas vos fonds, nous n'exploitons pas de plateforme d'échange, et nous n'arrêterons pas un groupe étatique qui décide de consacrer des mois à une cible. En revanche, la porte d'entrée de ce genre d'attaque est exactement celle que nous verrouillons : les sites que nous concevons et hébergeons, les accès qui y mènent, et les dépendances qui les entourent.

1. Des sites statiques, sans surface d'exécution. Aucun des sites que nous concevons n'exécute PHP ni ne fait tourner un CMS : ce sont des pages HTML, CSS et JavaScript servies par nginx, sans base de données exposée. Il n'y a pas de panneau d'administration à forcer, pas d'extension à mettre à jour dans l'urgence, et rien à exécuter côté serveur. Nous l'avions vérifié lors des failles PHP du 21 octobre ; c'est toujours vrai aujourd'hui.

2. Moins de dépendances tierces, donc moins de portes. Pas de widget analytics externe par défaut, pas de script de chatbot injecté par un prestataire, pas de bibliothèque chargée depuis un CDN tiers : sur les sites que nous livrons en production, les polices sont auto-hébergées et la politique de sécurité de contenu n'autorise que le domaine du site. Un fournisseur compromis ne peut pas injecter de code chez vous s'il n'a pas de place réservée dans votre page.

3. Des en-têtes qui bloquent les scénarios classiques. Sur les sites que nous avons durcis, la réponse HTTP porte une politique de sécurité de contenu (CSP), du HSTS, un X-Frame-Options, un X-Content-Type-Options: nosniff et une politique de référent. Vérifié ce matin du 31 octobre 2026 sur massagepro.fr : ces en-têtes sont bien servis. Ils ne rendent pas un site invulnérable, ils ferment le détournement de clic, l'injection de script et la rétrogradation de protocole.

4. Aucun secret dans le code, des dépôts privés. Pas de mot de passe, pas de clé d'API, pas de jeton dans un fichier HTML ou dans un dépôt public. Les secrets vivent côté serveur, dans des variables d'environnement, et le code des sites clients est hébergé dans des dépôts privés — un site public n'expose pas sa plomberie.

5. Des accès nominatifs et vérifiables. Une clé par personne et par machine, pas de compte partagé, double authentification sur les comptes critiques (hébergement, registrar, messagerie, GitHub), et le strict nécessaire comme droits. Quand un prestataire s'en va, son accès s'en va avec lui.

6. Des sauvegardes et un retour arrière. Chaque site est versionné : un contenu effacé ou modifié se restaure en quelques minutes, et l'historique dit qui a changé quoi. C'est la différence entre un incident et une perte.

7. Une surveillance qui prévient avant le client. Disponibilité, certificats, formulaires : nous surveillons ce qui doit répondre, et nous corrigeons avant que la panne ne devienne publique.

Ce dispositif couvre les sites que nous concevons et hébergeons. Il ne couvre pas votre boîte mail si elle est chez un autre prestataire, ni votre logiciel de comptabilité, ni le portable de votre associée — et c'est précisément pour cela que nous auditons aussi l'existant. La moitié du travail consiste à savoir ce qui est exposé, et par où.

🛠️ Les cinq gestes à faire cette semaine

1. Mettez la double authentification partout où l'on peut vous voler quelque chose : messagerie, hébergement, registrar du domaine, comptabilité, réseaux sociaux. Une clé physique ou une application, pas un SMS.
2. Séparez les comptes. Un compte administrateur ne sert pas à lire ses mails. Un compte prestataire ne survit pas à la fin de la mission.
3. Traitez les portables comme des clés. Mises à jour système et navigateur appliquées, disque chiffré, verrouillage automatique, et un doute systématique devant un mail qui demande une connexion.
4. Vérifiez vos sauvegardes en les restaurant. Une sauvegarde jamais testée n'est pas une sauvegarde : c'est un fichier.
5. Si vous détenez de la crypto, ne la laissez pas sur une plateforme. Le gel de trois milliards a sauvé Binance ; il n'a rien rendu aux porteurs de bitcoin. Portefeuille matériel, phrases de récupération hors ligne, et conscience que la plupart des pertes ne viennent pas d'une faille cryptographique mais d'un accès obtenu par la ruse.

Et si vous ne savez pas ce qui tourne réellement sur votre site, c'est par là qu'il faut commencer : nous le regardons avec vous, sans jargon, et nous vous disons ce qui est exposé.