Casse de Binance : le FBI relie le groupe TraderTraitor nord-coréen au plus grand vol de cryptomonnaies jamais enregistré
En soirée du 29 octobre 2026, des retraits non autorisés ont commencé à vider les hot wallets de Binance sur onze blockchains en l'espace de quelques heures. Les estimations de la perte vont d'environ 6,3 milliards de dollars, chiffre de la plateforme elle-même, à 6,43 milliards, où s'est stabilisée la comptabilité on-chain d'Elliptic après des jours de décompte — soit, selon la société d'analyse, presque certainement le plus grand vol isolé de tous les temps. Les retraits ont été suspendus dès la nuit même, et la plus grande plateforme d'échange de cryptomonnaies au monde a passé les jours suivants à rassurer ses quelque 335 millions d'utilisateurs inscrits : leur argent n'était jamais parti.
Les chiffres d'un vol record
Les précédents sont rares. Le butin représente plus de quatre fois les 1,46 milliard de dollars dérobés sur Bybit en février 2025, qui constituait alors le record, et plus de six fois le milliard de dollars environ que Saddam Hussein avait soutiré à la banque centrale d'Irak en 2003, selon le comparatif d'Elliptic. À partir des données du FBI, The Hacker News dénombre onze blockchains touchées, 82 pour cent de la valeur portant sur Ethereum et Bitcoin. La plus grosse part se trouvait sur Ethereum : environ 3,8 milliards de dollars répartis sur 186 tokens, auxquels s'ajoutent 18 270 BTC valant environ 1,48 milliard de dollars.La Corée du Nord, avec une forte confiance
Le 31 octobre, le FBI a officiellement attribué le vol à TraderTraitor, un cluster aligné sur la Corée du Nord également suivi sous les noms de Jade Sleet et Slow Pisces, en coordination avec le Secret Service américain et l'IRS Criminal Investigation. Ces mêmes acteurs sont liés aux casses de Bybit et de DMM Bitcoin ainsi qu'à des incidents plus modestes chez KelpDAO et Bitget. Les analystes privés avaient pointé dans la même direction dès les premières heures : l'enquêteur ZachXBT a parlé d'un attaquant « probablement Lazarus », et TRM Labs a publié une évaluation avec une « confiance élevée » désignant TraderTraitor — une unité que CoinDesk décrit comme un sous-groupe du groupe Lazarus.« Nous avons désormais reconstitué 90 % des actifs volés, et nous nous engageons à couvrir les 10 % restants. » — Richard Teng, co-directeur général de Binance, 31 octobre 2026Binance a suspendu les retraits, puis s'est engagée à couvrir l'intégralité des pertes de ses clients. L'entreprise a provisionné environ 6,34 milliards de dollars de fonds propres — puisés dans son fonds de garantie Secure Asset Fund for Users d'un milliard de dollars, son fonds d'assurance futures et sa trésorerie, selon NBC News —, les dix pour cent restants se trouvant surtout dans des tokens peu liquides, dont le rachat prendra plus de temps. Les retraits ont repris par phases à partir de 6 h UTC le 1er novembre, et la ruée redoutée est restée maîtrisée. The Block a comptabilisé environ 3,64 milliards de dollars de sorties nettes au cours des neuf premières heures et demie — environ 2 pour cent des actifs sous gestion — et cite la plateforme indiquant que les volumes s'étaient « stabilisés comme prévu » après le pic initial, les dépôts restant substantiels. Le bitcoin avait déjà glissé de 5 pour cent, à 77 380 dollars, un plancher de six semaines, dans les heures ayant suivi l'annonce, comme le rapporte The Guardian.
Comment les wallets ont été vidés
La première lecture publique de Binance désignait l'ordinateur portable compromis d'un ingénieur DevOps comme point d'entrée ; la plateforme a ensuite parlé d'une attaque complexe avec des points de pénétration supplémentaires et un malware conçu pour effacer les traces. La reconstruction d'Elliptic montre l'attaquant abusant de la délégation EIP-7702, une fonctionnalité introduite avec la mise à jour Pectra d'Ethereum en 2025 : une transaction unique portant cinquante autorisations dûment signées a délégué le contrôle du wallet baptisé « Binance 14 » à un contrat sweeper, qui l'a vidé de 167 464 ETH et 63 tokens trois minutes et demie plus tard. Les fonds sont passés par l'infrastructure de signature propre à Binance et non par des clés privées volées — selon les termes d'Elliptic, ce sont l'infrastructure et les personnes autour des wallets qui ont été compromises, pas la cryptographie.La piste du blanchiment
Le FBI a cartographié ses attentes à l'avance. Après avoir observé l'attaquant convertir les actifs volés principalement en Ethereum, le bureau s'attend à ce que les fonds soient blanchis davantage via la DeFi et des services d'échange instantané, et il a publié les adresses des wallets contre lesquelles les services doivent filtrer. Le bilan on-chain correspond pour l'heure au scénario connu : des stablecoins échangés contre de l'ETH et du TRX avec des pertes de 12 à 26 pour cent, la vitesse privilégiée sur la valeur ; 59,9 millions d'USDT déposés sur Aave pour emprunter des ETH ; le TRX acheminé via au moins six ponts différents.- Environ 2,85 milliards de dollars avaient été gelés ou saisis on-chain en quelques jours — 44 pour cent du vol, presque entièrement en stablecoins, selon Elliptic ; Binance avance elle environ 3 milliards.
- Rien n'a été gelé sur Bitcoin, le XRP Ledger, Solana ou NEAR, laissant l'attaquant avec environ 3,25 milliards de dollars d'actifs ingelables répartis sur plus de 800 adresses.
- Elliptic a publié une liste de blocage gratuite de plus de 8 000 adresses liées à l'attention des plateformes et des fournisseurs de wallets.
- Les acteurs liés à la Corée du Nord auraient dérobé plus de 6,5 milliards de dollars en cryptomonnaies ces dernières années, et Elliptic note que cet incident frôle le doublement de ce total.