Une semaine après le plus important vol de l'histoire de la cryptomonnaie, les clients de la plus grande plateforme d'échange au monde ont fait ce que beaucoup redoutaient : ils ont retiré leurs avoirs en masse dès que les portes se sont rouvertes. Le chiffre, 3,6 G$ US de sorties nettes, est spectaculaire. Rapporté à la taille de l'entreprise, il l'est beaucoup moins, et c'est précisément ce qui rend le dossier instructif.
Tous les montants de cet article sont en dollars américains, comme dans les sources citées.
Ce qui s'est passé : 20 minutes, 10 chaînes de blocs
Selon l'analyse de la firme Chainalysis, <cite index="16-21">les fonds ont commencé à quitter les portefeuilles « chauds » de Binance vers 16 h 20, heure de l'Est, le 29 octobre</cite>, sur plusieurs chaînes de blocs. Les transferts non autorisés ont totalisé environ 6,4 G$, <cite index="16-11">ce qui en fait le plus important vol de l'histoire de la cryptomonnaie</cite>. Binance, elle, parle de 6,3 G$. Une autre synthèse indique que <cite index="10-3">la majeure partie des fonds a été siphonnée en une vingtaine de minutes</cite>.
La porte d'entrée, d'après l'enquête préliminaire de Binance citée par CNN, était banale : <cite index="1-5">l'ordinateur portable d'un ingénieur, qui a permis à l'attaquant d'accéder à un conteneur de service et de soumettre des retraits non autorisés</cite>. Le co-chef de la direction, Richard Teng, a ajouté que <cite index="4-21">l'attaque était complexe et reposait sur un logiciel malveillant conçu pour effacer ses propres traces</cite>.
La suite a été une course contre la montre. Les stablecoins comme l'USDT et l'USDC peuvent être gelés par leurs émetteurs; le bitcoin et l'ether, non. Chainalysis raconte que l'attaquant a tenté de convertir au plus vite les actifs gelables : <cite index="16-30">en près de 20 minutes, il a échangé 325 M$ de stablecoins contre 285 M$ d'ether</cite>. Malgré tout, <cite index="16-34">environ 2,8 G$ ont été gelés</cite>, soit près de la moitié du butin.
La réouverture et le test de confiance
Binance avait suspendu dépôts et retraits le temps de vérifier ses systèmes. Dimanche, elle a rouvert par étapes. Selon le quotidien The Guardian, relayé par AOL, <cite index="4-6">la plateforme avait traité 4,6 G$ de retraits et 1 G$ de dépôts en début d'après-midi, soit une sortie nette d'environ 3,6 G$, ou 2,1 % de ses 171 G$ d'actifs sous gestion</cite>. Ces chiffres, précise le texte, ont été confirmés par la preuve de réserves publiée par l'entreprise.
La réouverture s'est faite en phases : <cite index="4-10">la première a rétabli les retraits pour 15 réseaux et actifs, dont l'ether et les jetons USDT et USDC sur la chaîne Ethereum</cite>. Binance affirme que, <cite index="4-8">après un pic initial, les volumes de retraits ont diminué et se stabilisent</cite>, tandis que les dépôts demeurent substantiels. Un bémol de taille : l'agrégateur de données DefiLlama affichait des sorties plus élevées, à 4,36 G$, un écart que Binance attribue au fait que ces données n'incluent pas les fonds déposés dans son nouveau portefeuille chaud, selon un reportage de The News International.
Bloomberg juge que ce chiffre représente un coup « relativement doux » pour l'entreprise, compte tenu de l'ampleur du vol. L'analyse se tient : dans l'histoire de la cryptomonnaie, les ruées vers la sortie ont souvent fait plus de dégâts que les vols eux-mêmes. Quand une plateforme n'a pas les moyens de rembourser, la panique se transforme en insolvabilité, comme dans la faillite de FTX, que NBC News évoque comme point de comparaison en rappelant qu'elle n'était pas le fruit d'une cyberattaque. Ici, la promesse de remboursement est adossée à des moyens concrets.
Qui paie : Binance, pas ses clients
La plateforme s'est engagée à absorber la perte. Selon le Guardian, <cite index="4-22">elle a mis de côté environ 6,34 G$ de fonds de l'entreprise pour couvrir les pertes</cite>. Les rachats de jetons ont puisé dans <cite index="4-24">une partie de son fonds d'actifs sécurisé de 1 G$ pour les utilisateurs, une réserve en bitcoins, ainsi que dans son fonds d'assurance des contrats à terme et sa trésorerie</cite>.
L'entreprise affirme avoir remplacé environ 90 % des actifs volés avant la réouverture, et autour de 95 % selon une mise à jour rapportée dimanche. Le reste porte sur des jetons moins liquides, plus longs à acheter. M. Teng s'est dit <cite index="4-15">engagé à couvrir les 10 % restants</cite>. Il faut toutefois lire ces annonces pour ce qu'elles sont : des déclarations de la plateforme elle-même, que seule une vérification indépendante des réserves permettra de confirmer pleinement.
La taille de la perte donne la mesure de la solidité de Binance. NBC News rapporte que M. Teng a évoqué <cite index="15-7">des réserves préexistantes de plus de 1 G$ et un coussin additionnel de 6 G$ prélevé sur un bilan de 167 G$</cite>. Peu d'acteurs de l'industrie pourraient absorber un tel choc sans faillir.
La Corée du Nord, de nouveau au cœur de l'affaire
Le FBI a confirmé samedi ce que les enquêteurs privés soupçonnaient : <cite index="4-16">un groupe affilié à la Corée du Nord, TraderTraitor, serait derrière le piratage</cite>. Ce groupe est réputé faire partie de la nébuleuse Lazarus, déjà accusée d'avoir piraté Sony Pictures en 2014. Le bureau a aussi indiqué avoir observé ces acteurs convertir les actifs volés en ether et s'attend à ce qu'ils soient blanchis par la finance décentralisée et les services d'échange instantané; il presse les entreprises privées de bloquer les transactions liées aux adresses concernées. Pyongyang a nié à plusieurs reprises les accusations de piratage.
Le lien avec d'autres attaques a pesé dans l'attribution. Chainalysis explique que <cite index="16-36">les fonds volés à Binance se sont mêlés, en temps réel, à ceux dérobés le mois précédent lors du piratage de Bitget, déjà attribué à des acteurs nord-coréens</cite>. Cette dernière attaque avait coûté 387 M$ en septembre.
Le contexte statistique est frappant. Selon Chainalysis, <cite index="18-4">les pirates liés à la Corée du Nord représentent près de 89 % des pertes déclarées par piratage de cryptomonnaies en 2026</cite>, contre 15 % en 2021. Sur la période 2021-2026, <cite index="18-10">13,24 G$ sur 22,34 G$ de pertes déclarées, soit environ 59 %, seraient attribuables à des opérations nord-coréennes présumées</cite>. La firme concurrente TRM Labs situe cette part autour de 85 % cette année, selon Crypto Briefing : les méthodes diffèrent, mais la tendance est la même. Le précédent record, rappelle CNN, était le vol de 1,5 G$ chez la plateforme Bybit, <cite index="19-24">également attribué à des pirates nord-coréens</cite>.
Pour un régime sous sanctions internationales, ces cyberattaques sont une source de devises. CNN cite d'anciens et actuels responsables américains et sud-coréens, pour qui <cite index="19-26">les équipes de pirates nord-coréennes constituent une source de revenus clé du régime doté de l'arme nucléaire</cite>.
Vitesse, automatisation et intelligence artificielle
Ce qui distingue cette attaque, selon Axios, c'est la combinaison de techniques connues avec une rapidité et une automatisation inédites. Eric Jardine, de Chainalysis, estime que le rythme des transactions rendait impossible une approbation humaine : <cite index="24-12">« Il a fallu que ce soit fait par un ordinateur. »</cite> TRM Labs note que les préparatifs ont commencé environ 36 heures avant le vol.
Chainalysis décrit aussi des schémas de blanchiment jamais vus : <cite index="16-39">des milliers de transactions en peu de temps, signe d'une automatisation destinée à brouiller la piste</cite>. Les fonds circulent en boucle entre des adresses, parfois jusqu'à revenir vers des adresses déjà utilisées.
L'épisode alimente un débat plus large, que le magazine The Economist aborde dans son édition du jour : les pirates tirent parti de l'intelligence artificielle, et ses concepteurs, dont OpenAI et Anthropic, y voient une occasion d'affaires dans la cybersécurité. Aucun élément public ne confirme à ce stade que l'IA a servi à pirater Binance; Axios se contente de soulever la question de la façon dont elle pourrait décupler des opérations déjà très sophistiquées.
Pourquoi cela compte au-delà de Binance
Premier enseignement : la chaîne de défense la plus vulnérable reste humaine. Chainalysis relevait déjà, dans son bilan de 2025, que les attaquants visent les processus de signature et l'infrastructure de clés privées, parfois en piégeant des signataires légitimes. Un portable d'ingénieur compromis suffit, même chez le géant du secteur.
Deuxième enseignement : la course au gel des fonds est devenue un exercice collectif entre émetteurs de stablecoins, firmes d'analyse et autorités. Le Secret Service américain affirme travailler avec des partenaires privés, dont Circle, l'émetteur de l'USDC, pour identifier, geler et récupérer les fonds. Mais les experts interrogés par CNBC préviennent qu'il s'agit d'un jeu du chat et de la souris, d'autant que les pirates recourent à des réseaux professionnels de blanchiment, notamment chinois, pour convertir les cryptomonnaies en monnaie ordinaire.
Troisième enseignement : le marché a réagi, sans s'effondrer. Après l'annonce, selon le Guardian, <cite index="4-26">le bitcoin a reculé de près de 5 %, l'ether de près de 6 % et le BNB, la monnaie native de Binance, de près de 10 %</cite>. Sur le plan politique, le président américain Donald Trump a dit que son administration « examine » l'affaire et s'est dit rassuré par l'engagement de remboursement de la plateforme, rapporte NBC News.
Ce qu'il reste à surveiller
Trois questions restent ouvertes. D'abord, la durée de la fuite : le chiffre de dimanche capte le réflexe immédiat, pas la tendance des prochaines semaines. Ensuite, la vérification : le remplacement de 95 % des actifs et la suffisance des réserves reposent sur les déclarations de Binance et sur ses preuves de réserves, qui devront résister à l'examen d'auditeurs et d'analystes indépendants. Enfin, la récupération : si environ la moitié du butin a été gelée, l'autre moitié, déjà en mouvement dans des milliers d'adresses, sera très difficile à retrouver.
La réouverture de Binance dit donc deux choses à la fois. Une plateforme dotée de réserves massives peut absorber un vol de 6 G$ sans perdre plus de 2 % de ses actifs en une journée. Mais un seul groupe d'État, avec des moyens techniques en progression constante, détient désormais l'essentiel du butin mondial des cyberbraquages de cryptomonnaies, et le prochain coup se prépare déjà.