Il aura fallu une vingtaine de minutes, jeudi 29 octobre, pour vider les portefeuilles de la plus grande plateforme d'échange de cryptomonnaies au monde. Quatre jours plus tard, les retraits reprennent, le FBI pointe Pyongyang et la question n'est plus seulement de savoir comment les pirates ont opéré, mais ce que ce casse record dit de la fragilité d'une industrie qui brasse des centaines de milliards.
Vingt minutes, dix chaînes de blocs
Selon <cite index="4-9,4-10">NPR, les pirates ont pu accéder aux comptes des investisseurs de Binance à 16 h 05, heure de l'Est, jeudi, et il leur a fallu environ 20 minutes pour repartir avec un peu plus de 6,3 milliards de dollars en cryptomonnaies</cite>. Le quotidien brésilien Folha de S.Paulo, qui situe le début des transactions inhabituelles vers 16 h 20, raconte lui aussi une alerte qui a rapidement gagné la salle de contrôle de la plateforme. Les heures exactes varient d'un média à l'autre; le déroulé général, lui, est établi.
Les firmes d'analyse de la chaîne de blocs TRM Labs et Chainalysis, citées par Al Jazeera, expliquent que <cite index="5-7,5-8">l'essentiel du vol s'est déroulé en 20 minutes environ, TRM évaluant à 6,36 milliards de dollars les sommes sorties de portefeuilles de Binance sur 10 chaînes de blocs</cite>. L'estimation varie selon les sources, puisque la firme Elliptic a pour sa part compté 6,43 milliards sur 11 réseaux, selon la notice consacrée à l'affaire par Wikipédia en portugais.
Le détail technique reste flou. CNN Brasil rapporte, d'après TRM Labs, que <cite index="13-5">les attaquants ont compromis l'« infrastructure de signature » de Binance, celle qui autorise les transactions, ce qui leur a permis d'émettre des instructions vidant les portefeuilles visés</cite>. Un avocat de Hong Kong cité par le même média résume l'idée en termes simples : <cite index="13-8">l'attaquant n'a peut-être pas volé la clé du coffre, mais détourné le système qui ordonne au coffre de s'ouvrir</cite>.
Une brèche qui s'élargit
La version initiale de l'entreprise était plus modeste. Binance a d'abord évoqué, selon CNBC, <cite index="6-21">l'ordinateur portable compromis d'un ingénieur DevOps, qui aurait permis à un attaquant d'accéder à un conteneur de service et de soumettre des retraits non autorisés</cite>. Mais <cite index="6-22">le codirecteur général Richard Teng a ensuite indiqué que l'attaque reposait sur un processus plus complexe que l'usage abusif des permissions d'un seul ingénieur</cite>. Vendredi, la société a reconnu avoir découvert <cite index="5-20">des « points de faille supplémentaires »</cite>.
Autre précision rapportée par Al Jazeera : <cite index="5-21">Binance dit n'avoir trouvé aucune preuve qu'une clé privée de portefeuille ait fuité</cite>. CNBC note de son côté qu'<cite index="6-20">on ne sait toujours pas clairement comment l'attaque s'est déroulée</cite>.
Pyongyang dans le viseur
Dès les premières heures, les analystes ont désigné la Corée du Nord. TRM Labs a attribué l'attaque, avec un « degré de confiance élevé », à <cite index="5-15">TraderTraitor, une unité de piratage nord-coréenne liée au groupe Lazarus</cite>. L'entreprise relevait plusieurs similitudes avec des vols antérieurs, dont celui de Bybit : <cite index="6-26">de petits retraits via Tornado Cash pour alimenter un portefeuille d'opérateur, une préparation commencée bien avant le vol et des signatures obtenues à l'avance puis exécutées d'un seul coup</cite>.
Samedi, le FBI a confirmé cette piste. La radio-télévision suisse RTS rapporte que <cite index="3-6">l'agence a publié une liste d'environ 500 adresses Ethereum utilisées par TraderTraitor pour blanchir les actifs, et demandé aux plateformes, services de finance décentralisée et sociétés d'analyse de bloquer les transactions qui y sont liées</cite>. Le FBI s'attend à ce que ces actifs soient <cite index="3-5">davantage blanchis par des conversions via des services DeFi et des échanges instantanés</cite>.
Le contexte géopolitique pèse lourd. Selon CBC, <cite index="7-16">des experts estiment que la Corée du Nord s'est tournée vers le piratage de cryptomonnaies pour obtenir des devises dont elle a grandement besoin, face aux sanctions de l'ONU, et financer son programme nucléaire</cite>. Le précédent record, rappelle RTS, était <cite index="3-7">le 1,5 milliard de dollars volé chez Bybit en février 2025, attribué au même groupe</cite>. Le butin de Binance est donc plus de quatre fois supérieur.
Un gel spectaculaire, mais incomplet
Ce qui distingue cette affaire des précédentes, c'est la réaction coordonnée de l'écosystème. Binance a annoncé avoir fait geler environ 3 milliards de dollars sur les chaînes de blocs. Selon Yahoo Finance, <cite index="17-12">Tether a gelé 1,567 milliard de dollars en USDT, Circle 800 millions, et World Liberty Financial 27 millions en USD1, d'après leurs dirigeants</cite>. Les émetteurs de « stablecoins », ces cryptomonnaies adossées à une monnaie réelle, peuvent en effet bloquer des jetons à distance, ce que ne permettent ni le bitcoin ni l'ether.
C'est précisément la limite de l'exercice. NBC News relève que <cite index="19-14">TRM Labs estime que 2,4 milliards de dollars en bitcoin et en ether ne seront jamais récupérés</cite>. Et, comme le précise CNBC, <cite index="6-4">avoir rétabli la couverture de 90 % des actifs ne signifie pas avoir récupéré 90 % des fonds auprès de l'attaquant</cite>.
Qui paie? Binance, de sa poche
La plateforme a promis très tôt que ses clients ne perdraient rien. Dimanche, elle a repris les retraits par étapes. CNN précise que <cite index="9-6">les retraits ont repris pour 15 monnaies numériques, dont le bitcoin, Solana et l'ether</cite>. CNBC rapporte que <cite index="6-12">le bitcoin, l'ether, l'USDT, le BNB, le SOL, l'USDC, le XRP, l'USD1, le RLUSD et le ZEC sont couverts à 100 %</cite>, les 10 % restants étant constitués de jetons moins liquides, plus longs à acquérir en quantité suffisante.
Le financement vient de plusieurs poches. Selon CNN, <cite index="9-11">Binance a puisé dans son fonds de réserve pour les utilisateurs (SAFU), d'environ un milliard de dollars en bitcoin, ainsi que dans sa trésorerie d'entreprise et son fonds d'assurance des produits dérivés</cite>. Le calcul est parlant : Al Jazeera souligne que <cite index="5-24">la somme volée représente plus de six fois le fonds d'urgence de un milliard créé en 2018</cite>. Sans le bilan de l'entreprise, le dispositif de protection n'aurait pas suffi.
Un marché secoué, mais pas ébranlé
La réaction des cours a été nette sans être catastrophique. Selon CNBC, <cite index="18-11,18-12">le bitcoin s'échangeait à 77 065 dollars vendredi, en baisse d'environ 4 % sur la journée</cite>, alors que <cite index="18-13">selon Anchorage Digital, le jeton a reculé de 8,3 % en moyenne dans les 24 heures suivant les piratages de plateformes précédents</cite>. Un analyste d'OranjeBTC l'explique ainsi : <cite index="18-6">il s'agit d'une brèche de sécurité dans une plateforme centralisée, non d'une défaillance du réseau Bitcoin</cite>.
Tout n'a pas tenu aussi bien. Yahoo Finance indique que <cite index="17-10">Solana et le jeton natif de Binance, le BNB, ont chuté de 7 %</cite>, et Al Jazeera note que <cite index="21-14">l'action de Coinbase, qui se dit non touchée, a reculé de 4,8 %</cite>. Un analyste de Fundstrat voyait le véritable risque systémique dans <cite index="17-13">un déficit d'actifs clients forçant Binance à liquider des réserves, accélérant les retraits et provoquant un cycle de désendettement généralisé</cite>. La promesse de remboursement a largement écarté ce scénario.
Il faut aussi relativiser la part de l'attaque dans la baisse. Selon CNBC, <cite index="18-26">depuis l'incident, le bitcoin évolue largement en phase avec d'autres actifs risqués, dont les actions, qui ont reculé en raison d'inquiétudes sur les bénéfices liés à l'IA</cite>. Un climat que décrit aussi, sur un autre front, la Folha de S.Paulo : les investisseurs réduisent leurs paris sur la croissance américaine par crainte d'une exposition excessive à l'intelligence artificielle.
Le vide réglementaire en toile de fond
Le vol survient à un moment délicat pour les États-Unis, premier marché politique du secteur. NBC News rappelle que <cite index="19-8">l'industrie se remettait de l'échec au Congrès du Clarity Act, un projet de loi qui aurait offert des protections juridiques complètes aux cryptoactifs</cite>, et que <cite index="19-9">son adoption a été torpillée par un affrontement sur les règles de conflit d'intérêts visant les élus, en particulier le président Donald Trump</cite>. Selon la même source, <cite index="19-5">M. Trump a dit que son administration « examine » l'incident et qu'il était rassuré par l'engagement de Binance à rembourser</cite>.
Les critiques, eux, pointent une faille de fond. NPR relève que <cite index="4-27,4-28">Binance n'est pas nécessairement tenue de rembourser selon la réglementation actuelle, et que de nombreux critiques craignent que de plus petites plateformes aient du mal à indemniser leurs clients en cas de piratage</cite>. En clair, la solidité de Binance a joué le rôle d'un filet de sécurité que la loi ne garantit pas.
Une analyse du site Tech Insider fait état d'une initiative parallèle de la CFTC, le régulateur américain des produits dérivés, qui élabore un cadre d'enregistrement volontaire des plateformes; le site précise que <cite index="20-64">l'agence a publié un avis préalable plutôt qu'un cadre final, et que les commentaires publics restent ouverts jusqu'au 14 décembre</cite>. Ce détail provient d'une seule source secondaire et mérite d'être confirmé auprès du régulateur.
Ce que l'affaire révèle
Trois constats se dégagent. D'abord, la menace est industrialisée : la méthode ressemble trait pour trait à celle de Bybit en 2025, et les attaquants ont préparé leur coup bien avant de frapper. Ensuite, le point faible reste humain et organisationnel, qu'il s'agisse d'un poste de travail ou d'un flux d'approbation, plutôt que cryptographique. Enfin, la résilience du secteur dépend moins de ses règles que de la capacité de quelques acteurs, Binance, Tether, Circle, à agir vite et de concert.
Pour l'instant, les clients sont indemnisés et les cours se stabilisent. Mais la majeure partie du butin, soit environ 3,3 milliards de dollars selon Al Jazeera, <cite index="5-11">n'a pas fait l'objet d'explications de Binance quant à son sort</cite>, et la bataille du blanchiment ne fait que commencer. L'enquête de l'entreprise se poursuit, et c'est son rapport final, de même que la réponse des régulateurs américains, qui dira si ce casse restera un accident de parcours ou deviendra le moment charnière du secteur.