Binance a été piraté le 29 octobre 2026 pour environ 6,3 Md$, le plus gros vol crypto jamais enregistré. Les faits, la réponse de Binance, les bons réflexes.
Le jeudi 29 octobre 2026, Binance, la plus grande plateforme d'échange de cryptomonnaies au monde, a subi le plus gros vol de cryptomonnaies jamais enregistré. Selon la société d'analyse blockchain TRM Labs, les fonds ont commencé à quitter les hot wallets de Binance à 20:05 UTC, et l'essentiel du vol était terminé en une vingtaine de minutes. Une deuxième vague a suivi vers 23:05 UTC.
Les premiers signaux publics sont venus d'utilisateurs et d'observateurs on-chain qui voyaient des fonds sortir des portefeuilles de Binance. Binance a déclaré à TechCrunch avoir connaissance de signalements d'un possible problème de sécurité et avoir suspendu temporairement, par précaution, les retraits sur plusieurs réseaux à la suite d'un incident de sécurité. Les dépôts et retraits ont ensuite été suspendus sur l'ensemble de la plateforme pendant l'enquête.
Le samedi 31 octobre, le FBI a attribué l'attaque à des pirates nord-coréens, en la reliant au groupe connu sous le nom de TraderTraitor, déjà à l'origine du piratage de Bybit à 1,5 milliard de dollars en février 2025, a rapporté l'Associated Press. TRM Labs et Chainalysis avaient déjà attribué l'attaque à TraderTraitor, TRM avec un « degré de confiance élevé ».
Binance estime l'impact total à environ 6,3 milliards de dollars. Les estimations indépendantes sont proches sans être identiques : TRM Labs l'évalue à environ 6,36 milliards de dollars (valeur au moment de chaque transfert) et Chainalysis à environ 6,4 milliards de dollars, selon CNBC.
La répartition par blockchain selon TRM :
Une grande partie étant en stablecoins, les émetteurs ont pu agir vite. Binance indique qu'environ 3 milliards de dollars ont été gelés on-chain. TRM comptait environ 2,7 milliards de dollars gelés au 30 octobre à 00:30 UTC, principalement par Tether (environ 1,77 milliard d'USDT) et Circle (environ 825 millions d'USDC), avec des gels plus modestes par Ripple, World Liberty Financial et l'Arbitrum Security Council. Le bitcoin et l'ether n'ont pas d'émetteur capable de les geler : ces actifs sont restés entre les mains de l'attaquant. Gelé ne veut pas dire récupéré : comme l'a expliqué Ari Redbord, de TRM, à CNBC, la restitution des fonds gelés passe par une procédure juridique distincte.
Binance n'a pas encore publié la cause racine ; les détails ci-dessous pourront évoluer quand ce sera le cas.
Dans sa première mise à jour, Binance a indiqué que l'ordinateur portable compromis d'un ingénieur DevOps avait pu donner à l'attaquant accès à un conteneur de service utilisé pour soumettre les retraits, et qu'elle n'avait « trouvé aucune preuve d'une fuite de clé privée de portefeuille », a rapporté Decrypt. Le lendemain, Binance a précisé que la suite de l'enquête avait mis au jour « des points d'intrusion supplémentaires ». Le co-PDG Richard Teng a ajouté que l'attaquant « n'a pas simplement utilisé les permissions d'un seul ingénieur » et qu'il ne s'agissait pas d'une action « en un clic ».
Sur Ethereum, selon les enquêteurs, l'attaquant a utilisé EIP-7702, une fonctionnalité de la mise à jour Pectra qui permet à un portefeuille classique d'exécuter temporairement du code de smart contract. D'après Hypernative, l'attaquant a obtenu une autorisation valide déléguant l'un des principaux hot wallets de Binance, étiqueté Binance 14, à un contrat « sweeper » sous son contrôle à 20:20 UTC, puis a vidé environ 167 464 ETH et 63 tokens en un seul appel. Binance a révoqué la délégation le 30 octobre à 00:10 UTC. Sur les neuf autres blockchains, les fonds sont partis via des transferts signés ordinaires, ce qui, selon TRM, indique une compromission de l'infrastructure de signature des hot wallets plutôt qu'une faille dans un smart contract.
TRM a également établi que la préparation avait commencé au moins 36 heures plus tôt : le portefeuille opérateur de l'attaquant a été alimenté via Tornado Cash le 28 octobre, et le code du sweeper a été testé et répété sur d'autres portefeuilles avant d'être utilisé contre Binance.
Sur un point, le message de Binance n'a pas varié : les clients ne supporteront pas la perte.
« En résumé : votre argent est en sécurité, et nous couvrons chaque perte. » — Richard Teng, co-PDG de Binance, sur X
Binance a indiqué couvrir les pertes grâce à son fonds d'urgence SAFU et à ses fonds propres, et a annoncé le 30 octobre avoir mobilisé 6,34 milliards de dollars à cet effet. Le 31 octobre, Richard Teng a déclaré que 90 % des actifs volés avaient été reconstitués. Au 1er novembre, Binance disait en avoir couvert environ 95 %, les 5 % restants correspondant à des tokens moins liquides plus longs à racheter, selon CNBC.
Richard Teng a aussi affirmé que l'enquête « n'a attribué la responsabilité à aucune personne » et promis « un post-mortem technique détaillé une fois l'enquête terminée et chaque fait vérifié ».
Tradez sans céder la garde de vos fonds
Binance a commencé à rétablir les retraits par étapes le dimanche 1er novembre à 06:00 UTC. À 12:36 UTC, la première phase de 15 réseaux et actifs était opérationnelle, les tests se poursuivant pour les autres. The Block a rapporté que Cardano, Chainlink, Hyperliquid, Litecoin et NEAR figuraient alors parmi les réseaux encore en test.
Sur les neuf premières heures et demie, Binance dit avoir traité 4,65 milliards de dollars de retraits et 1,01 milliard de dépôts, soit une sortie nette d'environ 3,64 milliards de dollars, ou 2,1 % des 171 milliards d'actifs affichés dans sa preuve de réserves du 28 octobre. Selon Binance, les volumes de retrait « se stabilisent comme prévu » après un pic initial. Les données de tiers divergent : le tableau de bord de DefiLlama affichait des sorties nettes plus élevées, un chiffre contesté par Binance.
Binance a annoncé une preuve de réserves actualisée, fondée sur un instantané du 31 octobre et calculée à l'aide de preuves à divulgation nulle de connaissance. Au moment de la rédaction, ce rapport n'est pas encore publié ; c'est le principal point en suspens pour évaluer le bilan de la plateforme après le piratage.
D'après les éléments disponibles, Binance semble en mesure d'absorber la perte. Sean Farrell, de Fundstrat, a déclaré à CNBC que l'attaque ne semblait pas créer de risque de solvabilité significatif, et la sortie nette signalée à la réouverture représentait environ 2 % des actifs. Il n'a pas été demandé aux utilisateurs de partager la perte.
Les questions ouvertes portent sur la sécurité, pas sur la solvabilité. La cause racine n'est pas publiée, l'explication initiale a déjà été révisée et environ 2,4 milliards de dollars en ETH et BTC restaient dans les portefeuilles de l'attaquant selon le décompte de TRM du 30 octobre. Savoir si Binance est « sûr » dépendra de ce que montrera le post-mortem et de la solidité des correctifs.
Ce piratage n'est pas un échec de la crypto en soi, et personne ne devrait s'en réjouir. Une équipe soutenue par un État a passé des jours à préparer une attaque contre l'une des organisations de sécurité les mieux dotées du secteur, et la réponse de Binance a jusqu'ici protégé ses utilisateurs. Il faut le reconnaître.
Il révèle toutefois une réalité structurelle. Quand vous laissez vos actifs sur une plateforme centralisée, vous détenez une créance sur cette plateforme, pas les coins eux-mêmes. Votre sécurité dépend de ses hot wallets, de ses systèmes de signature, des appareils de ses employés et de son bilan. Cette fois, le bilan était assez solide pour couvrir 6,3 milliards de dollars. En 2025, Bybit avait couvert une perte de 1,5 milliard. Dans les deux cas, les clients n'ont pas pu déplacer leurs fonds pendant que la plateforme gérait l'incident.
L'auto-conservation supprime cette couche. Avec un portefeuille non dépositaire, aucun hot wallet de plateforme ne détient vos fonds, et il n'existe pas de réserve commune qu'une seule attaque pourrait vider. Ce n'est pas sans risque : vous devenez responsable de vos propres clés et appareils, les techniques de phishing qui visent les employés des plateformes visent aussi les particuliers, et les plateformes on-chain comportent leurs propres risques de smart contracts et de bridges. Mais aucune plateforme ne peut suspendre vos retraits, et une intrusion dans les systèmes de signature d'une plateforme n'atteint pas des clés que vous seul détenez.
Dexly est une application de trading non dépositaire construite sur Hyperliquid. Vous tradez perps et spot depuis un portefeuille que vous contrôlez, et Dexly ne détient jamais vos fonds. Essayez-la sur dexly.trade.
Avertissement sur les risques : Le trading de contrats à terme perpétuels comporte un risque significatif de perte. Ne tradez qu'avec un capital que vous pouvez vous permettre de perdre. Dexly est une interface non-custodiale ; vous êtes responsable de vos fonds et de vos décisions de trading.
Tradez sans céder la garde de vos fonds