Cyberguerre crypto nord-coréenne : les leçons du piratage de Binance pour la conservation

Binance a estimé l’impact total de l’incident à environ $6.3 billion et déclaré qu’il couvrirait les pertes avec SAFU et les fonds de l’entreprise. TRM Labs a retracé la sortie d’environ $6.36 billion depuis des wallets Binance sur dix blockchains, l’essentiel des mouvements ayant eu lieu en près de 20 minutes à partir de 20:05 UTC le 29 octobre 2026.

Le 31 octobre 2026, le FBI a publiquement attribué à la Corée du Nord le vol de plus de $6 billion d’actifs virtuels sur Binance. TRM Labs a attribué le vol avec un degré de confiance élevé à l’unité TraderTraitor de la Corée du Nord, sur la base de renseignements on-chain et off-chain.

Dans une interview accordée à Cointelegraph, Ari Redbord, dirigeant de TRM Labs, a qualifié l’attaque de « cyberguerre ». Il a appelé les gouvernements à mener des opérations cyber offensives contre les hackers nord-coréens ainsi que contre les réseaux de blanchiment et les banques auxquels ils ont recours. La question de savoir si un gouvernement adoptera cette réponse reste ouverte.

L’enquête initiale de Binance désigne l’ordinateur portable compromis d’un ingénieur DevOps, qui aurait permis d’accéder à un conteneur de service. La plateforme affirme n’avoir trouvé aucun élément indiquant une fuite des clés privées des wallets.

TRM Labs rapporte que l’attaquant a utilisé une délégation EIP-7702 contre un hot wallet Ethereum, tandis que les wallets de neuf autres chaînes ont exécuté des transferts signés classiques. TRM considère ces schémas comme des indices d’une compromission impliquant l’infrastructure de signature de Binance. Aucune expertise technique indépendante validant la reconstitution complète de l’attaque et les mesures correctives n’a encore été identifiée dans les recherches fournies.

Tether a indiqué avoir gelé plus de $1.5 billion en USDT en moins de 30 minutes après l’attaque du 29 octobre. Les recherches fournies ne permettent pas d’établir quelle part des cryptomonnaies volées sera finalement saisie ou récupérée, plutôt que simplement gelée. Elles ne permettent pas non plus de savoir quelle part des Bitcoin et Ether non gelés restants transitera par des plateformes d’échange, des bridges, des protocoles DeFi ou des courtiers de gré à gré.

Pour un trader qui compare la conservation sur une plateforme centralisée à l’auto-conservation pour accéder aux contrats perpétuels on-chain, l’incident soulève plusieurs questions distinctes qu’il ne faut pas confondre. Le point d’entrée rapporté, l’activité de signature, la couverture des pertes clients et le gel des actifs relèvent chacun d’un volet différent de la réponse.

• Consultez le point de situation de Binance pour connaître sa version du point d’entrée, l’absence d’éléments indiquant une fuite des clés privées des wallets et son engagement à couvrir les pertes.
• Comparez cette version avec l’analyse on-chain de TRM Labs, notamment la délégation EIP-7702 et les transferts signés sur les autres chaînes.
• Considérez le gel annoncé par Tether comme une intervention spécifique, et non comme le montant final récupéré ; les recherches fournies ne permettent toujours pas d’établir la somme qui sera finalement saisie ou récupérée.
• Attendez une expertise technique indépendante validant la reconstitution complète de l’attaque par Binance et ses mesures correctives avant de considérer la cause comme définitivement établie.