Les enquêteurs ont retracé des milliards à travers des portefeuilles de crypto-monnaies, tandis que près de 3 milliards de dollars ont été gelés. Mais où se trouve l'argent restant ? L'enquête sur le piratage de 6,34 milliards de dollars de Binance le 29 octobre 2026 a mis au jour une opération élaborée impliquant de faux entretiens de recrutement, des outils de développement infectés et des systèmes internes compromis.

Selon le dernier rapport de Binance, publié le 3 novembre, les pirates ont commencé à préparer leur attaque au moins quatre mois avant de voler des fonds à la plus grande plateforme d'échange de crypto-monnaies au monde. Le FBI a identifié le groupe de piratage TraderTraitor de Corée du Nord comme étant responsable. Pyongyang nie l'accusation.

Comment les pirates sont entrés chez Binance
La première brèche s'est produite en juin, lorsqu'un ingénieur de Binance a téléchargé un outil d'installation de logiciel modifié alors qu'il tentait d'installer une application de programmation par IA. Bien que Binance ait détecté une activité suspecte, remplacé l'ordinateur et changé les identifiants, les attaquants avaient obtenu des informations précieuses sur l'infrastructure des portefeuilles de l'entreprise.

En septembre, un autre ingénieur a été approché via une plateforme de recrutement légitime. L'employeur supposé a organisé deux entretiens, dont une réunion vidéo avec le prétendu PDG d'une entreprise fictive. L'ingénieur a ensuite reçu l'instruction de télécharger un exercice de programmation contenant un code malveillant.

Le 20 octobre, les attaquants ont exploité l'ordinateur compromis et un outil d'IA interne pour accéder aux systèmes d'autres ingénieurs. Neuf jours plus tard, des identifiants volés ont permis le déploiement de logiciels malveillants dans l'infrastructure de signature des portefeuilles de Binance. Les pirates n'ont pas eu besoin de voler les clés privées des portefeuilles. Ils ont manipulé les systèmes autorisés à approuver les transactions.

6,3 milliards de dollars transférés en quelques heures
Le vol a commencé peu après 20h00 UTC le 29 octobre. En quatre minutes, cinq portefeuilles Binance ont transféré 233,46 millions d'XRP vers une adresse contrôlée par l'attaquant.

D'autres transferts ont suivi sur Bitcoin, Ethereum, Solana, Tron et d'autres réseaux. L'enquêteur blockchain TRM Labs estime que les pirates ont extrait environ 3,79 milliards de dollars des portefeuilles Ethereum, y compris des stablecoins, et 18 270 Bitcoin valant environ 1,47 milliard de dollars.

Quelque 628 millions de dollars supplémentaires ont quitté les portefeuilles Tron, environ 296 millions de dollars ont été volés en XRP et 96 millions de dollars en jetons Solana. Sur Ethereum, les attaquants ont exploité le mécanisme d'autorisation EIP-7702, soumettant 50 transactions de signature pour établir des permissions malveillantes. Ces permissions ont permis aux transferts de continuer même après que Binance a commencé à suspendre les retraits normaux. La dernière transaction non autorisée, impliquant 2 961,9 ETH, a été confirmée à 23h56 UTC.

Où est passé l'argent ?
Les pirates ont immédiatement commencé à convertir les stablecoins gelables en crypto-monnaies telles qu'Ethereum. Chainalysis a identifié une opération dans laquelle 325 millions de dollars en stablecoins ont été échangés contre environ 285 millions de dollars en ETH en moins de 20 minutes. Les attaquants ont effectivement sacrifié 40 millions de dollars pour déplacer les actifs hors de l'autorité directe de gel des émetteurs de stablecoins. Les enquêteurs ont également observé des milliers de transactions automatisées via des adresses nouvellement créées. Elliptic a signalé une activité impliquant environ 12 000 portefeuilles sur 11 blockchains et environ 40 000 transactions.

Selon l'analyse de Bitquery du 3 novembre, les attaquants contrôlaient toujours environ 3 milliards de dollars, principalement en Bitcoin et Ethereum. Huit grands portefeuilles Ethereum détenaient la majeure partie de l'ETH tracé, tandis que 18 270 Bitcoin restaient répartis sur 19 adresses. Certains fonds ont transité par des services décentralisés, notamment THORChain, Relay et SunSwap.

Bitquery a tracé 685 millions de TRX distribués vers 220 adresses et a identifié des transferts supplémentaires via des services d'échange inter-chaînes. Cependant, une grande partie de la crypto-monnaie volée est restée dans des portefeuilles apparemment inactifs. Les avoirs tracés ne permettent pas d'établir que les fonds ont atteint la Corée du Nord ou ont été convertis en monnaie conventionnelle.

Près de 3 milliards de dollars gelés
Binance rapporte qu'environ 2,85 milliards de dollars ont été gelés ou interceptés, ce qui équivaut à environ 45 % des actifs volés. Le FBI a publié 628 adresses de crypto-monnaies liées au vol et a exhorté les plateformes d'échange et les opérateurs de finance décentralisée à bloquer les transactions suspectes. L'attaque de 6,34 milliards de dollars est plus de quatre fois supérieure aux quelque 1,5 milliard de dollars volés à Bybit en février 2025. L'échelle est extraordinaire, même selon les normes de la criminalité financière classique.

Qu'advient-il des clients de Binance ? Binance affirme qu'elle couvrira les pertes en utilisant son Secure Asset Fund for Users et ses réserves d'entreprise. Au 31 octobre, la plateforme a déclaré avoir reconstitué 98 % des actifs en jetons affectés, bien que des déclarations ultérieures aient utilisé différentes mesures de restauration. Selon Reuters, Binance a enregistré 4,72 milliards de dollars de retraits nets de clients au 2 novembre — soit environ 3 % des actifs détenus sur la plateforme.

Les retraits se sont depuis largement normalisés.
Les questions les plus importantes restant sans réponse concernent les failles de sécurité qui ont permis aux pirates de compromettre plusieurs employés, la capacité à révoquer rapidement les permissions malveillantes des portefeuilles et la destination finale des fonds volés.

L'enquête démontre une faiblesse fondamentale de la finance numérique : une protection cryptographique sophistiquée ne peut compenser des systèmes opérationnels compromis. Pour l'heure, des milliards restent visibles sur les blockchains publiques — mais visibilité ne signifie pas récupération.