Binance : un vol de 6,3 milliards de dollars parti de l'ordinateur d'un employé

Dans la soirée du jeudi 29 octobre 2026, Binance, la plus grande plateforme d’échange de cryptomonnaies au monde, s’est fait vider une partie de ses portefeuilles « chauds », ceux qui servent aux retraits quotidiens des clients. Binance évalue les actifs touchés à environ 6,3 milliards de dollars américains. Les firmes d’analyse des chaînes de blocs avancent des chiffres voisins, de 5,9 à 6,4 milliards selon la méthode.

C’est le plus important vol de cryptomonnaies jamais recensé : environ quatre fois celui de Bybit, qui avait perdu 1,5 milliard de dollars en février 2025.

Les faits évoluent d’heure en heure. Cette nouvelle fait le point sur ce qui est établi au 30 octobre ; nous y reviendrons quand Binance aura publié son rapport technique.

Ce que l’on sait

• Le point de départ, selon Binance : l’enquête préliminaire évoque l’ordinateur portable compromis d’un ingénieur DevOps. Il aurait permis à l’attaquant d’atteindre un conteneur de service interne, puis d’y soumettre des retraits non autorisés.
• Plus qu’un seul poste : Binance a ensuite précisé que l’incident venait de « plusieurs facteurs » et que l’enquête avait trouvé d’autres points d’intrusion. Son co-PDG, Richard Teng, insiste : l’attaquant ne s’est pas contenté des droits d’un seul ingénieur, et ce n’était pas une action « en un clic ».
• Pas de fuite de clés privées : Binance affirme n’avoir trouvé aucune preuve que les clés privées de ses portefeuilles aient fui. Les analystes de TRM Labs et d’Elliptic pensent plutôt que l’attaquant a réussi à faire signer ses transactions par les propres systèmes de Binance.
• Une opération préparée : selon TRM Labs, la préparation a commencé au moins 36 heures avant le vol. Les transferts eux-mêmes se sont faits très vite, une vingtaine de minutes selon TRM. La firme Bitquery compte 17 portefeuilles vidés.
• Les auteurs présumés : TRM Labs attribue l’attaque, avec un haut degré de confiance, à TraderTraitor, un groupe lié à la Corée du Nord, déjà tenu responsable du vol chez Bybit. Chainalysis et Elliptic pointent aussi vers la Corée du Nord. Ce sont des analyses de firmes privées : Binance n’a désigné personne, et le FBI dit seulement être au courant de l’incident.

Ce qui a été bloqué

Environ 3 milliards de dollars ont été gelés rapidement, surtout parce qu’une grande partie du butin était en cryptomonnaies stables, que leurs émetteurs peuvent bloquer. Tether a gelé plus de 1,5 milliard d’USDT, Circle plus de 800 millions d’USDC, et d’autres émetteurs ont suivi.

Binance a promis de couvrir toutes les pertes avec son fonds d’urgence SAFU et ses fonds propres. Les dépôts fonctionnent, mais les retraits sont suspendus pendant la refonte de leur sécurité ; la plateforme annonce leur reprise sous 48 heures, puis une nouvelle preuve de réserves.

Ce qui suit habituellement : les arnaques

Un piratage de cette taille crée une occasion pour d’autres fraudeurs. Des millions de clients inquiets cherchent à savoir si leurs fonds sont touchés et comment les récupérer. Binance a d’ailleurs mis ses clients en garde contre les escroqueries dès les premières heures.

Les schémas sont connus, et ce sont ceux que nous faisons retirer au quotidien pour les marques de nos clients :

• faux sites imitant la plateforme, avec un formulaire de « vérification » ou de « remboursement » qui demande les identifiants ou la phrase de récupération du portefeuille ;
• faux comptes de soutien sur X, Facebook, Telegram ou Instagram, qui répondent aux clients inquiets et les dirigent vers ces sites ;
• publicités payantes sur les réseaux sociaux et les moteurs de recherche, qui achètent le nom de la marque pour placer un faux lien au-dessus du vrai.

Ces pages se multiplient dans les heures qui suivent l’annonce. Plus elles restent en ligne, plus elles font de victimes, et plus la confiance envers la vraie marque s’érode.

La leçon pour toutes les entreprises

L’attaque n’a pas visé un coffre-fort, mais une personne. Selon Elliptic, l’ingénierie sociale est probable, par exemple au moyen de fausses offres d’emploi ou de faux tests de programmation envoyés à des employés. C’est une méthode déjà attribuée aux mêmes groupes.

• Un poste de travail est une porte d’entrée : les accès d’un employé technique valent parfois plus que n’importe quel mot de passe client.
• Les grandes opérations doivent exiger plusieurs approbations indépendantes, qu’un seul appareil compromis ne peut pas fournir.
• Préparer la réponse avant la crise : savoir qui surveille les imitations de votre marque et qui en demande le retrait, dès la première heure.

Chez AgencePDN, nous surveillons en continu les faux sites, faux comptes et fausses annonces qui utilisent le nom de nos clients, et nous en obtenons le retrait auprès des plateformes, des hébergeurs et de Google.

Sources

• TechCrunch (30 octobre 2026) : techcrunch.com
• Help Net Security (30 octobre 2026) : helpnetsecurity.com
• The Hacker News (30 octobre 2026) : thehackernews.com
• CNBC (29 octobre 2026) : cnbc.com
• Euronews (30 octobre 2026) : fr.euronews.com