La plateforme d’échange Binance a confirmé le détournement de 6,3 milliards de dollars d’actifs numériques le 29 octobre 2026. L’incident, qualifié de critique par la direction, résulte d’une compromission directe d’un poste de travail interne plutôt que d’une attaque frontale sur les portefeuilles de stockage.
Un vecteur d’attaque interne identifié
Les investigations techniques ont isolé l’origine de la brèche : l’ordinateur portable d’un ingénieur DevOps. L’accès à cet équipement a permis aux assaillants de pénétrer l’environnement de développement et de soumettre des ordres de retrait frauduleux. Contrairement aux scénarios classiques, les clés privées des portefeuilles principaux n’auraient pas été exfiltrées, mais les autorisations liées au compte compromis ont suffi à valider les transactions.
Failles procédurales et rapidité d’exécution
L’analyse des flux blockchain révèle que la majorité des transferts a été exécutée en moins de vingt minutes. Cette célérité suggère une automatisation du processus de vol et met en évidence des lacunes dans la segmentation des accès privilégiés. Les protocoles de validation multi-niveaux, censés bloquer les mouvements de capitaux inhabituels, n’ont pas réagi suffisamment tôt pour stopper l’hémorragie financière.
Gel partiel des fonds et piste nord-coréenne
En réponse à l’urgence, Binance a suspendu l’ensemble des dépôts et retraits. La collaboration avec les émetteurs de stablecoins Tether et Circle a permis de geler environ 3 milliards de dollars sur la blockchain. Le solde, soit 3,3 milliards de dollars, reste introuvable à ce stade. Les experts en analyse blockchain orientent les soupçons vers le groupe TraderTraitor, une entité cybercriminelle liée à la Corée du Nord, en raison de signatures techniques spécifiques.
Mobilisation du fonds SAFU et indemnisation
La direction de Binance a garanti la couverture intégrale des pertes utilisateurs via le fonds d’urgence SAFU et ses réserves propres. Cet incident survient après le piratage de Bybit en février 2025, rappelant la vulnérabilité persistante des infrastructures centralisées face à des attaques ciblant le facteur humain et les accès administratifs.
