Binance victime d’un piratage de 6.3 milliards de dollars, le plus important de l’histoire des cryptomonnaies

La plus grande cyberattaque de l'histoire de la crypto vient de se produire sur le plus grand échangeur de cryptomonnaies. Binance a communiqué un montant précis concernant l'incident de sécurité qui a secoué la plateforme jeudi 29 octobre. Dans un mettre à jour publié aujourd'hui, l'échange confirme que près de 6,3 milliards de dollars ont été affectés. Il s'agit d'une histoire en cours et les chiffres pourraient évoluer à mesure que Binance et ses partenaires continuent de tracer les fonds. 

L'industrie s'est mobilisée pour geler environ 3 milliards de dollars sur la chaîne, ce qui laisse environ 3,3 milliards de dollars hors de portée au moment de la rédaction. DeFillama indique que la portion non récupérée à elle seule est supérieure au montant volé dans toute l'industrie crypto au cours de l'année dernière. Elle est également équivalente au total des pertes enregistrées en 2023 et 2024 combinées.  

Un ordinateur portable compromis a donné à l'attaquant une porte d'entrée 

Les premières conclusions de Binance pointent vers un ordinateur portable compromis appartenant à un ingénieur DevOps. L'échange a indiqué que l'attaquant a utilisé cette machine pour accéder à un conteneur de service interne et y exécuter des transactions de retrait non autorisées. À ce jour, Binance affirme n'avoir détecté aucune fuite de clés privées de portefeuilles et prévoit de publier un rapport technique complet une fois les faits vérifiés. 

Ce qui est désormais confirmé, selon les données on-chain d'Arkham, c'est que l'attaque a débuté vers 16 h 30 (heure de l'Est). Les données provenant d'Arkham indiquent que l'attaquant a détourné d'importantes quantités de Bitcoin, Ethereum, Tron et Solana, parmi d'autres actifs. Le PDG de Tether, Paolo Ardoino, a confirmé sur X qu'ils avaient gelé 1,567 milliard de dollars US en USDT, et le PDG de Circle, Jeremy Allaire, a également confirmé qu'ils avaient gelé plus de 800 millions de dollars US en USDC. Ripple, World Liberty, BitGo et Paxos ont également gelé les avoirs volés, tandis que le Conseil de sécurité d'Arbitrum a gelé environ 30,5 millions de dollars. Le plus grand protocole de prêt DeFi, Aave, a également gelé ses marchés de prêt à titre préventif, après que l'attaquant ait emprunté de l'Ethereum en utilisant des USDT volés comme garantie.

Binance a également suspendu les dépôts et retraits tandis que les vérifications de sécurité sont en cours. Binance a également révoqué l'autorisation pour l'adresse concernée et collabore avec les forces de l'ordre et des entreprises spécialisées dans l'intelligence blockchain afin de récupérer les fonds. L'échange indique que son fonds d'urgence SAFU et ses réserves corporatives couvriront chaque dollar des pertes des utilisateurs, et une nouvelle Preuve de Réserves sera publiée après la mise en conformité. 

Blockaid remonte le drain jusqu'à un seul portefeuille chaud

Le cabinet de sécurité blockchain Blockaid a publié l'une des analyses on-chain les plus détaillées de l'attaque à ce jour. Son rapport se concentre sur Binance 14, l'un des portefeuilles chauds Ethereum les plus importants et les plus actifs de la plateforme.

Selon Blockaid, l'attaquant a financé une adresse opérateur via Tornado Cash à partir du 28 octobre et a répété toute la séquence sur ses propres portefeuilles avec des tests de 2 à 6 dollars. À 20 h 20 UTC le 29 octobre, il a envoyé une seule transaction contenant 50 autorisations EIP-7702 signées avec la clé Binance 14. Le portefeuille étant encore en cours de traitement des retraits, l'attaquant ne savait pas quel nonce serait actif et a signé une plage entière de nonces. L'un d'eux a correspondu, transférant ainsi le contrôle du portefeuille à un contrat « sweeper » non vérifié que seul l'attaquant pouvait exploiter.

Environ trois minutes plus tard, le « sweeper » a vidé le portefeuille Binance 14 de 167 464 ETH, de 1,615 milliard d'USDT et d'environ 60 autres tokens, pour une valeur totale d'environ 2,5 milliards de dollars à l'époque. Le portefeuille n'a conservé que 1 ETH. Dans les 12 minutes suivantes, 10 autres portefeuilles chauds Binance sur Ethereum, Arbitrum, Avalanche et Optimism ont transféré des fonds vers la même adresse de collecte. La délégation restant active, l'attaquant est revenu à 21 h 44 UTC et a récupéré 200 millions d'USDT supplémentaires provenant de nouveaux dépôts sans nouvelle signature.

Le PDG de Blockaid, Ido Ben-Natan, a déclaré que les éléments de preuve indiquent une compromission de l'infrastructure de signature et il ne pense pas qu'une clé ait été divulguée. Cela s'aligne avec le récit de Binance concernant un ordinateur portable piraté et un conteneur de service compromis. Ben-Natan a également établi des parallèles avec le hack de Bybit d'une valeur de 1,5 milliard de dollars en février 2025, un incident qui est désormais plusieurs fois dépassé par celui-ci.

L'enquêteur on-chain ZachXBT soupçonne le groupe Lazarus de Corée du Nord, bien ni Binance ni aucune autorité n'a confirmé cette attribution. Binance a demandé aux utilisateurs de ne s'appuyer que sur ses canaux officiels pour les mises à jour.