Le piratage de Binance du 29 octobre 2026 a permis de dérober environ 6,3 milliards de dollars dans les portefeuilles chauds (hot wallets) de la plateforme d’échange en 20 minutes environ. Aucune blockchain n’a été cassée. Des pirates nord-coréens ont pénétré les systèmes entourant les portefeuilles de Binance et semblent avoir amené le propre logiciel de la plateforme à approuver les transferts.
La plupart des articles consacrés au piratage de Binance ont porté sur l’identité des voleurs et sur les montants récupérés. Pourtant, les entreprises qui conçoivent ou exploitent des produits crypto doivent savoir par où les attaquants sont entrés. Ce point d’entrée compte, car une blockchain accepte tout transfert doté d’une signature valide sans jamais vérifier qui a demandé l’approbation.
L’équipe de développement blockchain de Redwerk conçoit des portefeuilles, des flux de paiement et des contrats intelligents (smart contracts). Voici notre analyse technique du fonctionnement de l’attaque, des raisons pour lesquelles elle a visé les portefeuilles chauds et de la manière de protéger chaque couche d’une plateforme crypto.
Que s'est-il passé lors du piratage de Binance ?
Dans l’après-midi du 29 octobre, des attaquants ont vidé les portefeuilles chauds de Binance sur 10 blockchains, dont Bitcoin, Ethereum, Tron et Solana. Un portefeuille chaud reste en ligne afin qu’une plateforme d’échange puisse verser les retraits des clients en quelques minutes. Avec environ 6,3 milliards de dollars, ce vol est le plus important piratage crypto jamais enregistré, soit plus de quatre fois les 1,5 milliard de dollars dérobés à la plateforme Bybit en 2025.
Deux jours plus tard, le FBI a désigné la Corée du Nord comme responsable du vol de plus de 6 milliards de dollars et a identifié les attaquants comme un groupe qu’il appelle TraderTraitor. Pour ralentir le blanchiment, le bureau a publié 628 adresses de portefeuilles liées aux fonds volés, la plupart sur Ethereum. L’alerte demandait aux plateformes d’échange, aux services de finance décentralisée (DeFi) et aux autres entreprises crypto de bloquer toute transaction liée à cette liste.
Une partie de l’argent volé pouvait encore être stoppée, car les émetteurs de stablecoins comme Tether et Circle peuvent bloquer leurs propres jetons adossés au dollar. Le blocage a commencé moins d’une heure après le début de l’attaque, et environ 2,8 milliards de dollars avaient été gelés au 30 octobre, selon Chainalysis. Contrairement à ces jetons, l’Ether n’a pas d’émetteur central, si bien que les attaquants se sont empressés d’y convertir les stablecoins tant qu’ils le pouvaient encore.
Binance a promis que ses clients ne supporteraient pas la perte et l’a couverte grâce à deux fonds de réserve et à sa propre trésorerie. Malgré cela, les clients ont retiré en net 3,6 milliards de dollars, soit environ 2,1 % des actifs de la plateforme, le 1er novembre, premier jour de réouverture des retraits.
Comment les attaquants ont-ils contourné la sécurité de signature des transactions de Binance ?
Les éléments disponibles à ce jour suggèrent que les attaquants ont pris le contrôle du système qui signe les transferts de Binance. Ce contrôle suffisait, car tout transfert crypto ne nécessite qu’une signature numérique produite avec la clé privée du portefeuille, un code secret qui prouve que le propriétaire a approuvé le paiement. Les grandes plateformes d’échange conservent ces clés dans un service de signature qui traite des milliers de retraits par jour sans aucune intervention humaine.
Selon Binance, la brèche pourrait être partie de l’ordinateur portable compromis d’un ingénieur DevOps. Les ingénieurs DevOps gèrent les serveurs et les outils qui assurent le bon fonctionnement du logiciel d’une plateforme d’échange. Depuis cet ordinateur, les attaquants auraient atteint un conteneur de service, un petit programme isolé au sein de l’infrastructure de Binance, et s’en seraient servis pour soumettre des retraits. Parallèlement, la plateforme a déclaré n’avoir trouvé aucune preuve de fuite d’une clé privée de portefeuille. À mesure que l’enquête progressait, le co-PDG Richard Teng a indiqué que son équipe avait découvert d’autres points d’intrusion. Il a ajouté que les attaquants avaient également utilisé des outils qui effaçaient leurs propres traces au fur et à mesure.
Du point de vue de la blockchain, une clé volée et un signataire détourné se ressemblent. Une clé volée permet à un tiers de produire des signatures, tandis qu’un service de signature détourné fait approuver par la vraie clé tout ce que ce tiers envoie. Dans les deux cas, chaque transfert paraît dûment autorisé.
C’est pourquoi chacune des 10 blockchains a enregistré les transferts exactement comme prévu. Le point faible se trouvait dans les appareils, les logiciels et les droits d’accès entourant les registres. Les enquêteurs estiment qu’un seul système de signature servait les portefeuilles de Binance sur toutes les chaînes, ce qui expliquerait comment une seule brèche a ouvert tous ces portefeuilles en quelques minutes. Un chiffrement robuste protège les clés, mais la sécurité de la signature des transactions dépend aussi de chaque appareil et de chaque compte capable d’envoyer une requête au signataire.
Quel rôle a joué EIP-7702 sur Ethereum ?
Sur Ethereum, les attaquants ont franchi une étape supplémentaire grâce à EIP-7702, une fonctionnalité ajoutée au réseau en 2025. Cette fonctionnalité permet à un portefeuille ordinaire d’exécuter le code d’un contrat intelligent, un programme qui réside sur la blockchain et fonctionne exactement comme il a été écrit. Pour l’activer, le propriétaire signe une autorisation, et dès lors les instructions du contrat s’appliquent chaque fois que quelqu’un appelle le portefeuille.
Les attaquants ont amené l’un des portefeuilles chauds de Binance à signer une telle autorisation pour un contrat qui n’obéissait qu’à eux. Une fois ce dispositif en place, une seule transaction a vidé le portefeuille d’environ 2,5 milliards de dollars, selon des analyses on-chain. Le contrat a gardé le contrôle jusqu’à ce que Binance signe une nouvelle autorisation près de quatre heures plus tard.
EIP-7702 est en soi un outil légitime, que les entreprises utilisent pour payer les frais de réseau à la place de leurs clients ou pour regrouper plusieurs actions en une seule. Cependant, pour une plateforme d’échange, chaque nouvelle fonctionnalité de portefeuille est aussi un nouveau moyen de déplacer des fonds.
Portefeuille chaud ou portefeuille froid : pourquoi seuls les portefeuilles chauds ont-ils été vidés ?
Lors du piratage de Binance, les attaquants n’ont pu atteindre que les portefeuilles chauds, car ceux-ci restent connectés aux systèmes de versement automatique de la plateforme. À l’inverse, un portefeuille froid (cold wallet) conserve ses clés sur un appareil qui n’est jamais connecté à Internet. Tout transfert depuis le stockage à froid exige une approbation manuelle par des personnes, souvent dans plusieurs lieux.
La plupart des plateformes d’échange conservent donc l’essentiel des fonds des clients à froid et n’en laissent qu’une plus petite part en ligne, afin que les retraits arrivent toujours en quelques minutes. Ce partage est un compromis entre rapidité et exposition, puisque chaque circuit de versement automatisé offre aussi une cible à un attaquant. Toute entreprise qui détient des cryptomonnaies pour le compte de ses clients fait face au même choix, des plateformes de trading aux projets de développement d’application bancaire crypto.
La sécurité des portefeuilles chauds commence par l’attribution d’un rôle clair à chaque type de portefeuille. Le tableau ci-dessous compare le stockage à chaud et le stockage à froid sur six points pratiques.
Accès au réseau
En ligne et relié aux systèmes de versement
Hors ligne, sur du matériel tenu à l’écart du réseau
Approbation des transferts
Par logiciel, automatiquement
Par des personnes, via des étapes manuelles
Usage courant
Retraits quotidiens des clients
Stockage à long terme de la majorité des fonds des clients
Vitesse de versement
Quelques minutes
Des heures ou des jours
Risque principal
Prise de contrôle à distance du signataire ou des comptes qui le contrôlent
Vol physique, abus interne ou erreurs de manipulation
Maîtrise des pertes
Peu de fonds en ligne et plafonds sur les sorties horaires
Approbation de plusieurs personnes situées à des endroits distincts
Ne conserver que peu de fonds dans les portefeuilles chauds limite les dégâts, mais seulement si le système de signature ne peut pas y transférer davantage de fonds depuis le stockage à froid à la demande d’un attaquant. Les réapprovisionnements doivent donc suivre des montants fixes, un calendrier régulier et des adresses de destination préapprouvées. Ces règles sont plus faciles à intégrer tant que le système de portefeuilles est encore en phase de conception. C’est aussi l’un des principaux facteurs du coût de développement d’une plateforme d’échange crypto.
Que faut-il changer dans la sécurité des plateformes d'échange crypto ?
La sécurité d’une plateforme d’échange crypto doit couvrir chaque système capable de demander une signature, des ordinateurs portables des ingénieurs jusqu’aux portefeuilles eux-mêmes.
Qui peut accéder au système de signature ?
Le piratage de Binance aurait commencé sur l’ordinateur portable d’un ingénieur, ce qui fait des appareils du personnel une composante à part entière des défenses d’une plateforme d’échange. Les équipes qui gèrent des systèmes en production ont besoin d’accès restreints, temporaires et tracés :
- Des appareils dédiés au travail sur les systèmes en production, sans messagerie ni navigation courante
- Une connexion par clés de sécurité matérielles, de petits appareils physiques que les fausses pages de connexion ne peuvent pas tromper
- Des accès accordés pour une seule tâche à la fois et retirés automatiquement une fois le travail terminé
- Aucun compte capable d’atteindre seul le service de signature
- Un journal de chaque modification des systèmes en production, stocké là où les ingénieurs qui l’ont effectuée ne peuvent pas le modifier
Les règles d’accès ne tiennent que si les systèmes les appliquent automatiquement, c’est pourquoi leur mise en place est au cœur des missions de conseil en DevOps.
Le service de signature peut-il refuser une requête malveillante ?
Un service de signature doit vérifier chaque requête selon des règles qu’il applique lui-même, afin qu’un serveur piraté ailleurs dans le système ne puisse pas simplement ordonner un versement. Les règles les plus efficaces sont simples :
- Des limites sur le montant que chaque portefeuille peut envoyer par heure et par jour
- Une liste approuvée de destinations pour les transferts entre les propres portefeuilles de la plateforme
- Une approbation supplémentaire pour les montants importants, par des personnes travaillant sur des systèmes distincts
Les portefeuilles multisignatures et le calcul multipartite (MPC) sont deux moyens courants de répartir le contrôle, de sorte que plusieurs approbateurs distincts doivent donner leur accord avant que les fonds ne bougent. Cependant, si un seul serveur compromis peut recueillir toutes les approbations, cette répartition n’apporte rien.
À quelle vitesse pouvez-vous détecter une fuite de fonds ?
Dans le cas de Binance, la majeure partie de l’argent est partie en 20 minutes, bien avant les premiers gels. La surveillance doit réagir plus vite que cela :
- Des alertes sur les sorties inhabituelles, comme une hausse soudaine des retraits, de nouvelles adresses de destination ou des fonds quittant plusieurs chaînes à la fois
- Une suspension automatique des retraits lorsque plusieurs de ces alertes se déclenchent simultanément
- Des contacts chez les émetteurs de stablecoins et les sociétés d’analyse blockchain, établis avant tout incident
- Un décompte clair de la part des fonds des portefeuilles chauds détenue en jetons qu’un émetteur peut geler
Une suspension automatique bloquera parfois aussi des retraits légitimes. Néanmoins, un court délai pour les clients coûte bien moins cher qu’un portefeuille vide, d’où l’intérêt de fixer un seuil d’alerte bas.
Quelles fonctionnalités de portefeuille votre plateforme autorise-t-elle ?
Avant que les portefeuilles chauds n’utilisent une fonctionnalité comme EIP-7702, l’équipe de sécurité doit décider si la plateforme en a réellement besoin. Si la réponse est oui, les règles doivent préciser à quels contrats un portefeuille peut déléguer des autorisations et qui approuve chaque modification. Un portefeuille chaud ordinaire ne contient aucun code de programme, donc tout portefeuille qui en acquiert soudainement doit déclencher une alerte.
À quelle fréquence l'ensemble du dispositif est-il testé ?
De nombreux audits de sécurité crypto se concentrent sur le code qui réside sur la blockchain. Une liste de contrôle pour l’audit de contrats intelligents couvre bien cette couche, mais le piratage de Binance a commencé ailleurs. Un examen complet passe aussi en revue le service de signature, le cloud et les outils de mise en production, ainsi que chaque compte ayant accès aux systèmes en production.
Lorsque Redwerk réalise un audit de développement logiciel sur une plateforme crypto, nos ingénieurs suivent chaque chemin pouvant aboutir à une signature. Notre équipe a mené un travail similaire sur Freenet, un réseau pair-à-pair open source conçu pour l’anonymat. Nous y avons analysé les vulnérabilités de la plateforme et ajouté une protection contre les requêtes falsifiées à l’un de ses plugins. À l’issue d’un audit, le client reçoit une liste hiérarchisée des constats et décide des correctifs prioritaires.
La blockchain est-elle toujours sûre après le piratage de Binance ?
Oui, les blockchains elles-mêmes sont restées sûres. Leurs registres publics ont même joué en faveur des enquêteurs, car chaque cryptomonnaie volée a laissé une trace que les sociétés d’analyse et le FBI ont pu suivre. Le risque réside dans les propres systèmes de chaque entreprise, et la plupart des plateformes d’échange, fournisseurs de portefeuilles et applications crypto reposent sur le même type de dispositif de signature.
La réponse pratique consiste à cartographier chaque chemin pouvant mener à une signature et à rendre chacun d’eux difficile à détourner. Pour un regard extérieur sur votre propre dispositif de signature, demandez une revue à nos ingénieurs.
FAQ
Quelle est la cause du piratage de Binance ?
Le piratage de Binance d’octobre 2026 a commencé au sein même de l’infrastructure de la plateforme. Selon Binance, les attaquants seraient entrés par l’ordinateur portable compromis d’un employé et auraient atteint un système capable de demander des retraits. À partir de là, le logiciel de signature de Binance a approuvé leurs transferts, si bien qu’environ 6,3 milliards de dollars sont sortis par des canaux contrôlés par la plateforme. L’entreprise a ensuite signalé d’autres points d’intrusion, et son rapport complet était toujours attendu début novembre 2026.
Qui est derrière le piratage de Binance ?
Le FBI attribue le piratage de Binance d’octobre 2026 à la Corée du Nord et désigne un groupe soutenu par l’État qu’il appelle TraderTraitor. Ce groupe est largement associé au Lazarus Group et a ciblé à plusieurs reprises des entreprises crypto, notamment lors du vol d’environ 1,5 milliard de dollars chez Bybit en 2025. Les sociétés d’analyse étaient parvenues à la même conclusion un jour avant le FBI, après que des fonds volés à Binance se sont mêlés on-chain à l’argent d’un précédent vol nord-coréen.
Portefeuille chaud ou portefeuille froid : lequel est le plus sûr ?
Pour conserver des montants importants, un portefeuille froid est plus sûr, car ses clés privées sont stockées hors ligne et chaque transfert exige une approbation manuelle. Un portefeuille chaud sacrifie une partie de cette protection au profit de la rapidité. Un logiciel peut approuver ses paiements instantanément, donc un attaquant distant qui contrôle ce logiciel peut en faire autant. Les plateformes d’échange combinent généralement les deux, en gardant leurs réserves à froid et un petit montant opérationnel à chaud.
La blockchain elle-même a-t-elle été piratée lors de l'attaque contre Binance ?
Non. Bitcoin, Ethereum et les autres réseaux touchés par l’attaque contre Binance ont fonctionné comme prévu. Une blockchain vérifie que chaque transfert est correctement signé, et chaque transfert frauduleux reposait sur des signatures issues des propres clés de Binance. Ces approbations avaient été produites par les systèmes compromis de la plateforme, donc les réseaux n’avaient aucune raison de les rejeter. Par la suite, ces mêmes registres publics ont aidé les enquêteurs à suivre les fonds volés.
Comment une plateforme d'échange crypto peut-elle protéger ses portefeuilles chauds ?
Une bonne sécurité des portefeuilles chauds limite trois choses : qui peut déclencher un paiement, combien peut sortir et combien de temps un vol peut passer inaperçu. En pratique, une plateforme d’échange a besoin d’appareils du personnel verrouillés, de droits d’accès stricts et de règles de signature qui plafonnent les retraits. Aucun serveur ne devrait pouvoir à lui seul contourner ces règles. Des alertes en temps réel doivent suspendre automatiquement les retraits lorsque les sorties semblent anormales.
Découvrez comment Redwerk a audité et sécurisé un API backend pour améliorer la maintenabilité de 80% et renforcer chaque point d'intégration avant la mise à l'échelle.
