Analyse on-chain du piratage de Binance : 50 signatures, 197 460 ETH et 2,83 milliards gelés

Mise à jour 11 h 45 : la piste mène à la Corée du Nord, retraits sous 48 heures. Les enquêteurs de TRM Labs attribuent avec un degré de certitude élevé le piratage de Binance au groupe nord-coréen TraderTraitor, Chainalysis désigne le même groupe ; Binance n’a nommé aucun auteur. Selon TRM Labs, environ 6,36 milliards de dollars sont sortis via dix blockchains, quelque 2,7 milliards sont gelés, et l’attaquant détient sur l’ensemble de ses portefeuilles plus de 420 000 ETH et 18 270 BTC. Binance entend rouvrir les retraits sous 48 heures selon son annonce, les dépôts fonctionnent. Tout en un seul article : la Corée du Nord derrière le piratage de Binance ? Ce que l’on sait.

Mise à jour 3 h 30 : Binance chiffre le préjudice à 6,3 milliards de dollars. Dans un communiqué officiel, Binance évalue le préjudice total à environ 6,3 milliards de dollars, dont environ 3 milliards gelés sur la blockchain. Selon les premières investigations, l’ordinateur portable d’un ingénieur DevOps avait été compromis ; l’attaquant a ainsi pénétré dans un conteneur de service et soumis des retraits non autorisés. Binance indique n’avoir aucun indice d’une fuite de clé privée. La plateforme compense toutes les pertes grâce à son fonds d’urgence SAFU et à ses fonds propres, dépôts et retraits restent suspendus, et une preuve de réserves actualisée doit suivre.

Que s’est-il réellement passé lors du piratage de Binance ? Notre analyse des données de la blockchain le montre : le 29 octobre 2026, un attaquant a pris le contrôle du portefeuille chaud « Binance 14 » grâce à 50 signatures soumises simultanément, et a retiré en quelques secondes environ 2,7 milliards de dollars. Binance a confirmé le piratage dans la nuit et entend compenser toutes les pertes. D’après nos mesures et les indications des enquêteurs, plus de 2,83 milliards de dollars sont gelés ; il reste surtout à l’attaquant 197 460 ethers. Voici ce que nous avons vérifié nous-mêmes, ce que disent les principales voix sur X et où cela mène.

Le déroulé de la nuit minute par minute figure dans notre chronologie avec direct, la nouvelle elle-même dans notre article sur le piratage de Binance.

Piratage ou transfert interne ? Le premier débat de la nuit

Pendant la première heure, il n’était pas certain qu’il s’agisse d’une attaque. L’analyste Simba jugeait possible un transfert planifié entre portefeuilles de Binance : la destination venait d’être créée et n’avait d’abord pas déplacé les fonds.

BREAKING: $2.7 BILLION JUST MOVED OUT OF BINANCE IN 24 SECONDS. Everyone is screaming HACK. But the onchain evidence tells a VERY different story.

Simba (@Simba_crpt) 29 octobre 2026

La thèse n’a pas tenu longtemps. L’adresse d’où partait l’attaque avait été alimentée avec 0,1 ETH provenant du mixeur Tornado Cash, le portefeuille a été rattaché à un contrat étranger, et peu après l’attaquant a commencé à répartir des jetons sur des dizaines d’adresses. À 1 h 04, la cofondatrice de Binance, Yi He, a confirmé le piratage :

User funds are safe. Binance will cover all hacking losses. Deposits and withdrawals are temporarily suspended while our team conducts security checks, freezes funds, and works with law enforcement.

Yi He (@heyibinance) 30 octobre 2026

Le déroulé de l’attaque : 50 signatures, une seule a fait mouche

La société de sécurité Blockaid a mis au jour l’astuce technique décisive, et nous l’avons vérifiée directement sur la blockchain. La transaction d’attaque est du nouveau type 4, qui permet depuis la mise à niveau Pectra à un portefeuille de confier son pilotage à un contrat intelligent via l’EIP-7702. Elle contient exactement 50 autorisations de ce type, toutes pour le portefeuille Binance 14, toutes vers le même contrat de l’attaquant, pour les numéros de transaction 18 914 775 à 18 914 824 (transaction sur Etherscan).

The attacker didn't know Binance 14's live nonce. So they sprayed 50 EIP-7702 auths (18914775-18914824) in one type-4 tx. Only 1 of 50 was a hit.

Blockaid (@blockaid_) 29 octobre 2026

Le contexte : une telle autorisation n’est valable que pour le numéro de transaction du portefeuille au moment de la confirmation. Comme le portefeuille chaud envoyait sans cesse des retraits, l’attaquant ne connaissait pas ce numéro et a lancé 50 autorisations d’un coup. Une a fait mouche. Plus important est ce que supposent ces 50 autorisations : chacune doit être signée avec la clé du portefeuille. L’attaquant pouvait donc produire des signatures pour Binance 14. La manière dont il a obtenu cet accès doit être éclaircie par le rapport annoncé par Binance. La délégation a depuis été levée : d’après notre interrogation à 2 h 20, le code du portefeuille est de nouveau vide.

Où est l’argent ? Notre bilan à 2 h 30

Environ 2,7 milliards de dollars ont quitté les deux portefeuilles de Binance sur Ethereum, auxquels s’ajoutent de plus petits montants sur d’autres blockchains. La majeure partie est bloquée, mais pas tout. Binance chiffre désormais le préjudice total sur l’ensemble des blockchains à environ 6,3 milliards de dollars, dont quelque 3 milliards gelés ; le tableau ci-dessous montre ce qui est visible sur Ethereum.

Update: This brings the total frozen for the Binance exploit so far to over $2.83B

ZachXBT (@zachxbt) 30 octobre 2026

L’astuce Aave : pourquoi des USDT bloqués ont tout de même rapporté de l’ether

L’attaquant savait que Tether peut bloquer des fonds. Il a donc déposé en trois minutes 60 millions d’USDT sur le protocole de prêt Aave pour emprunter 19 762 wETH, soit environ 45 millions de dollars. Peu après, Tether a bloqué l’adresse, et 46 minutes plus tard Aave a gelé les marchés concernés. Les USDT bloqués servent désormais de garantie chez Aave, tandis que l’attaquant détient l’ether emprunté. Il ne le remboursera jamais.

Aave protocol will be fine. The hacker supplied 60M USDT and borrowed 19,762 wETH (~44.9M$) in 3 minutes, before Tether froze their address and before the Aave Guardian froze the Aave V3 Core reserves (46 min later).

Marc Zeller (@mzeller) 29 octobre 2026

Pour Aave, c’est supportable, calcule Marc Zeller, de l’Aave Chan Initiative : la position est surcollatéralisée et sera liquidée automatiquement dès que l’ether aura progressé d’environ 4 %, vers 2 365 dollars. La dette représente 0,9 % des avoirs en wETH du protocole. Une hausse du cours de l’ether liquiderait donc précisément la position d’emprunt de l’attaquant.

Tout sur le piratage de Binance

• Piratage de Binance : comment le hot wallet a été vidé
• Direct et chronologie : le krach du Bitcoin après le piratage
• USDT gelés : ce que Tether et Circle bloquent vraiment
• Retraits Binance : les réseaux suspendus
• Est-ce la fin ? Trois scénarios pour le Bitcoin
• Ethereum : le pirate détient 195 000 ETH
• Solana sous les 100 dollars
• Krach du BNB : le sort du FTT le menace-t-il ?
• Les plus grands piratages crypto de l’histoire
• Vendre à découvert pendant le krach
• Pourquoi le Bitcoin chute-t-il aujourd’hui ?

Se protéger : conserver ses cryptos en sécurité face à des piratages comme celui de Binance

Ce que disent les principales voix sur X

• Yi He, Binance : fonds des clients en sécurité, Binance compense toutes les pertes, dépôts et retraits temporairement suspendus, rapport complet à suivre.
• ZachXBT, enquêteur : plus de 2,83 milliards de dollars sont gelés.
• Blockaid, société de sécurité : 50 autorisations EIP-7702 dans une seule transaction, une a fait mouche. Confirmé par nos soins sur la blockchain.
• Marc Zeller, Aave Chan Initiative : l’attaquant a emprunté 19 762 wETH avant le blocage, supportable pour Aave.
• Simba, analyste : jugeait d’abord possible un transfert interne, thèse dépassée par la confirmation de Binance.
• Bala, commentateur : a écrit que l’attaquant s’en était « tiré » avec l’astuce Aave. C’est vrai pour 45 millions de dollars, pas pour les milliards.

Notre bilan : où mène le piratage de Binance

• Pour les clients : Binance s’est engagé à compenser toutes les pertes, et la part gelée rend cet engagement crédible. Tout dépendra du moment où la plateforme rouvrira dépôts et retraits. D’ici là, patience, et aucun lien issu de messages promettant un remboursement. Les plateformes disposant d’une licence dans l’UE figurent dans notre comparatif des plateformes crypto réglementées. Nous suivons l’état des retraits dans retraits Binance après le piratage.
• Pour le butin : sur environ 2,7 milliards de dollars, plus de 2,8 milliards sont bloqués sur l’ensemble des blockchains. Sur Ethereum, il reste surtout à l’attaquant les 197 460 ETH, plus l’ether emprunté sur Aave et des petits jetons répartis, soit au total environ 600 millions de dollars. Selon les chiffres de Binance, 6,3 milliards de préjudice et quelque 3 milliards gelés, il manque cependant encore plus de 3 milliards sur l’ensemble des blockchains ; leur localisation est la question ouverte des prochains jours. Il devra blanchir cette somme sur des jours et des semaines, et chaque mouvement est public.
• Pour Ethereum : les 197 460 ETH restent une offre en surplomb du marché. Dans le même temps, une hausse du cours de 4 % liquiderait la position Aave de l’attaquant. Les conséquences pour le cours sont détaillées dans krach de l’Ethereum : le pirate de Binance détient 195 000 ETH.
• Pour le secteur : l’attaque révèle un nouveau schéma. Qui peut produire des signatures pour un portefeuille n’a besoin, grâce à l’EIP-7702, que d’une seule transaction pour tout vider. Les plateformes devront contrôler plus strictement leurs systèmes de signature et l’autorisation de telles délégations.

Nous continuons de surveiller les adresses et compléterons l’analyse dès que des fonds bougeront ou que Binance publiera son rapport. Cet article ne constitue pas un conseil en investissement.