Le plus important vol de cryptomonnaies jamais enregistré révèle une opération informatique soigneusement orchestrée, exécutée en une vingtaine de minutes et attribuée par le FBI à des pirates liés à la Corée du Nord. L’attaque contre Binance, la plus grande plateforme d’échange de cryptomonnaies au monde, soulève de nouvelles questions sur la sécurité des infrastructures financières numériques et la capacité des entreprises à protéger les actifs de leurs clients.

Le jeudi 29 octobre 2026, des pirates informatiques ont réussi à détourner quelque 6,3 milliards de dollars américains en cryptomonnaies appartenant à Binance. Une somme considérable, supérieure à quatre fois celle dérobée lors du piratage de la plateforme Bybit en février 2025. Mais au-delà du montant, c’est surtout la préparation et la rapidité de l’opération qui impressionnent les spécialistes de la cybersécurité.

Selon les analyses de TRM Labs et les informations rapportées par Bloomberg et Wired, les pirates avaient commencé à préparer leur intervention au moins 36 heures avant le vol. Ils ont d’abord approvisionné un portefeuille numérique avec de petites sommes, puis déployé un code malveillant pour tester leur méthode. Deux portefeuilles ont servi à une première série d’essais, avant une répétition supplémentaire sur un troisième portefeuille. Quelques heures plus tard, les attaquants passaient à l’offensive contre Binance.

L’opération principale n’aura duré qu’une vingtaine de minutes. Les pirates ont transféré des milliards de dollars vers des portefeuilles sous leur contrôle, en multipliant les transactions sur plusieurs réseaux de cryptomonnaies. Cette rapidité témoigne d’une préparation minutieuse et d’une automatisation importante. Les mécanismes qui permettent normalement aux utilisateurs de transférer rapidement leurs actifs ont ainsi contribué à accélérer le vol.

Les premiers éléments de l’enquête interne de Binance pointent vers l’ordinateur portable compromis d’un ingénieur responsable des opérations techniques. Cette intrusion aurait permis aux pirates d’accéder à un environnement informatique utilisé par la plateforme et de soumettre des transactions de retrait non autorisées. Toutefois, Richard Teng, codirecteur général de Binance, a précisé que l’attaque ne se résumait pas à l’utilisation des autorisations d’un seul employé. Les enquêteurs ont également découvert d’autres points de compromission.

L’attaque aurait aussi comporté un mécanisme d’autodestruction destiné à effacer certains outils et certaines traces de l’intrusion. Une technique qui complique la reconstitution des événements et démontre que les pirates avaient également préparé leur sortie.

La piste nord-coréenne, évoquée rapidement par plusieurs entreprises spécialisées dans la surveillance des chaînes de blocs, a été officiellement retenue par le FBI le 31 octobre. L’agence américaine attribue le piratage à TraderTraitor, un groupe lié au régime de Pyongyang et déjà associé à plusieurs vols majeurs de cryptomonnaies. Le groupe est notamment tenu responsable du détournement de 1,5 milliard de dollars chez Bybit en 2025.

Pour la Corée du Nord, ces opérations représentent bien davantage que de simples activités criminelles. Depuis plusieurs années, les autorités américaines et les spécialistes du renseignement financier accusent le régime d’utiliser les cryptomonnaies volées pour obtenir des devises étrangères et soutenir ses programmes militaires et nucléaires. Selon TRM Labs, les pirates nord-coréens auraient dérobé environ 12,8 milliards de dollars en actifs numériques depuis 2017. Le piratage de Binance illustre l’ampleur financière que peuvent désormais atteindre ces opérations.

Une fois le vol découvert, une autre course contre la montre s’est engagée. Binance, les émetteurs de cryptomonnaies et plusieurs entreprises de cybersécurité ont tenté de suivre les transactions afin de bloquer les actifs avant leur disparition dans des circuits plus difficiles à contrôler. Environ trois milliards de dollars ont ainsi été repérés et visés par des mesures de gel. Mais certaines cryptomonnaies ne peuvent pas être bloquées aussi facilement, notamment lorsqu’elles circulent sur des réseaux entièrement décentralisés.

Le FBI affirme avoir observé les pirates convertir une partie des actifs volés en ethers, la cryptomonnaie du réseau Ethereum. Les enquêteurs s’attendent à ce que les fonds transitent ensuite par des services de finance décentralisée et des plateformes permettant d’échanger rapidement des cryptomonnaies. Les autorités américaines ont publié une liste d’adresses numériques associées à l’opération et demandé aux acteurs de l’industrie de bloquer les transactions correspondantes.

Pour Binance, les conséquences financières et commerciales sont importantes. La plateforme a temporairement suspendu les retraits et promis que ses utilisateurs ne subiraient aucune perte. Le 31 octobre, elle annonçait avoir déjà remplacé environ six milliards de dollars d’actifs détournés, en utilisant notamment ses propres réserves et ses mécanismes d’assurance. Les actifs restants, plus difficiles à racheter en raison de leur faible liquidité, devaient également être remplacés. Il faut toutefois distinguer ces sommes avancées par Binance des fonds effectivement récupérés auprès des pirates.

Cette affaire met en évidence une contradiction fondamentale de l’écosystème des cryptomonnaies. Les réseaux décentralisés permettent de transférer rapidement des sommes considérables sans passer par les mécanismes traditionnels du système bancaire. Mais cette même caractéristique devient un avantage pour les criminels lorsqu’ils réussissent à prendre le contrôle des systèmes qui autorisent les transactions. Et même si les mouvements d’argent peuvent être suivis publiquement sur les chaînes de blocs, leur visibilité ne garantit pas que les sommes puissent être récupérées.

Le piratage de Binance constitue ainsi un avertissement pour l’ensemble du secteur financier. Avec des infrastructures capables de déplacer des milliards de dollars en quelques minutes, une faille dans les systèmes internes d’une entreprise peut provoquer des pertes d’une ampleur exceptionnelle. L’affaire rappelle surtout qu’en cybersécurité, la solidité d’une plateforme ne dépend pas uniquement de ses protections cryptographiques, mais aussi de la sécurité des ordinateurs, des employés et des mécanismes techniques auxquels elle accorde sa confiance.

Sources : nytimes, bloomberg, Wired, FBI

+++++++

Du lundi au vendredi, Bruno Guglielminetti vous propose un regard sur
l’essentiel de l’actualité numérique avec 120 secondes de Tech.

Ou encore…

Écoutez la plus récente édition de Mon Carnet,
le magazine hebdomadaire de l’actualité numérique.