Opération interne à Binance
La "cyberattaque" de Binance était très probablement un coup de l'intérieur
Points clés
- Le vol de 6,3 milliards de dollars chez Binance est attribué à une cyberattaque nord-coréenne — mais le détail le plus important va dans l'autre sens.
Binance elle-même a confirmé qu'aucune clé privée de portefeuille n'avait été volée. L'attaque a utilisé l'accès à l'infrastructure de signature — un type d'accès qu'un initié a déjà.
- Les déclarations publiques de Binance ont oscillé entre « les fonds des utilisateurs sont totalement en sécurité » et « nous couvrirons toutes les pertes » — et son histoire de « portable piraté » est intéressée et non vérifiée.
- Ce n'est pas la première fois que Binance est confronté à ce genre de situation. Les mémoires de CZ soupçonnaient des pots-de-vin internes lors de la cyberattaque de 2019, et l'entreprise a plaidé coupable en 2023 pour avoir délibérément facilité le blanchiment d'argent.
- L'attribution à la Corée du Nord dans le cas d'une « grande confiance » relève de l'appariement de motifs, pas de la preuve — et c'est la victime qui maîtrise le récit.
Le récit officiel, résumé
Tard dans la soirée du 29 octobre 2026, environ 6,3 milliards de dollars ont été retirés des portefeuilles chauds de Binance sur dix blockchains — Bitcoin, Ethereum, Tron, Solana et d'autres — la plupart en moins de vingt minutes. Il s'agit, à tous égards, du plus grand vol de l'histoire de la crypto : près de quatre fois le record précédent, la perte de 1,5 milliard de dollars de Bybit en février 2025.
En quelques heures, les entreprises d'intelligence blockchain TRM Labs et Chainalysis ont attribué l'attaque « avec une grande confiance » à TraderTraitor, le groupe nord-coréen lié à l'opération Lazarus. La version de Binance : l'ordinateur portable d'un ingénieur DevOps a été compromis, l'attaquant s'en est servi pour accéder à un conteneur de service, et à partir de là, a soumis des transactions de retrait non autorisées. Environ 3 milliards de dollars ont été gelés avec l'aide de Tether, Circle et Ripple. Binance déclare qu'elle remboursera intégralement chaque utilisateur grâce à son fonds d'assurance SAFU et à ses réserves de l'entreprise.
Cas fermé, semblait dire le marché. Le Bitcoin a baissé, le BNB a chuté, et l'histoire s'est figée dans une forme familière : encore un État-nation pris pour cible, encore une plateforme qui paie l'addition. Mais cette histoire confortable comporte une faille qui la traverse de part en part.
La preuve : aucune clé privée n'a été volée
La phrase la plus importante dans la divulgation de Binance elle-même a été noyée dans le bruit. Binance a déclaré — à plusieurs reprises — que les enquêteurs n'avaient trouvé aucune preuve qu'une clé privée de portefeuille ait été divulguée.
Arrêtez-vous et réfléchissez à ce que cela signifie. Un voleur qui s'introduit de l'extérieur doit prendre quelque chose : une clé, une phrase de récupération, un mot de passe, un secret de signature. C'est ce que signifie « piratage » dans la crypto. Mais ici, rien n'a été pris. Au lieu de cela, l'attaquant aurait utilisé l'infrastructure de signature — le mécanisme de signature EIP-7702 sur Ethereum, des transactions pré-autorisées — pour déplacer des fonds. En termes clairs : l'argent a été déplacé parce que quelque chose à l'intérieur du pipeline de signature de Binance l'a autorisé à bouger.
C'est une différence profonde. Une infrastructure de signature compromise, ce n'est pas « nous avons été volés ». C'est « quelqu'un disposant d'un accès légitime à la signature a déplacé les fonds ». Et les personnes qui détiennent un accès légitime à la signature sont, par définition, à l'intérieur du bâtiment — ou ont été introduites par quelqu'un qui l'est.
Un acteur étatique externe devrait travailler énormément pour atteindre cette couche sans être détecté. Un initié, ou un initié travaillant avec un partenaire externe, s'y trouve déjà. L'histoire de l'« ordinateur portable piraté » est pratique précisément parce qu'elle explique la clé volée manquante — mais il s'agit du propre compte non vérifié de Binance, et elle mérite le même scepticisme que toute première ébaquette d'événements rédigée par une victime.
Un récit contradictoire et intéressé
Si vous suivez les propres communications de Binance, vous verrez que son histoire vacille. Dans un message, les fonds des utilisateurs étaient «totalement sûrs». Dans le suivant, l'entreprise «supporterait toutes les pertes». Ces deux affirmations ne peuvent pas être des banalités. Le compte latino-américain de la société a confirmé un impact d'«environ 6,3 milliards de dollars» tout en avertissant que le chiffre «pourrait continuer à augmenter». Des déclarations sont apparues par intermittence, parfois en contradiction les unes avec les autres — ce que plusieurs médias ont noté.
Rien de tout cela ne prouve une faute. Les entreprises en crise communiquent souvent mal. Mais quand l'entité qui raconte l'histoire est aussi celle qui contrôle l'enquête, le public ne reçoit qu'une seule version des faits — et cette version comporte un intérêt intrinsèque à blâmer un adversaire étranger plutôt qu'une faille chez elle.
L'histoire que personne ne veut mentionner
Voici où la théorie du complot interne cesse d’être une spéculation pour devenir un schéma récurrent.
Premièrement, 2019. En mai 2019, des pirates ont vidé 7 000 bitcoins — environ 40 millions de dollars à l’époque — du portefeuille chaud de Binance. Dans ses propres mémoires, le fondateur Changpeng Zhao écrit qu’il soupçonnait fortement le groupe Lazarus de Corée du Nord, et que les attaquants auraient pu corrompre un employé interne. Ce n’est pas un critique extérieur qui le dit. C’est le fondateur, par écrit, qui admet que la voie de l’insider était envisagée.
Deuxièmement, en 2023, Binance et Zhao ont plaidé coupable à des fédérales et ont payé une résolution de 4,3 milliards de dollars — le plus grand accord dans l'histoire du Trésor des États-Unis pour le maintien de l'ordre contre les crimes financiers. Le département de la Justice a exposé, dans le plus grand détail, comment Binance avait délibérément manqué d'empêcher l'argent criminel : environ 106 millions de dollars en bitcoin provenant directement du marché noir Hydra, des centaines de millions de dollars de plus via le service de mélange Bestmixer, et un scheme pour masquer les utilisateurs américains derrière une étiquette « UNKWN » après avoir affirmé publiquement les bloquer. Les propres paroles de Zhao dans une discussion interne : « Mieux vaut demander pardon que permission.
Troisièmement, la tendance plus large de l'industrie. Les vols d'échange ne sont pas toujours externes. En 2019, le coréen Bithumb a conclu que sa perte de 19 millions de dollars était un travail interne de la part d'un ancien employé avec accès au portefeuille chaud. Le point n'est pas que chaque piratage soit interne. Le point est que l'« hacker de l'État-nation » est le récit par défaut, car c'est celui avec lequel tout le monde — y compris la victime — est le plus à l'aise, et c'est le plus facile à affirmer.
Lorsqu'une entreprise a un historique documenté de dissimulation de ses activités, son récit non vérifié de sa propre violation de sécurité ne doit pas être accepté à la légère. Il ne s'agit pas d'une théorie du complot. C'est une diligence raisonnable de base.
Ce qui permettrait de trancher le débat
La question de l'implication interne est répondable, et la réponse proviendra des preuves que Binance contrôle — ce qui est précisément le problème. Une résolution crédible comprendrait : un rapport forensique indépendant réalisé par un tiers (et non un post-mortem rédigé par l'entreprise) ; l'identité et le périmètre d'accès de chaque autorité de signature impliquée pendant la fenêtre de vingt minutes ; et un compte public des systèmes internes ayant autorisé les retraits.
Jusqu'à ce que ces preuves existent, la position honnête est que cela était très probablement un acte interne — ou une main interne guidant une main externe. L'attribution à la Corée du Nord n'est pas une preuve ; c'est une inférence tirée de similitudes avec des incidents passés. Les similitudes ne sont pas des empreintes digitales.
La conclusion inconfortable : le plus grand vol de l'histoire de la crypto n'a peut-être pas été une effraction. Cela a peut-être été une porte ouverte de l'intérieur. Et une entreprise avec l'histoire de Binance a gagné chaque part de l'attention qui s'ensuit.
FAQ
Combien a été réellement volé à Binance ? Environ 6,3 milliards de dollars ont été transférés hors des portefeuilles chauds de Binance sur dix blockchains en environ vingt minutes le 29 octobre 2026. Environ 3 milliards de dollars ont été gelés ; Binance déclare qu'elle couvrira toutes les pertes des clients grâce à son fonds SAFU et aux réserves de l'entreprise.
Pourquoi certaines personnes pensent-il s'agit d'une opération interne ? Parce que Binance a confirmé qu'aucune clé privée de portefeuille n'a été divulguée. Les fonds ont été transférés via une infrastructure de signature compromise — un accès autorisé, et non des clés volées. Ce type d'accès est celui qu'un insider possède déjà, et Binance a un historique qui rend son histoire de « portable piraté » difficile à prendre au pied de la lettre.
À quel historique font-ils référence ? Dans ses mémoires, CZ a indiqué que le piratage de Binance en 2019 aurait pu impliquer un insider corrompu. En 2023, Binance et CZ ont plaidé coupables à des accusations fédérales et ont versé 4,3 milliards de dollars pour avoir délibérément facilité le blanchiment d'argent et dissimulé les utilisateurs américains aux régulateurs.
N'est-ce pas la Corée du Nord qui est officiellement tenue pour responsable ? Oui — TRM Labs et Chainalysis ont attribué l'attaque au groupe nord-coréen TraderTraitor « avec une grande confiance ». Mais il s'agit d'une inférence basée sur des similitudes avec des incidents passés, et non d'une preuve. La victime contrôle l'enquête, et aucun rapport d'expertise indépendant n'a été publié.
Quelles preuves permettraient de trancher ? Un rapport d'expertise indépendant d'un tiers, un compte rendu complet indiquant quelles autorités de signature ont été sollicitées, et une explication publique de quels systèmes internes ont autorisé les retraits. Rien de tout cela n'a été publié.