Une intrusion amorcée par un faux recrutement
Le rapport d'incident publié par Binance le 3 novembre fait remonter le début de l'opération à septembre 2026. Sur une plateforme légitime d'offres d'emploi, un ingénieur logiciel a été approché par une personne prétendant diriger un projet pour une société fictive. Dans le cadre de ce faux entretien d'embauche, l'ingénieur a téléchargé un exercice de programmation qui contenait un logiciel malveillant "0-day", passé inaperçu des outils de sécurité.
Selon Binance, les pirates ont ensuite compromis deux autres employés responsables de l'infrastructure des portefeuilles. Ils se sont également servis du mécanisme d'autorisation EIP-7702 d'Ethereum : cette exploitation leur a permis de poursuivre les détournements après l'arrêt des retraits décidé par la plateforme.
Des fonds déplacés en vingt minutes, sur dix blockchains
TRM Labs estime qu'une vingtaine de minutes a suffi pour déplacer la majeure partie des fonds sur dix blockchains. Binance a interrompu les retraits par précaution et, avec l'aide de ses partenaires, a gelé environ 3 milliards de dollars en transit.
Les évaluations du préjudice varient légèrement : TRM Labs le chiffre à 6,36 milliards de dollars, tandis qu'Elliptic avance environ 6,43 milliards. Cette dernière société dit avoir vérifié le gel ou la saisie de 2,85 milliards de dollars d'actifs dérobés.
En retraçant les mouvements à travers des milliers de portefeuilles, Elliptic a observé des indices de blanchiment automatisé. Elle n'a toutefois trouvé aucune preuve que des agents d'intelligence artificielle aient piloté ces transactions.
Le FBI a rendu publiques 628 adresses de cryptomonnaies associées au vol : 608 sur Ethereum, 19 sur Bitcoin et une sur Solana. Il a demandé aux plateformes d'échange et aux fournisseurs d'actifs virtuels de bloquer les transactions correspondantes.
L'attribution à TraderTraitor contestée par Pyongyang
Les sociétés d'analyse TRM Labs et Chainalysis désignent TraderTraitor, une unité de pirates nord-coréens rattachée au groupe Lazarus. Le FBI a confirmé cette piste le samedi 31 octobre.
Le 3 novembre, Kim Yo Jong, sœur du dirigeant nord-coréen Kim Jong Un, a nié toute implication de son pays dans une déclaration diffusée par l'agence d'État KCNA. Elle a qualifié les accusations du FBI de "provocation politique" et de "rhétorique absurde". Elle a aussi rejeté l'attribution du piratage de Bybit de février 2025.
TraderTraitor avait déjà été mis en cause dans ce vol de 1,5 milliard de dollars chez Bybit, qui constituait le précédent record du secteur. D'autres attaques ont été attribuées à des pirates nord-coréens : celle de DMM Bitcoin, pour 308 millions de dollars en mai 2024, celle de Drift, pour 280 millions en avril 2026, et celle de Bitget, pour 387,5 millions en septembre 2026.
Un dossier qui touche aussi à la sécurité régionale
Lazarus fait l'objet de sanctions du Trésor américain depuis 2019, tout comme Bluenorff et Andariel. Les autorités américaines présentent ces groupes comme contrôlés par les services de renseignement militaire nord-coréens. En 2021, le département de la Justice a inculpé trois pirates militaires nord-coréens. En 2023, le Trésor a également sanctionné Sinbad, un mélangeur de cryptomonnaies utilisé comme outil de blanchiment par Lazarus.
Selon les experts, ces vols servent à financer les programmes d'armement de Pyongyang, ce que le régime dément. Cette dimension de sécurité régionale retient notamment l'attention de la Corée du Sud, où les échanges de cryptomonnaies sont très répandus.
Retraits relancés et réserves en cours de reconstitution
Binance a rétabli les retraits le dimanche 1er novembre. En quelques heures, ses clients ont retiré plusieurs milliards de dollars. Au 3 novembre, le solde net restait négatif d'environ 5 milliards de dollars, même si les dépôts avaient recommencé à augmenter.
La plateforme a par ailleurs fait état d'environ 3,64 milliards de dollars de sorties nettes après la réouverture des retraits. Selon elle, ce montant équivaut à environ 2,1 % de ses actifs déclarés.
Binance s'engage à prendre en charge la totalité des pertes de ses clients et indique avoir reconstitué environ 95 % des actifs volés, après avoir annoncé 90 % lors d'une précédente mise à jour. Elle précise que les soldes en BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD et ZEC sont intégralement garantis.
Les 5 % restant à reconstituer concernent des jetons moins liquides. Binance poursuit leur acquisition sur le marché et de gré à gré.
