Selon la reconstitution publiée par TRM Labs, les pirates ont préparé l’attaque pendant au moins 36 heures. Le 28 octobre au matin, un portefeuille utilisé par les attaquants a reçu trois petits retraits venus du mélangeur Tornado Cash, puis le code malveillant a été testé sur deux portefeuilles le 29 octobre, et une dernière fois sur un troisième, environ quatre heures avant l’attaque. Le vol lui-même a commencé à 20 h 05 (heure de Paris, 21 h 05), quand cinq portefeuilles de Binance sur le réseau XRP ont envoyé 233,46 millions de XRP vers une seule adresse. À 20 h 20, un portefeuille Bitcoin de la plateforme a transféré 18 270 bitcoins, et dans les deux minutes suivantes, un portefeuille sur le réseau Tron a envoyé 612,7 millions d’USDT. Sur Ethereum, les pirates ont soumis au même moment 50 autorisations signées à l’avance, qui leur ont donné le contrôle du portefeuille de Binance, et en 3 minutes et 24 secondes, ils ont vidé l’ensemble de son solde, soit 167 464 ethers et 1,615 milliard d’USDT. En tout, dix blockchains ont été touchées, et une seconde vague a visé les portefeuilles d’Avalanche et de Polygon vers 23 h 05.
Changpeng Zhao confirme le premier
C’est le fondateur de Binance, Changpeng Zhao, qui a confirmé le premier le piratage. “Cela ressemble bien à un piratage de Binance”, a-t-il écrit sur X, en assurant qu’il s’attendait à ce que les fonds des utilisateurs soient “entièrement couverts”. Binance a ensuite suspendu les retraits sur plusieurs réseaux, puis les dépôts, par précaution. “Nos équipes travaillent jour et nuit pour résoudre ce problème de façon sûre et complète”, a indiqué la plateforme, qui affirme que les fonds de ses clients sont “entièrement en sécurité”. Yi He, cofondatrice et codirigeante de Binance, a précisé que la société couvrirait “toutes les pertes liées au piratage”, grâce à son fonds d’urgence SAFU, qui contient environ un milliard de dollars en bitcoins, et à ses propres fonds.
Our team is conducting security checks. Withdrawals will resume as soon as the security issue is fully resolved.
User funds remain safe.
We’ll keep you updated. Thank you for your patience. pic.twitter.com/7NuxbZwE3M
— Binance (@binance) October 29, 2026
Un ordinateur d’ingénieur à l’origine de l’attaque
Dans la nuit du 29 au 30 octobre, Binance a publié les premiers résultats de son enquête. “L’enquête initiale de Binance suggère que l’incident de sécurité pourrait impliquer l’ordinateur portable compromis d’un ingénieur DevOps”, explique la société, qui précise que l’attaquant aurait ainsi pu accéder à un conteneur de service et y lancer des retraits non autorisés. Elle ajoute ne pas avoir trouvé “la moindre preuve d’une fuite de clé privée de portefeuille” et promet une analyse détaillée une fois l’enquête terminée. TRM Labs estime de son côté que les pirates contrôlaient le système de signature des transactions de Binance sur plusieurs blockchains.
Les pirates nord-coréens de TraderTraitor
TRM Labs attribue l’attaque avec un haut degré de confiance à TraderTraitor, une unité de pirates nord-coréens liée au groupe Lazarus. Le FBI avait déjà attribué à ce groupe le piratage de Bybit, qui avait coûté 1,5 milliard de dollars à la plateforme en février 2025. Jonathan Levin, PDG de Chainalysis, et l’enquêteur indépendant ZachXBT désignent eux aussi la Corée du Nord. Ari Redbord, responsable des affaires publiques de TRM Labs, parle d’une attaque sans précédent, qui finance selon lui la prolifération des armes nord-coréennes. En 2025, les pirates avaient volé au total 2,87 milliards de dollars en cryptomonnaies, en près de 150 attaques, d’après TRM Labs.
Près de 3 milliards de dollars gelés
Une partie de l’argent a pu être bloquée dans les heures qui ont suivi. Tether a gelé à partir de 21 h 01 environ 1,57 milliard de dollars d’USDT, et Circle a gelé plus de 800 millions de dollars d’USDC à 21 h 04, en coordination avec les autorités. Ripple, World Liberty Financial et le conseil de sécurité d’Arbitrum ont également bloqué des fonds, et Binance chiffre le total gelé à environ 3 milliards de dollars. Les pirates conservaient toutefois encore environ 2,4 milliards de dollars, dont plus de 420 000 ethers et les 18 270 bitcoins. Ils ont déjà commencé à revendre une partie des USDT volés sur des plateformes décentralisées comme Uniswap, en acceptant une décote de plus de 10 %, et ils ont emprunté environ 20 000 ethers sur Aave, qui a gelé les marchés concernés.
Le bitcoin à son plus bas depuis six semaines
L’annonce a fait chuter le marché. Le bitcoin a perdu près de 5 % pour passer sous les 77 000 dollars, avant de tomber à 76 368 dollars vendredi matin, à l’ouverture des marchés asiatiques, son plus bas niveau depuis six semaines, puis de remonter vers 78 500 dollars. Ether a perdu 5,7 % et le BNB, la cryptomonnaie de Binance, environ 8 %. À Wall Street, l’action de Coinbase a reculé de 4,7 %. Selon DefiLlama, Binance détenait environ 144 milliards de dollars d’actifs avant le piratage, ce qui fait que les sommes volées en représentent environ 4 %. Vendredi 30 octobre, les dépôts fonctionnaient de nouveau, et Binance annonçait une reprise progressive des retraits dans les 48 heures.