Le 29 octobre 2026, vers 16h20 heure de l'Est, des fonds ont commencé à quitter les portefeuilles chauds de Binance sans qu'aucune personne chez Binance ne l'ait approuvé. Au moment où les choses se sont calmées le lendemain matin, Chainalysis estimait le vol à environ 6,4 milliards de dollars et Binance à 6,3 milliards. Cela en fait le plus grand vol de crypto jamais enregistré, environ quatre fois la taille du hack de Bybit qui détenait le titre depuis février 2025. Le chiffre principal est brutal. Le chiffre plus intéressant est l'autre : près de 3 milliards de dollars ont été gelés sur la chaîne en quelques heures, et presque tout cela provenait d'une seule source. Les émetteurs de stablecoins ont appuyé sur un bouton.
Ce bouton est la partie de la crypto dont les natifs de la crypto adorent se plaindre. Cette semaine, c'était la seule chose qui a fonctionné.
Que s'est-il passé dans le hack de Binance ?
L'enquête initiale de Binance pointe vers l'ordinateur portable d'un ingénieur DevOps compromis. De là, l'attaquant a atteint un conteneur de service et a soumis des transactions de retrait que le système a traitées comme légitimes. Binance a ensuite déclaré avoir trouvé des points de brèche supplémentaires au-delà de l'ordinateur portable, et n'avoir vu aucune preuve de fuite de clé privée de portefeuille. Un post-mortem complet est promis une fois les faits vérifiés. Cela dit, le co-PDG Richard Teng a décrit quelque chose de plus chirurgical qu'un vol à l'arraché. Il a déclaré que l'attaque n'était pas une action en un clic, que l'attaquant a utilisé un mécanisme d'autodestruction pour effacer les traces. Et qu'une délégation EIP 7702 a donné à l'attaquant l'autorité d'exécution sur un portefeuille chaud, contournant les contrôles d'approbation normaux. Ido Ben Natan de Blockaid l'a dit clairement : la mise à niveau a donné aux attaquants un moyen de faire cela en un seul balayage. Sans cela, le même drainage aurait nécessité de nombreuses transactions séparées, chacune étant une chance pour la surveillance de se déclencher.Chainalysis et TRM Labs attribuent tous deux le vol à TraderTraitor, l'unité nord-coréenne que le FBI a nommée pour le hack de Bybit. TRM dit qu'il tient cette opinion avec une grande confiance. L'enquêteur on-chain ZachXBT et Chainalysis ont tous deux trouvé des produits de Binance mélangés avec des fonds de l'exploit de Bitget du mois dernier, arrivant à la même adresse via THORChain. Même acteur, deuxième échange en environ quatre semaines.
Comment EIP 7702 a-t-il rendu le drainage plus rapide ?
EIP 7702 est arrivé avec la mise à niveau Pectra d'Ethereum. Il permet à un compte externe ordinaire de déléguer son exécution à du code de contrat intelligent, afin qu'un portefeuille normal puisse regrouper des transactions, sponsoriser le gaz ou suivre des règles de dépenses personnalisées. Selon la spécification EIP-7702, cette délégation est définie par une autorisation signée et reste en vigueur jusqu'à ce qu'elle soit remplacée ou effacée.
Pour les utilisateurs, c'est une fonctionnalité de commodité. Pour un attaquant qui obtient une autorisation valide signée depuis l'infrastructure d'un échange, c'est une clé maîtresse avec un processeur de lots intégré. Au lieu de pousser les retraits un par un à travers les files d'approbation, le code délégué peut balayer un portefeuille en un seul flux. Ivo Georgiev d'Ambire a signalé le risque de suivi : les ingénieurs qui reprennent le contrôle d'un compte compromis peuvent ne pas réaliser qu'une délégation malveillante y est toujours attachée.
Rien de tout cela ne signifie que EIP 7702 est cassé. Cela signifie que l'infrastructure de signature des échanges a désormais une nouvelle classe d'autorisation à surveiller. Et au moins l'un des plus grands opérateurs de l'industrie ne la surveillait pas d'assez près.
Qui a gelé quoi, et à quelle vitesse ?
Chainalysis a chronométré les premiers gels à 17h14 heure de l'Est, environ 54 minutes après les premières sorties. Paolo Ardoino de Tether et Jeremy Allaire de Circle publiaient des totaux de gel avant même que Binance n'ait arrêté les retraits. Voici ce que les émetteurs et protocoles ont rapporté.
| Partie gelante | Actif | Montant gelé | Mécanisme de gel |
|---|---|---|---|
| Tether | USDT | Plus de 1,567 milliard de dollars | Liste noire de l'émetteur dans le contrat du token |
| Circle | USDC | Plus de 800 millions de dollars | Liste noire de l'émetteur dans le contrat du token |
| Conseil de sécurité d'Arbitrum | 74...6M ARB et 8 425 ETH | Environ 30,5 millions de dollars | Action de gouvernance d'urgence sur Arbitrum |
| World Liberty Financial | USD1 et WLFI | 27 millions de dollars USD1, 2 millions de dollars WLFI | Liste noire de l'émetteur |
| Ripple | RLUSD | Non divulgué | Liste noire de l'émetteur |
| First Digital | FDUSD | Non divulgué | Liste noire de l'émetteur |
| Personne | ETH sur le réseau principal, BTC | 0 $ | Aucun n'existe |
Le total cumulé de Binance a atteint environ 3 milliards de dollars gelés. Chainalysis l'estime plus proche de 2,8 milliards de dollars, et Elliptic a estimé qu'environ 44 % des actifs volés ont été gelés, les stablecoins représentant presque tout cela. Tether et Circle à eux seuls représentent environ 2,37 milliards de dollars. Si l'on exclut les émetteurs de stablecoins, l'effort collectif de gel de l'industrie s'élève à quelques dizaines de millions de dollars, dont la majeure partie provient d'une seule action d'urgence du Conseil de sécurité d'Arbitrum.
Pourquoi les hackers ont-ils pu garder les autres 3 milliards de dollars ?
Parce que les autres 3 milliards de dollars étaient, ou sont rapidement devenus, des actifs que personne ne contrôle. L'ETH natif et le BTC n'ont pas de clé d'administration ni de fonction de liste noire. Une fois que la valeur volée s'y trouve, les seuls outils restants sont le traçage, la coopération des échanges et la chance. Certes, les attaquants le savaient et ont agi en conséquence. Chainalysis a tracé environ 500 millions de dollars en stablecoins vers un portefeuille conçu pour un seul travail : convertir des actifs gelables en actifs non gelables. En environ 20 minutes, 325 millions de dollars en stablecoins sont devenus 285 millions de dollars en ETH. Environ dix minutes plus tard, les 175 millions de dollars restants ont été poussés vers des portefeuilles relais. TRM Labs affirme que les attaquants ont également vendu des USDT à des teneurs de marché et emprunté de l'ETH contre des stablecoins en garantie.Fait intéressant, cette dernière tactique a touché Aave directement. Environ 40 minutes avant que les gels n'arrivent, l'exploiteur a déposé 60 millions d'USDT et emprunté environ 19 762 WETH, d'une valeur d'environ 44,6 millions de dollars. LlamaRisk a confirmé que la position était surcollatéralisée et ne présentait aucun risque pour les fournisseurs. Aave a néanmoins gelé 175 réserves V3 sur 16 réseaux et 117 réserves V4 sur quatre réseaux par précaution, puis a réactivé le prêt et l'emprunt le 30 octobre. La logique commerciale est sinistrement intelligente : déposer des USDT qui pourraient être gelés, repartir avec de l'ETH qui ne peut pas l'être, et laisser le protocole de prêt porter le sac de garanties mises sur liste noire.
Notre analyse des données de flux de Chainalysis montre ce que la vitesse a valu à l'attaquant. Échanger 325 millions de dollars de stablecoins contre 285 millions de dollars d'ETH a coûté environ 40 millions de dollars, une décote de 12,3 % due au glissement et à l'exécution précipitée. Payer plus d'un dollar sur huit pour échapper à la liste de gel vous dit à quel point les opérateurs nord-coréens prennent au sérieux le temps de réponse de Tether et Circle. Chainalysis a également signalé des milliers de transactions automatisées, avec de nombreuses adresses fraîches recevant d'abord exactement 1 TRX, et Levin a déclaré que des sommes importantes avaient été déplacées vers des adresses Tron.
Hack de Binance vs hack de Bybit : qu'est-ce qui a changé ?
| Métrique | Bybit (février 2025) | Binance (octobre 2026) |
|---|---|---|
| Montant volé | Environ 1,5 milliard de dollars | 6,3 à 6,4 milliards de dollars |
| Attribué à | TraderTraitor (FBI) | TraderTraitor (Chainalysis, TRM Labs) |
| Point d'entrée | Machine de développeur compromise chez un fournisseur de portefeuille | Ordinateur portable d'ingénieur DevOps compromis, plus d'autres points de brèche |
| Composition des actifs volés | Principalement ETH et ETH staké | Grande part de stablecoins plus ETH, BTC et autres tokens |
| Part gelée | Une petite fraction | Environ 44 à 48 pour cent |
| Premiers gels par les émetteurs | Limités, peu d'actifs gelables | Environ 54 minutes après les premières sorties |
Le contraste est l'histoire. Bybit a perdu presque entièrement de l'ETH non gelable, et l'effort de récupération était surtout un exercice d'observation de son blanchiment. Binance a perdu un tas bien plus gros, mais une tranche bien plus importante de celui-ci se trouvait dans des tokens avec un émetteur derrière eux. Plus la part du portefeuille chaud d'un échange est détenue en stablecoins émis de manière centralisée, plus une partie d'un vol peut être récupérée. C'est une leçon inconfortable pour quiconque a vendu des stablecoins comme « de la crypto sans la volatilité » et a sauté la partie « avec un interrupteur d'urgence ».
Les clients de Binance sont-ils couverts ?
Binance dit que oui. La cofondatrice Yi He a déclaré que l'échange couvrira toutes les pertes, et Changpeng Zhao a publié qu'il s'attend à ce que les fonds des utilisateurs soient entièrement couverts. Binance dit avoir mis de côté plus de 6,34 milliards de dollars de fonds de l'entreprise, dont environ 5 milliards sont déjà détenus dans les mêmes tokens qui ont été volés. Il achète le reste de gré à gré et sur les échanges, avertissant que la faible liquidité pourrait ralentir certains achats.
Étonnamment, les dépôts ont continué à fonctionner. Les retraits ont été suspendus à 18h55 heure de l'Est le 29 octobre, et les dernières indications visent une reprise progressive dans les 40 heures suivant la mise à jour du 30 octobre de Binance, qui tombe ce week-end. Une preuve de réserves mise à jour est attendue d'ici lundi. Binance travaillerait avec le FBI.
Pour votre information, les contreparties ont divulgué leur exposition rapidement. Wintermute a déclaré que son exposition était inférieure à 20 % de ses fonds propres nets, et GSR a déclaré moins de 5 %. Bybit a confirmé qu'il n'était pas affecté.
Comment le marché crypto a-t-il réagi ?
Mal, même si le hack est tombé sur une journée déjà instable après un statu quo de la Fed et de faibles résultats technologiques. Au 30 octobre, les données de CoinGecko montraient le Bitcoin en baisse de 4,9 % sur 24 heures à environ 76 937 $. L'Ether a chuté de 5,7 % à environ 2 211 $. Le BNB a baissé de 8 % à environ 693 $, l'AAVE a perdu 11,3 % et l'UNI 10,7 %. L'indice de peur et de cupidité du Bitcoin est tombé à 30, son plus bas niveau depuis août.
Ce que cela signifie pour quiconque détient de la crypto sur un échange
Quelques leçons pratiques, aucune nouvelle, toutes fraîchement soulignées. Plus important encore, les soldes d'échange sont une reconnaissance de dette. Binance semble capable d'absorber une perte de 6 milliards de dollars. Très peu d'opérateurs sur terre pourraient le faire. Les pauses de retrait se produisent même lorsque l'échange est solvable, et elles arrivent exactement quand vous voulez le plus vos pièces.Les gels de stablecoins coupent dans les deux sens. La même liste noire qui a sauvé environ 2,4 milliards de dollars ici est celle qui peut verrouiller un portefeuille innocent qui a reçu des fonds entachés. Si vous recevez des USDT ou USDC d'une source inconnue après un hack majeur, vérifiez l'adresse d'envoi par rapport aux trackers publics avant de la déplacer.
Vérifiez vos propres délégations EIP 7702. Si vous avez utilisé une fonctionnalité de portefeuille intelligent sur Ethereum, examinez quelles délégations vos comptes portent et effacez celles que vous ne reconnaissez pas. Une délégation malveillante peut survivre au moment où vous avez repris le contrôle.
Gardez les fonds inactifs en auto-conservation. Cela s'applique aux comptes de trading et aux soldes de jeu. Des plateformes comme CryptoCasino.Vegas qui paient les gains directement dans le portefeuille du joueur rendent le principe facile à suivre : moins vos pièces restent dans le portefeuille chaud de quelqu'un d'autre, moins un ordinateur portable compromis à l'autre bout du monde peut vous coûter.
Le chiffre final de récupération évoluera au fur et à mesure du traçage, et l'histoire dit qu'il baisse, pas qu'il monte. Le résumé de Levin de la phase de blanchiment est le bon à retenir : plus les fonds voyagent, moins il y a d'opportunités de saisie. Le bouton de gel a récupéré près de la moitié en une heure. Tout ce qui suit est une poursuite.
