Piratage Binance : le casse de 6,3 Md$ expliqué, minute par minute

Le 29 octobre 2026 à 20h20 UTC, une transaction unique a siphonné 167 464 ETH et 63 jetons (dont 1,6 milliard de USDT) du portefeuille chaud de Binance, baptisé « Binance 14 », en trois minutes et demie. Le FBI attribue ce casse de plus de 6 milliards de dollars, le plus important de l'histoire de la crypto, à la Corée du Nord, sous le nom de code TraderTraitor.

L'attribution à Pyongyang n'est pas une surprise en soi : ce groupe finance une partie de son appareil militaire par le piratage de plateformes crypto depuis des années. Ce qui mérite d'être décortiqué, c'est la mécanique précise de l'attaque telle que l'ont reconstituée les enquêteurs blockchain d'Elliptic : une faille de signature exploitée avec une précision chirurgicale, suivie d'un circuit de blanchiment en plusieurs étapes que Binance et le FBI ont documenté dans le détail.

01Le point d'entrée : EIP-7702, la fonctionnalité retournée contre Binance

EIP-7702 est une fonctionnalité introduite par la mise à jour Pectra d'Ethereum en 2025 : elle permet à un portefeuille classique de se comporter temporairement comme un smart contract, pour signer plusieurs opérations d'un coup. Pratique pour simplifier l'expérience utilisateur, elle devient redoutable entre de mauvaises mains.

50 autorisations validées en une seule transaction

Selon l'analyse d'Elliptic, à 20h20 UTC le 29 octobre, l'attaquant a soumis « une transaction unique portant 50 autorisations, toutes signées validement avec la clé du portefeuille chaud de Binance connu sous le nom de Binance 14 ». Autrement dit : la clé privée du portefeuille était déjà compromise en amont, et EIP-7702 a servi à transformer cette compromission en 50 permissions de transfert d'un seul geste, plutôt que d'enchaîner des dizaines de transactions repérables une par une.

Ce choix technique dit quelque chose d'important : les attaquants n'ont pas cherché une faille dans le code de Binance, mais dans la confiance accordée à une signature. Le même type de raisonnement, exploiter une brique technique légitime plutôt que forcer une porte, se retrouve dans d'autres vagues récentes comme la faille PHP2Shell, où des millions de serveurs ont été touchés via un composant standard détourné.

02Le contrat « sweeper » : une attaque répétée à l'avance

Vider un portefeuille contenant 167 464 ETH et 63 jetons différents en quelques minutes suppose un script prêt à l'emploi, pas une improvisation en direct. Elliptic a retrouvé la trace d'un contrat « sweeper » (balayeur) déjà utilisé « sur un autre portefeuille environ quatre heures avant » l'attaque réelle, preuve d'une répétition générale avant le coup final.

Un contrat déjà répété quatre heures avant, un vidage en trois minutes trente : l'attaque n'a laissé aucune place à l'improvisation.

Une fois les 50 autorisations validées, ce contrat a automatiquement routé les actifs vers les adresses de l'attaquant : 167 464 ETH et 63 jetons, dont 1,6 milliard de dollars de USDT, en trois minutes et demie. La vitesse d'exécution est ce qui rend ce type d'attaque quasiment impossible à stopper en temps réel, même avec une équipe de sécurité en alerte.

03Le blanchiment, minute par minute

Avant même de lancer l'attaque, les pirates ont dû financer le portefeuille qui allait porter l'opération. Elliptic a identifié « trois retraits de 0,1 ETH depuis le mixeur Tornado Cash » entre le 28 et le 29 octobre, un montant volontairement minime pour ne pas attirer l'attention, mais suffisant pour payer les frais de transaction de l'attaque elle-même.

Peel chain et conversion vers Ethereum

Une fois les fonds volés, 18 270 BTC ont été fractionnés via une « peel chain » (chaîne d'effeuillage) répartie sur 19 adresses Bitcoin, une technique qui consiste à détacher de petites sommes à chaque saut pour brouiller la piste. Le FBI confirme la suite du mouvement : « des acteurs malveillants originaires de Corée du Nord ont été observés en train de blanchir les actifs volés en les convertissant principalement en la cryptomonnaie Ethereum », via des swaps sur des plateformes d'échange décentralisées (DEX).

Pour aider les plateformes et les enquêteurs à geler ce qui reste traçable, le FBI a publié une liste de 608 adresses Ethereum, 19 adresses Bitcoin et une adresse Solana liées aux pirates.

04La réponse de Binance : SAFU et reprise des retraits

Binance a annoncé avoir remplacé environ 90 % des actifs volés en puisant dans son fonds d'assurance SAFU (doté d'1 milliard de dollars), son fonds d'assurance futures et sa trésorerie d'entreprise. La plateforme a assumé publiquement le coût de l'incident : « Binance va absorber l'impact financier des fonds volés, pas nos utilisateurs », a déclaré l'exchange selon Al Jazeera.

Les retraits, suspendus pendant l'enquête, ont rouvert par étapes le 1er novembre 2026 : le réseau Bitcoin à 6h20 UTC, puis Ethereum et BNB Smart Chain à 7h49 UTC, une fois la bascule vers des portefeuilles jugés sûrs achevée.

05Ce que ça révèle sur la confiance algorithmique des plateformes crypto

Ce piratage n'est pas un bug de smart contract classique : c'est une attaque contre la chaîne de confiance qui entoure une signature. EIP-7702 n'a pas de faille en soi, mais son usage suppose que la clé qui signe est restée sous contrôle exclusif de son propriétaire légitime, ce qui n'était plus le cas ici. Nous détaillons dans un article compagnon ce que ce vol dit des accès privilégiés sur les grandes plateformes, un angle complémentaire à la mécanique technique décrite ici. Pour le contexte, voir notre article sur la fuite des agents du DHS via Okta.

Pour les exploitants de plateformes financières ou de sites à fort trafic, la leçon dépasse la crypto : une permission accordée une fois, même via un mécanisme présenté comme une simplification UX, reste une porte ouverte tant qu'elle n'est pas révoquée ou limitée dans le temps. L'écart entre « signer » et « faire confiance » est exactement ce que cette attaque a exploité.

Chris Waoo

Consultant SEO · fondateur de Cat's Eye Web

Écrit sur le SEO technique, l'IA et Google Discover à partir de tests terrain. Créateur de l'outil d'audit Cat's Eye. @ChrisWaoo