Entre 20 h 04 et 23 h 56 UTC le 29 octobre 2026, environ 6,3 milliards de dollars d'actifs numériques ont quitté les hot wallets de Binance et ne sont jamais revenus. Selon la société d'analyse blockchain Bitquery, les sorties de fonds se sont étendues sur neuf à dix blockchains distinctes. TRM Labs a évalué le montant à environ 6,36 milliards de dollars et a noté que l'essentiel avait transité en une vingtaine de minutes, à partir de 20 h 05 UTC.

Le moment le plus déterminant est survenu à 20 h 20 min 59 s UTC. La société de sécurité Blockaid a retracé une transaction Ethereum contenant cinquante autorisations dites EIP-7702, toutes dirigées vers le portefeuille connu publiquement sous le nom de Binance 14. Quarante-neuf ont échoué. Une a réussi. Cette seule autorisation a transféré le contrôle du portefeuille à un smart contract contrôlé par l'attaquant, qui a ensuite siphonné 167 464 ETH et 1,6 milliard d'USDT. Un deuxième hot wallet de Binance sur Ethereum a signé séparément neuf transferts d'une valeur de 174 millions de dollars directement vers l'attaquant. Sur Ethereum seul, les données d'Etherscan ont montré une sortie d'environ 2,8 milliards de dollars, composée de 195 470 ETH, 1,615 milliard d'USDT, 780 millions d'USDC et plus de soixante autres jetons.

Pour donner une échelle : le précédent record de vol de cryptomonnaies était le piratage de Bybit de février 2025, pour environ 1,5 milliard de dollars. Celui-ci était environ quatre fois plus important. Le fondateur de Binance, Changpeng Zhao, a publié sur X à 21 h 15 UTC qu'il s'agissait bien, selon toute apparence, d'un piratage, alors que les fonds étaient encore en mouvement.

Dans cet article, nous examinons comment fonctionne réellement un hot wallet d'une plateforme d'échange, ce qu'est l'EIP-7702 et pourquoi elle a transformé une signature en passe-partout, comment l'ordinateur portable compromis d'un ingénieur s'inscrit dans le tableau, pourquoi la version des faits donnée par Binance a évolué, comment environ 3 milliards de dollars ont été gelés en plein transfert, et ce que cet épisode implique pour l'idée de conserver des actifs sur des plateformes d'échange centralisées.

Hot wallets, cold wallets, et pourquoi les plateformes d'échange gardent les deux

Une plateforme d'échange de cryptomonnaies détient les actifs de ses clients selon deux grandes catégories.

  • Les cold wallets sont des espaces de stockage dont les clés privées, les chaînes secrètes qui autorisent une transaction, sont conservées hors ligne. Faire sortir des fonds exige une action physique, délibérée, souvent impliquant plusieurs personnes. C'est sûr, mais lent.
  • Les hot wallets sont connectés à internet et au logiciel propre de la plateforme d'échange. Ils existent pour que, lorsqu'un client clique sur « retirer », les cryptomonnaies arrivent en quelques minutes plutôt qu'en quelques heures. Ce sont la caisse enregistreuse, pas le coffre-fort.

Ce compromis est structurel, et non une erreur. Une plateforme d'échange sans hot wallet ne peut pas fonctionner. Une plateforme d'échange avec un hot wallet dispose d'un système connecté à internet autorisé, par conception, à signer des transactions déplaçant l'argent des clients. De nombreux vols majeurs sur des plateformes d'échange ont visé précisément cette jointure, mais pas tous : le vol de 1,5 milliard de dollars chez Bybit en février 2025 a vidé un cold wallet multisignature Ethereum lors d'un transfert planifié, via une interface de signature manipulée.

Les proportions méritent d'être soulignées. Selon les données de DefiLlama, les portefeuilles publics de Binance détenaient près de 145 milliards de dollars avant le piratage, de sorte que le vol représentait environ 4,4 % du total. C'est un chiffre dévastateur en valeur absolue, et supportable en valeur relative, ce qui explique précisément pourquoi le modèle du hot wallet persiste.

Ce qu'est l'EIP-7702, en termes simples

Ethereum a historiquement connu deux types de comptes. Un compte à propriété externe (externally owned account) est un simple portefeuille contrôlé par une clé privée : il peut détenir des actifs et les envoyer, et c'est tout. Un compte de smart contract est un morceau de code qui peut détenir des actifs et suivre des instructions programmées, mais ne possède pas de clé propre.

L'EIP-7702, introduite avec la mise à niveau Pectra d'Ethereum, brouille cette distinction. Elle permet à un portefeuille ordinaire contrôlé par une clé de déléguer temporairement son exécution à du code de smart contract, en signant un message d'autorisation. En somme, le portefeuille déclare : pour les besoins de cette transaction, traitez-moi comme si j'exécutais ce programme.

L'intention est de faciliter l'usage pour l'utilisateur. La délégation permet des fonctionnalités telles que le regroupement de plusieurs actions en une seule transaction, ou le paiement des frais de gaz par un tiers pour le compte d'un utilisateur, sans forcer les gens à migrer vers une toute nouvelle adresse de portefeuille. C'est une réelle amélioration de l'ergonomie.

Le risque est le miroir exact de cet avantage. Une autorisation EIP-7702 n'est pas un transfert. C'est une cession de contrôle. Approuver la mauvaise autorisation ne fait perdre aucune cryptomonnaie au moment de la signature ; cela revient à remettre les clés de la voiture à un inconnu qui pourra l'emmener plus tard.

C'est exactement ce qui s'est produit. L'autorisation réussie a délégué le hot wallet de Binance à ce qu'Elliptic a décrit comme un contrat « sweeper », un programme conçu dans un seul but : vider en une seule opération tout ce que le portefeuille contient. La transaction qui a vidé le portefeuille était, du point de vue de la blockchain, entièrement valide. Etherscan a fini par étiqueter les adresses de destination « Binance Hot Wallet Exploiter » et « Binance Hot Wallet Exploiter 2 », marquées « Exploit », car il n'existait, au niveau du protocole, aucun sens dans lequel quelque chose se serait mal passé.

La porte humaine

Une autorisation valide doit être signée par quelque chose. À 2 h 23 UTC le 30 octobre, Binance a annoncé une première conclusion : l'ordinateur portable compromis d'un ingénieur DevOps avait permis à un attaquant d'atteindre un conteneur de service et de soumettre des transactions de retrait non autorisées. Un ingénieur DevOps est la personne qui maintient l'infrastructure sur laquelle tournent les systèmes d'une plateforme d'échange ; un conteneur de service est un environnement logiciel isolé où l'un de ces systèmes s'exécute.

Fait crucial, Binance a déclaré n'avoir trouvé aucune preuve qu'une clé privée de portefeuille ait fuité. Le directeur général de Blockaid, Ido Ben-Natan, a indiqué que les preuves pointaient vers une infrastructure de signature compromise plutôt que vers une clé divulguée, et a établi un parallèle avec le piratage de Bybit de février 2025.

Cette distinction compte plus qu'il n'y paraît. Une clé volée est le vol d'un secret. Un pipeline de signature compromis est la subversion d'un processus légitime : le système conserve ses secrets, mais a été amené à les utiliser pour le compte d'un attaquant. De l'extérieur, sur la chaîne, les deux sont indiscernables. Toutes deux produisent des signatures parfaitement valides.

Le mécanisme précis par lequel l'accès à l'ordinateur portable s'est transformé en une autorisation EIP-7702 signée n'a pas été publié, et il serait erroné de se livrer à des conjectures à ce sujet.

Là où les versions divergent

La version des faits de Binance n'est pas restée figée. Après avoir d'abord pointé du doigt l'ordinateur portable, l'entreprise a ensuite déclaré que l'incident résultait de multiples facteurs et que son enquête, toujours en cours, avait révélé des points de violation supplémentaires. Le co-directeur général Richard Teng, qui a succédé à Changpeng Zhao en novembre 2023, a affirmé que l'attaquant n'avait pas simplement utilisé les droits d'un seul ingénieur et qu'il ne s'agissait pas d'une action unique en un clic. Teng a également précisé que l'enquête n'avait attribué de responsabilité à aucun individu.

Les enquêteurs extérieurs ont avancé plus vite sur l'attribution. TRM Labs a imputé le vol à TraderTraitor, une unité de piratage soutenue par l'État nord-coréen, également suivie sous les noms de Lazarus Group et APT38. Binance elle-même n'a lié l'incident à aucun groupe de piratage ni acteur malveillant dans ses propres déclarations.

Cette divergence est normale et non suspecte. Les sociétés de renseignement blockchain attribuent les faits sur la base d'un faisceau d'indices on-chain et hors chaîne, et publient rapidement. Une plateforme d'échange sous surveillance juridique et réglementaire n'attribue que ce qu'elle peut étayer par des preuves. Il convient de noter que, dans les sources disponibles, aucune attribution officielle des forces de l'ordre n'avait été confirmée ; le lien avec la Corée du Nord repose sur l'analyse de sociétés privées.

Le gel : la centralisation discrète des cryptomonnaies

Environ 3 milliards de dollars des fonds volés, soit à peu près la moitié du total, ont été gelés sur la chaîne. Le directeur général de Tether a déclaré que plus de 1,567 milliard d'USDT avaient été gelés. Circle, émetteur de l'USDC, et World Liberty Financial, adossée à Trump, ont également gelé des avoirs en stablecoins.

Ce point mérite qu'on s'y attarde. Un stablecoin indexé sur le dollar est un passif de son émetteur, et l'émetteur conserve la capacité technique de mettre une adresse sur liste noire, rendant les jetons qui s'y trouvent inertes. L'actif demeure sur la blockchain. Il cesse simplement d'être rachetable ou transférable.

Ainsi, le principal facteur d'atténuation dans le plus grand vol de cryptomonnaies de l'histoire n'a été ni la cryptographie, ni la décentralisation, ni l'immuabilité. Ce fut une poignée d'entreprises privées exerçant un contrôle administratif sur leurs propres jetons. L'ETH volé, qui n'a pas d'émetteur, n'a pas pu être gelé de la même manière. La leçon pratique est que plus un actif crypto est centralisé, plus il est récupérable après un vol, et plus ses détenteurs dépendent, le reste du temps, de la discrétion d'un émetteur.

Qui supporte la perte

Binance a déclaré qu'elle couvrirait toutes les pertes grâce à son Secure Asset Fund for Users, connu sous le nom de SAFU, une réserve d'environ 1 milliard de dollars en bitcoin, à laquelle s'ajoutent des fonds propres de l'entreprise. SAFU est un fonds d'assurance que Binance avait constitué précisément pour un événement de ce type. Avec environ 1 milliard de dollars face à une perte brute de 6,3 milliards de dollars, il n'en couvre qu'une fraction, le solde provenant du bilan propre de l'entreprise et, si les efforts de récupération aboutissent, des fonds gelés restitués.

Sur le plan opérationnel, Binance a suspendu les dépôts et les retraits, révoqué l'autorisation de l'adresse concernée, et sollicité les forces de l'ordre ainsi que des partenaires de renseignement blockchain. L'entreprise prévoyait de rétablir les retraits sous environ 48 heures, un délai ensuite décrit comme en passe d'être tenu dans les 45 heures suivant sa dernière mise à jour, après une refonte sécuritaire du service de retrait.

Une suspension des retraits est le moment où une plateforme de négociation devient une question de crédit. Les clients qui pensaient posséder des actifs découvrent qu'ils détiennent une créance sur une entreprise, et la valeur de cette créance dépend de la capacité de l'entreprise à absorber le trou.

Ce que cela signifie pour les plateformes d'échange centralisées

Trois implications inconfortables en découlent.

  • Les nouvelles fonctionnalités de protocole élargissent la surface d'attaque d'une manière que les institutions n'ont pas intégrée dans leur appréciation du risque. L'EIP-7702 est une conception raisonnable, au service d'utilisateurs réels. Elle transforme aussi une signature en transfert de contrôle, ce qui augmente les enjeux de chaque chemin de signature compromis.
  • Le maillon faible demeure humain et opérationnel. Rien dans cette attaque n'a nécessité de briser la cryptographie. Il a fallu atteindre les mécanismes qui utilisent la cryptographie de manière légitime.
  • L'échelle est désormais un facteur de risque en soi. Une plateforme détenant près de 145 milliards de dollars dans des portefeuilles visibles est une cible qui justifie des mois de préparation de la part d'un adversaire aux moyens importants, y compris étatique.

Le contrepoint est que le système a tenu. Binance est restée solvable, environ la moitié des fonds a été immobilisée, et les retraits devaient reprendre dans un délai se comptant en jours, la plateforme indiquant rester en bonne voie pour les relancer dans environ 45 heures à compter de sa dernière mise à jour, après les avoir suspendus vers 22 h 15 UTC le 29 octobre. C'est un résultat sensiblement différent des défaillances de plateformes d'échange observées dans les débuts de l'histoire des cryptomonnaies.

Points clés à retenir pour les investisseurs

  • Environ 6,3 milliards de dollars ont quitté les hot wallets de Binance le 29 octobre 2026 à travers neuf à dix blockchains, soit environ quatre fois le piratage de Bybit de 1,5 milliard de dollars en février 2025.
  • Une seule autorisation EIP-7702 réussie, à 20 h 20 min 59 s UTC, l'une des cinquante tentées dans une même transaction, a délégué un hot wallet de Binance à un contrat « sweeper » contrôlé par l'attaquant.
  • Binance a signalé n'avoir aucune preuve d'une fuite de clé privée, pointant plutôt vers une infrastructure de signature compromise, atteinte via l'ordinateur portable d'un ingénieur DevOps puis, par la suite, des points de violation supplémentaires.
  • Environ 3 milliards de dollars ont été gelés, un total qui inclut des stablecoins gelés par les émetteurs Tether, Circle et World Liberty Financial, ce qui met en lumière le fait que la récupérabilité dans les cryptomonnaies dépend du contrôle centralisé des émetteurs.
  • Binance s'est engagée à couvrir les pertes à l'aide de sa réserve SAFU d'environ 1 milliard de dollars, complétée par des fonds propres, et le vol représentait environ 4,4 % de ses avoirs publiquement visibles.
  • L'attribution à TraderTraitor, groupe nord-coréen, provient de sociétés de renseignement privées, et non de Binance ni de déclarations officielles confirmées des forces de l'ordre dans les informations disponibles.

Conclusion

Ce qui frappe dans ce piratage, c'est à quel point il ne s'agit pas d'un échec de la technologie blockchain. Chaque transaction était valide. Chaque signature était correcte. Le registre a fonctionné exactement comme prévu, ce qui est précisément le problème : un système conçu pour exécuter des instructions sans jugement exécutera les instructions d'un voleur avec la même indifférence que celle qu'il manifeste envers celles d'un client.

Ce qui a stoppé l'hémorragie, ce n'est pas le code, mais des contreparties. Tether a gelé des jetons. Circle a gelé des jetons. Binance a engagé son propre bilan. L'infrastructure qui a limité les dégâts fut précisément la couche centralisée, discrétionnaire et institutionnelle que les cryptomonnaies étaient, à l'origine, conçues pour contourner. Détenir des actifs sur une plateforme d'échange a toujours été un pari sur une institution plutôt que sur un protocole. Le piratage d'octobre 2026 n'a rien changé à cela. Il n'a fait que rendre ce pari lisible, et montrer ce qu'il coûte lorsqu'il arrive à échéance.