Binance met en garde les propriétaires d'iPhone. Une faille, baptisée worse_query, vient d’être découverte dans le système d’exploitation iOS. Elle permet à une application malveillante de lire les fichiers des autres applications, y compris les phrases de récupération des portefeuilles crypto. Selon les chercheurs, la brèche n'a toujours pas été corrigée par Apple, ce qui met en danger les investisseurs qui utilisent un iPhone.
Pour écouler les 6,4 milliards de dollars volés à Binance, les pirates nord-coréens ont trouvé une astuce plutôt inattendue. Les truands ont en effet créé leurs propres memecoins, des cryptomonnaies parodiques, et ils s'en servent massivement pour brouiller les pistes. Les memecoins utilisés par les hackers représentent notamment des singes, un canard et Elon Musk.
Binance France n’a pas obtenu l’agrément européen MiCA et fermera tous les comptes de ses clients le 31 décembre 2026. Les utilisateurs qui laissent encore des cryptos sur la plateforme paieront des frais dès le 29 novembre, et c’est donc cette date qu’il faut retenir.
Binance tire le rideau en France. Dans un mail adressé à ses clients, la plateforme d'échange annonce la fermeture de tous les comptes français au 31 décembre 2026, faute d'avoir obtenu l'agrément européen MiCA. Dès le 29 novembre, les utilisateurs qui n'ont pas encore retiré leurs cryptomonnaies devront payer des frais.
N’ayant toujours pas d’agrément MiCA pour opérer dans l’Union européenne, Binance vient d’annoncer une mauvaise nouvelle à ses clients français. Les comptes seront clôturés au 31 décembre et des frais seront prélevés à partir du 29 novembre.
Une clé à molette à 5 dollars, version Face ID. La bande dessinée xkcd raillait déjà en 2009 les geeks qui croient leur chiffrement inviolable, puisqu’un voyou bien outillé finit toujours par obtenir le mot de passe. L’investisseur Evan Luthra a vécu la variante mobile de cette blague à Oxford, et il raconte pour la première fois comment ses comptes d’exchange ont été vidés en une demi-heure.
Près d’un million de dollars a été récupéré depuis. Le procès n’aura pas lieu avant novembre 2027, un délai que les victimes françaises de crypto-rapts connaissent bien.
Points clés
Cinq agresseurs masqués ont utilisé le visage de Luthra pour ouvrir son téléphone et ses applis d’exchange.
Plus de 2 millions de dollars en cryptos ont quitté Binance et Gate, en plus d’une montre de luxe.
Binance a restitué 370 000 dollars, et une ordonnance judiciaire britannique a permis d’en geler davantage.
Un seul suspect est inculpé à ce stade, pour un procès repoussé de plus d’un an.
Tous les bonus OKX du moment, réunis au même endroit. Jusqu'à 300 € à l'ouverture de votre compte et plusieurs autres offres : il ne reste qu'à choisir.
Face ID et cinq cagoulés : trente minutes pour vider Binance et Gate
Le 4 novembre 2025, Evan Luthra est assis dans une voiture privée avec quatre autres passagers. Selon son récit à BeInCrypto, le véhicule bifurque soudain vers une route isolée.
Cinq hommes masqués montent à bord. Ils le frappent et préviennent le groupe qu’ils ne sont là que pour lui.
Les agresseurs commencent par sa montre. C’est une Richard Mille en édition spéciale, que la police estime à 450 000 livres.
Puis ils placent son téléphone devant son visage. Face ID déverrouille l’appareil, et les applis d’exchange suivent.
Sur Binance, un peu plus de 1,5 million de dollars d’actifs partent. Environ 600 000 dollars en ETH quittent ensuite son compte Gate. Les ravisseurs tentent même d’atteindre ses comptes bancaires avant de descendre du véhicule, une demi-heure plus tard, dans le quartier de Five Mile Drive au nord d’Oxford.
« Ils étaient cinq, alors je leur ai tout donné », résume Luthra.
Personne n’a eu besoin de pirater quoi que ce soit. Un visage, un téléphone allumé et des comptes connectés ont suffi.
La plupart des grands exchanges proposent pourtant une liste blanche d’adresses de retrait, qui bloque tout envoi vers un portefeuille non enregistré à l’avance. Un agresseur peut exiger sa désactivation sur place. Mais chaque étape ajoutée rallonge une scène que les ravisseurs veulent la plus courte possible.
Binance rend 370 000 dollars et Luthra garde 10 millions sur la plateforme
Une fois ses appareils récupérés, Luthra appelle ses contacts chez Binance et MEXC. Une partie des fonds est gelée en route.
Binance lui restitue environ 370 000 dollars. Le reste passe par une ordonnance prise au titre du Proceeds of Crime Act, la loi britannique sur les produits du crime. D’après Luthra, c’est la première ordonnance de ce type qui vise Binance.
Au total, il a récupéré un peu moins d’un million de dollars. Il reproche en revanche à la police d’avoir tardé à lui rendre l’accès à son téléphone, un délai qui aurait selon lui alourdi la facture.
Sa gratitude envers Binance a pris une forme inattendue. Dans la foulée du piratage record du 29 octobre, chiffré à 6,3 milliards de dollars et attribué par le FBI à la Corée du Nord, il a expliqué sur X qu’il gardait près de 10 millions de dollars sur la plateforme pour son trading quotidien.
I was kidnapped last year and had over a million dollars stolen from my Binance account.
And right now, in the middle of the biggest hack crypto has ever seen, I still have almost $10M sitting on Binance.
L’an dernier, j’ai été enlevé et on m’a volé plus d’un million de dollars sur mon compte Binance.
Et en ce moment, en plein milieu du plus gros piratage que la crypto ait jamais connu, j’ai toujours près de 10 millions de dollars sur Binance.
Voici pourquoi. Une partie de cet argent a été gelée après le vol. Quelques exchanges sont intervenus pour m’aider, mais Binance a été le plus rapide et m’en a restitué une partie. Ça ne s’oublie pas.
Depuis des années, je conseille de garder ses cryptos dans son propre wallet et de ne pas utiliser les exchanges pour du stockage à long terme. Je le pense toujours. Ces 10 millions servent à mes trades et à mes investissements au quotidien.
Binance affirme qu’il couvrira toutes les pertes du piratage de 6,3 milliards de dollars. Mais ce ne sera pas le dernier. Les hackers sont de plus en plus malins, et l’IA va les rendre bien meilleurs. Toute l’industrie doit se réveiller.
La plupart des gens y verront une raison de vendre. J’y vois une opportunité d’achat.
Alors soyez honnêtes : vous retirez vos fonds ou vous achetez le creux ?
Evan Luthra sur X, le 30 octobre 2026
Le procès des ravisseurs d’Evan Luthra repoussé à 2027
Thames Valley Police a confirmé l’attaque dès novembre 2025. Quatre hommes de 19 à 37 ans ont d’abord été arrêtés pour vol et enlèvement, puis relâchés sous caution.
En décembre, Abdul Malik Cali, 24 ans, a été interpellé à l’aéroport d’Heathrow. Il est poursuivi pour cinq chefs de complot en vue de commettre un vol. Cinq autres personnes arrêtées dans ce dossier étaient alors sous caution, et Cali reste à ce jour le seul inculpé.
Les montants divergent selon les sources. La police évoquait d’abord 1,1 million de livres en cryptos, puis 1,5 million au moment de l’inculpation, quand Luthra avance plus de 2 millions de dollars.
Le procès a glissé à novembre 2027. Luthra dit comprendre que l’enquête prenne son temps, mais juge très décevant d’attendre une année supplémentaire.
En France, le parquet national anticriminalité organisée recensait en avril 135 enlèvements et séquestrations liés aux cryptos depuis 2023, dont 47 sur les quatre premiers mois de 2026. Ces dossiers ont déjà abouti à 88 mises en examen.
OKX rassemble tous ses bonus du moment sur une seule page. Au programme : jusqu'à 300 € à l'ouverture de votre compte, et d'autres offres à piocher selon ce qui vous intéresse. Le tout sur un exchange agréé MiCA, avec spot, trading bots et copy trading.
La valeur liquidative d’un fonds crypto est un chiffre que la plupart des porteurs de parts regardent sans se demander d’où il sort. Le piratage de Binance, le 29 octobre, a montré que ce chiffre peut devenir difficile à établir. Pendant plusieurs jours, la plus grande plateforme du marché a bloqué les retraits de tous ses clients. Le lundi suivant, Mercado Bitcoin, au Brésil, gelait à son tour dépôts et retraits, sans date de reprise. Pour un particulier, l’attente est pénible. Pour un fonds qui détient une partie de ses actifs sur la plateforme concernée, elle pose un problème de calcul : il faut quand même publier un prix de part, alors qu’une fraction du portefeuille ne peut plus être déplacée.
Ce septième volet de notre série explique ce qu’il y a derrière ce chiffre. Vous verrez comment se calcule la valeur liquidative d’un fonds crypto, pourquoi le prix retenu pour un bitcoin dépend d’une heure et d’une source fixées à l’avance, ce que le fonds peut faire d’actifs immobilisés sur une plateforme, et pourquoi ce choix décide qui, parmi les investisseurs, supporte la perte éventuelle.
Cet article vous est proposé par DCY. Pour découvrir leur approche, rendez-vous sur dcy.fund.
Points clés
La valeur liquidative (VL) est la valeur nette du fonds divisée par le nombre de parts. C’est le prix auquel on entre et on sort, et elle est calculée par un administrateur distinct du gérant.
Pour des cryptos cotées partout à des prix différents, la VL repose sur une source de prix et une heure de relevé inscrites dans les documents du fonds. Le 10 octobre 2025, l’USDe est tombé vers 0,65 $ sur Binance alors qu’il tenait près de 1 $ ailleurs : la source change le résultat.
Quand des actifs sont bloqués sur une plateforme, le fonds peut les garder à leur prix de marché, leur appliquer une décote, les isoler dans un compartiment à part (side pocket) ou suspendre le calcul de la VL.
Garder des actifs gelés à 100 % favorise ceux qui sortent tout de suite, aux dépens de ceux qui restent. Sur notre exemple, l’écart atteint 1,11 € par part.
Comment se calcule la valeur liquidative d’un fonds crypto
Le calcul lui-même est simple. On additionne tout ce que le fonds possède (cryptos, stablecoins, positions sur dérivés, liquidités en banque), on retire tout ce qu’il doit (frais de gestion courus, commission de performance provisionnée, factures des prestataires), et on divise ce montant net par le nombre de parts en circulation.
Prenons un fonds qui détient l’équivalent de 10,4 millions d’euros d’actifs et doit 200 000 euros de frais. Son actif net vaut 10,2 millions. S’il a émis 85 000 parts, chacune vaut 120 euros. Un nouvel investisseur qui apporte 120 000 euros reçoit 1 000 parts, et un porteur qui en rend 1 000 reçoit la même somme, frais de sortie éventuels mis à part.
Il faut retenir deux points. Le premier : la commission de performance est provisionnée dans la VL au fil de l’eau, avant même d’être prélevée. Le prix publié est donc net des frais déjà acquis par le gérant, avec le mécanisme de high water mark décrit dans notre cinquième volet. Le second : le calcul ne revient pas au gérant. Dans un fonds bien organisé, c’est un administrateur indépendant qui rapproche les soldes des plateformes, des banques et des wallets, applique les règles de valorisation et arrête le chiffre.
La fréquence varie d’un fonds à l’autre : quotidienne, hebdomadaire ou mensuelle. Elle fixe aussi le rythme des entrées et des sorties, puisqu’on ne peut souscrire ou racheter qu’à une date où une VL est calculée.
Quel prix pour un bitcoin ?
Une action du CAC 40 a un cours de clôture officiel. Un bitcoin n’en a pas. Il s’échange en continu, sept jours sur sept, sur des dizaines de plateformes, et son prix diffère légèrement de l’une à l’autre. Pour valoriser un portefeuille, il faut donc choisir une heure de relevé (le cut-off, souvent minuit UTC) et une source : le prix d’une plateforme donnée, une moyenne de plusieurs plateformes, ou un indice publié par un fournisseur spécialisé.
En temps normal, l’écart entre ces options se compte en dixièmes de pour cent. Les jours de crise, il peut devenir énorme. Le 10 octobre 2025, pendant la chute qui a liquidé des milliards de dollars de positions en quelques heures, l’USDe d’Ethena s’est échangé vers 0,65 $ sur Binance, alors qu’il restait proche de 1 $ sur la plupart des autres places. Un fonds qui valorisait ses USDe au prix de Binance ce soir-là affichait une perte de 35 % sur cette ligne. Le même fonds, avec un indice multi-plateformes, n’aurait presque rien vu.
Les deux méthodes se défendent. En revanche, un gérant ne doit pas pouvoir choisir la source après coup, selon le chiffre qu’elle donne. La règle de valorisation doit donc figurer dans les documents du fonds, et rester la même d’un mois sur l’autre. Pour les dérivés, la logique est identique : un contrat perpétuel se valorise au mark price de la plateforme, qui sert aussi à calculer les liquidations, et non au dernier prix échangé.
Des actifs bloqués sur une plateforme
Revenons au gel des retraits. Les actifs d’un fonds restent affichés sur son compte, la plateforme continue parfois de fonctionner pour le trading, mais rien ne sort. Le fonds a quatre façons de traiter ces avoirs dans sa VL.
Les garder à leur prix de marché. C’est la solution par défaut quand la plateforme est solvable et que le blocage est technique. Elle devient dangereuse si le doute porte sur la capacité de la plateforme à rendre les fonds.
Leur appliquer une décote. L’administrateur réduit leur valeur d’un pourcentage qui reflète la probabilité de perte. Le choix du pourcentage est délicat, et il se révise à chaque calcul.
Les isoler dans uneside pocket. Les actifs bloqués sortent du portefeuille principal et vont dans un compartiment séparé, détenu par les investisseurs présents au moment du gel, au prorata de leurs parts. La VL principale ne contient plus que des actifs liquides, et les entrées comme les sorties se font à ce prix. Ce qui sera récupéré sur la plateforme reviendra plus tard aux seuls porteurs de la side pocket.
Suspendre le calcul de la VL. Sans prix fiable, le fonds arrête de calculer et ferme les souscriptions comme les rachats. La plupart des documents de fonds prévoient ce cas en cas d’événement qui empêche de valoriser les actifs, mais une suspension longue pèse lourd sur la confiance des investisseurs.
Qui paie la perte : un exemple chiffré
Selon l’option retenue, la perte éventuelle ne retombe pas sur les mêmes investisseurs : ceux qui sortent pendant le gel, ou ceux qui restent.
Un fonds vaut 10 millions d’euros, répartis en 100 000 parts à 100 euros. Deux millions sont bloqués sur une plateforme gelée. Un investisseur demande le rachat de 10 000 parts.
Si le fonds garde les avoirs bloqués à 100 %, la VL reste à 100 euros. L’investisseur reçoit 1 million, payé avec les actifs liquides. Quelques mois plus tard, la plateforme ne rend que la moitié de ce qu’elle détenait : le fonds perd 1 million. Il reste 8 millions pour 90 000 parts, soit 88,89 euros par part.
Si le fonds avait appliqué dès le départ une décote de 50 % sur les avoirs bloqués, la VL serait tombée à 90 euros. L’investisseur sortant aurait reçu 900 000 euros, et ceux qui restent garderaient des parts à 90 euros une fois la récupération faite.
Dans le premier cas, celui qui est sorti vite a touché 100 000 euros de trop, et chacun des porteurs restants a perdu 1,11 euro par part pour les lui payer. C’est la raison d’être des décotes, des side pockets et des suspensions : empêcher qu’une information connue de tous, mais pas encore intégrée dans le prix, permette aux plus rapides de sortir au détriment des autres.
FTX, le précédent
En novembre 2022, la faillite de FTX a posé exactement ces questions, à une échelle bien plus grande qu’un gel de quelques jours. Plusieurs fonds avaient une part importante de leurs actifs sur la plateforme. Galois Capital, un fonds spécialisé dans les dérivés crypto, y avait laissé environ la moitié de son capital. Il a fermé quelques mois plus tard, en rendant aux investisseurs l’essentiel des actifs qui n’étaient pas sur FTX et en gardant la créance à part, faute de pouvoir lui donner un prix.
La suite de la faillite est instructive. Les créanciers de FTX ont été remboursés au-delà de 100 % de leur créance, mais en dollars, sur la base des cours du jour de la faillite, quand le bitcoin valait environ 16 900 dollars. Un fonds libellé en bitcoin a donc récupéré des dollars là où il détenait des bitcoins, et a manqué toute la hausse qui a suivi. C’est la différence entre rendement en dollars et rendement en bitcoin que nous avons décrite dans notre quatrième volet, appliquée à une créance de faillite.
Ce qu’un investisseur peut demander
Derrière chaque VL publiée, il y a des règles de calcul. Quatre questions permettent de les connaître :
Qui calcule la valeur liquidative, à quelle fréquence, et en combien de jours après la date de valorisation ?
Quelle source de prix et quelle heure de relevé sont retenues pour les cryptos et les dérivés, et où cette règle est-elle écrite ?
Quelle part des actifs est détenue sur une même plateforme, et combien de plateformes le fonds utilise-t-il ?
Si une plateforme gèle les retraits, qui décide du traitement des actifs bloqués, et comment les investisseurs en sont-ils informés ?
Les trois premières réponses doivent être précises et figurer dans les documents du fonds. La quatrième ne peut pas l’être autant : un gel de retraits peut durer deux jours ou deux ans, toucher une plateforme solvable ou une plateforme en faillite, et aucun gérant ne peut écrire à l’avance la bonne réponse à chaque cas. L’investisseur peut en revanche savoir qui prendra la décision, sur quels éléments, et dans quel délai il sera prévenu.
Cet article vous a été proposé par DCY. Retrouvez leurs stratégies et leur cadre de gestion sur dcy.fund.
Timing impeccable. Binance a annoncé samedi 7 novembre le départ de son directeur financier Kaiser Ng, neuf jours après le piratage le plus coûteux de l’histoire des cryptomonnaies. La plateforme venait à peine de rouvrir ses retraits et de voir filer des milliards de dollars en vingt-quatre heures. La co-CEO Yi He assure que la succession se préparait depuis six mois et le calendrier n’en fait pas moins jaser.
Les points clés de cet article :
Binance a annoncé le départ de son directeur financier, Kaiser Ng, neuf jours après un piratage historique de 6,3 milliards de dollars.
Le régulateur singapourien a critiqué Binance, rappelant que l’exchange n’a pas le droit de fournir des services financiers réglementés à Singapour.
Tous les bonus OKX du moment, réunis au même endroit. Jusqu'à 300 € à l'ouverture de votre compte et plusieurs autres offres : il ne reste qu'à choisir.
Kaiser Ng quitte Binance, Justin Yek hérite des comptes
L’annonce tient en quelques lignes transmises à Bloomberg et reprises par The Block. Kaiser Ng « a décidé de se lancer dans un nouveau projet » après plus de cinq ans chez Binance, selon Yi He. Son remplaçant s’appelle Justin Yek, jusqu’ici vice-président finance de la fintech de paiement Airwallex. Binance ne précise ni la date d’effet du départ, ni la nature de ce nouveau projet.
Kaiser Ng occupait le poste de directeur financier de Binance depuis janvier 2022, après un passage chez Kraken. Il tenait donc la caisse pendant les années les plus chahutées de l’exchange : l’amende de 4,3 milliards de dollars négociée avec la justice américaine en novembre 2023 et le départ forcé de Changpeng Zhao. Puis le 29 octobre est arrivé.
Hasard du calendrier ? Yi He a voulu couper court. Selon elle, le plan de transition « a été mis en œuvre au cours des six derniers mois ». Soit bien avant le piratage. Vous pouvez la croire sur parole. Mais aucun document public n’étaye ce calendrier, et une entreprise non cotée n’a aucune obligation d’en produire un. Yi He elle-même ne partage le fauteuil de co-CEO avec Richard Teng que depuis décembre 2025.
Piratage de Binance : 6,3 milliards de dollars envolés et un blanchiment méthodique
Retour sur la facture. Le 29 octobre, TraderTraitor a vidé des wallets de Binance sur plusieurs blockchains. Le FBI attribue l’attaque à ce groupe nord-coréen. Elliptic chiffre le butin à 6,43 milliards de dollars, dont 1,48 milliard en bitcoin. Binance parle de 6,3 milliards et a promis de ne rien répercuter sur ses clients. Son rapport d’incident du 3 novembre décrit une opération de plusieurs mois, avec un outil de développement piégé, un faux entretien d’embauche et des outils d’IA internes compromis qui ont ouvert l’accès à l’infrastructure de signature des wallets.
Les retraits ont rouvert le 1er novembre pour le bitcoin, puis pour une quinzaine de réseaux. Pas tous. Vendredi 6 novembre, Binance indiquait encore sur X viser la fin de la semaine suivante pour HYPE, INJ, APT, NEAR ou LTC. L’exchange avait reconstitué environ 95 % des actifs touchés au 2 novembre en piochant dans sa trésorerie et son fonds d’urgence SAFU.
Pendant ce temps, les pirates travaillent. D’après le dernier rapport d’Elliptic, les pirates ont déjà converti en bitcoin environ 124 millions de dollars d’altcoins. Ils ont pour cela utilisé plus de 20 000 wallets répartis sur 16 blockchains. Le XRP volé passe par le protocole d’échange THORChain. Quant au SOL, il a presque entièrement basculé en bitcoin. Le blanchiment des fonds volés reste pourtant loin d’être terminé. Le secteur a toutefois gelé près de 2,85 milliards de dollars. Environ 3,11 milliards dorment encore sur des adresses identifiées (surtout en ether et en bitcoin) et 470 millions manquent à l’appel. Tom Robinson, cofondateur d’Elliptic, s’attend à voir l’ether restant converti par petits lots puis écoulé via des courtiers de gré à gré et des réseaux de blanchiment chinois.
Singapour tacle Binance et juge le trading crypto inadapté au grand public
Le régulateur singapourien n’a pas attendu le départ du CFO pour enfoncer le clou. Le 5 novembre, l’Autorité monétaire de Singapour (MAS) a répondu au quotidien Lianhe Zaobao. Elle a rappelé que Binance n’a pas le droit de fournir des services financiers réglementés dans la cité-État. L’exchange figure aussi depuis septembre 2021 sur sa liste d’alerte aux investisseurs. « Le trading de crypto-actifs n’est pas adapté au grand public », a déclaré un porte-parole de la MAS. Le régulateur invite les consommateurs à ne pas traiter avec des entités non régulées. Il ajoute qu’un acteur licencié ne met personne à l’abri des risques propres aux cryptos.
Binance revendique pourtant près de 300 millions d’utilisateurs et environ 171 milliards de dollars d’actifs. La plateforme avait retiré sa demande de licence à Singapour en 2021 et fermé Binance.sg l’année suivante. La cité-État ressort donc le dossier cinq ans plus tard, au moment où l’exchange tente de convaincre ses clients que la caisse est pleine et que son nouveau gardien a été choisi sans précipitation.
Les départs en série ont déjà un précédent chez Binance. Quelques semaines avant l’accord de novembre 2023 avec la justice américaine, la plateforme avait perdu sa directrice générale pour la France et son responsable au Royaume-Uni en moins de dix jours. Justin Yek, lui, prend ses fonctions avec 470 millions de dollars toujours dans la nature et des retraits qui ne seront pas tous rétablis avant la mi-novembre.
OKX rassemble tous ses bonus du moment sur une seule page. Au programme : jusqu'à 300 € à l'ouverture de votre compte, et d'autres offres à piocher selon ce qui vous intéresse. Le tout sur un exchange agréé MiCA, avec spot, trading bots et copy trading.
Un butin qui brûle les doigts. Huit jours après le vol de 6,43 milliards de dollars chez Binance, l’exchange rouvre ses retraits réseau par réseau. Chez les voleurs, rien ne se débloque. Selon Elliptic, 3,11 milliards de dollars attendent toujours dans des adresses liées au vol.
Les points clés de cet article :
Environ 3,11 milliards de dollars du piratage de Binance attendent dans des adresses liées au vol, selon Elliptic.
Tether et Circle ont gelé les stablecoins volés en moins d’une heure, sur 2,85 milliards saisis au total.
Le circuit de blanchiment a mobilisé plus de 20 000 wallets sur 16 blockchains, sans trace d’agent d’IA.
Elliptic table sur une conversion en bitcoin, puis des sorties discrètes via des courtiers sur plusieurs mois.
Offre exclusive JDC : jusqu'au 30 novembre 2026, ouvrez votre compte Finst et recevez 50 € en Bitcoin !
Le piratage du 29 octobre reste le plus gros vol de l’histoire des cryptomonnaies. Le FBI a attribué le cambriolage à TraderTraitor, un collectif de hackers travaillant pour Pyongyang. Le régime nord-coréen, lui, dément toute implication et parle de « grave provocation politique ».
Sur les sommes dérobées, 2,85 milliards de dollars ont déjà été gelés ou saisis, chiffre du rapport actualisé vendredi 6 novembre. Geler, ici, se prend au sens propre : Tether et Circle, les émetteurs des stablecoins volés, peuvent verrouiller leurs jetons à distance.
Autrement dit, la manœuvre équivaut à publier les numéros de série de billets volés, que plus personne ne peut accepter sans se faire repérer. L’opération a d’ailleurs pris moins d’une heure, dans la nuit du 29 octobre.
Résultat, 44% du butin était inutilisable presque immédiatement, un record pour un vol crypto, alors que Bybit n’avait permis d’en geler que 3%. Sur ce coup, les voleurs ont dévalisé la banque sans pouvoir sortir les billets.
Une grosse partie du magot reste immobile, et les 18 270 bitcoins dérobés ont été répartis sur 19 adresses le jour du piratage, sans plus bouger depuis.
Sur Ethereum, les neuf plus grosses adresses des attaquants concentrent 89% de l’ether volé. Elles n’ont plus émis une transaction depuis le 30 octobre.
Seule une somme négligeable semble avoir été transformée en argent dépensable. Le reste, 3,11 milliards de dollars, resterait entre les mains de Pyongyang. Un trésor que les sociétés d’analyse blockchain surveillent en direct.
Comment laver 6 milliards de dollars que tout le monde surveille ?
Car Pyongyang essaie. Le blanchiment a déjà mobilisé plus de 20 000 wallets et 65 000 transactions.
Les attaquants créaient un wallet neuf toutes les 30 secondes, un rythme d’usine.
L’essentiel du travail s’est fait sur Tron. Un wallet de distribution y a expédié 220 millions de dollars de TRX vers des centaines d’adresses neuves, pendant 51 heures d’affilée. La distribution tournait même la nuit, à l’heure de Pyongyang.
Presque tout a ensuite été bridgé vers Ethereum. Tout le SOL volé, environ 87 millions de dollars, est passé par des échanges, des ponts ou des mixeurs.
Les XRP, eux, viennent de se mettre en mouvement. Les attaquants en ont converti environ 50 millions de dollars, principalement via THORChain contre du bitcoin, et il en reste 226 millions à déplacer.
Au total, environ 124 millions de dollars du butin ont déjà pris la forme de bitcoins.
La vitesse de la manœuvre a nourri une rumeur, celle d’agents d’IA aux commandes. Elliptic coupe court dans son rapport :
« Le blanchiment est clairement automatisé, mais rien de ce que nous avons vu ne montre qu’un agent d’IA prend des décisions. »
Elliptic
La suite, la firme la connaît par cœur. Après le piratage de Bybit, la Corée du Nord avait déplacé les 499 000 ETH volés en dix jours, puis mis des mois à les encaisser.
Elliptic attend le même scénario, convertir l’ether en bitcoin puis écouler le tout auprès de courtiers over-the-counter, ces desks qui traitent de gros montants en dehors des plateformes.
Binance vise la réouverture de tous les retraits sur les réseaux restaurés d’ici la fin de la semaine prochaine. Le marché, lui, absorbe la vague de liquidations à plus d’un milliard de dollars. Quoi qu’il en soit, Pyongyang détient le plus gros butin de l’histoire de la crypto, et le blanchir prendra des mois.
Tradez plus de 400 cryptomonnaies en toute confiance grâce à une plateforme régulée, transparente et aux frais imbattables en France. Recevez 50 € en Bitcoin pour toute nouvelle inscription !
La Corée du Nord est soupçonnée d’être derrière le plus gros piratage de cryptomonnaies de l’histoire. Mais comment les cybercriminels ont-ils réussi à dérober plusieurs milliards de dollars à Binance ? La plateforme a dévoilé les coulisses de cette attaque, qui révèle des failles de sécurité...
Le piratage de Binance, qui a entraîné le détournement de plusieurs milliards de dollars en cryptomonnaies le 29 octobre, résulte d’une chaîne de compromissions étalée sur plusieurs mois. Selon le récit de l’incident, les attaquants ont combiné une publicité malveillante dans Google Search, un faux recrutement et l’exploitation de postes de travail d’ingénieurs pour atteindre l’infrastructure de portefeuilles de la plateforme.
Un premier accès en juin : un ingénieur DevOps a téléchargé un logiciel depuis un site promu par une publicité malveillante. Un infostealer a collecté des informations sur son poste, permettant aux attaquants de cartographier son rôle et ses relations professionnelles.
Un faux entretien en septembre : un autre ingénieur a été piégé par de faux recruteurs et invité à télécharger un dépôt de code contenant un malware. Celui-ci a échappé à la détection de l’EDR.
Un rebond via un outil d’IA interne : le 20 octobre, les attaquants ont utilisé un poste compromis et un outil interne pour atteindre d’autres machines et récupérer un jeton d’autorisation lié au déploiement de conteneurs.
Une exploitation des autorisations blockchain : le 29 octobre, les attaquants ont utilisé ces accès et le mécanisme EIP-7702 d’Ethereum pour autoriser des transferts depuis des portefeuilles. La révocation des autorisations a été compliquée par le système de signature multipartite.
En juin 2026, un ingénieur DevOps voulait installer un outil de codage IA sur son Mac. En cliquant sur le lien publicitaire en question, il s’est retrouvé sur un site invitant à copier-coller un script dans le terminal pour télécharger le gestionnaire de paquets Homebrew.
L’exécution du script a ouvert successivement plusieurs pop-up. La première recommandait de mettre à jour les paramètres système pour lancer l’application et présentait un champ de saisie du mot de passe. La deuxième demandait de donner au terminal l’autorisation de contrôler le Finder. La troisième annonçait un échec : « Votre Mac ne gère pas cette application. » Pendant ce temps, l’infostealer MacSync collectait des informations, zippées dans le dossier /tmp avant envoi au serveur C2.
Avant que Binance repère l’anomalie et y remédie (remplacement de l’appareil et des identifiants), l’attaquant a pu cartographier le rôle de l’ingénieur et identifier ses collègues.
… et un autre par une fausse offre d’emploi
La deuxième phase a eu lieu en septembre. Un autre ingénieur de Binance a été contacté sur un réseau professionnel par un faux directeur de projet. Celui-ci a organisé un entretien vidéo avec un prétendu responsable RH. Qui, pour créer de la confiance, a partagé un compte de réseau social avec photos et vidéos « personnelles ».
Un deuxième entretien s’est déroulé via une application de messagerie, soi-disant avec le P-DG. L’ingénieur s’est vu soumettre un « exercice technique ». Dans ce cadre, il a téléchargé, sur sa machine professionnelle, un dépôt de code piégé. Le malware qui s’y trouvait a remplacé un composant légitime de Homebrew (pyenv), installé un lien symbolique, ouvert un shell zsh et établi une communication C2, sans que l’EDR émette d’alerte.
Un troisième poste compromis pour siphonner les cryptos
Ce poste de travail a servi, le 20 octobre, à compromettre la machine du premier ingénieur en passant par un outil d’IA interne. L’attaquant y a récupéré un jeton d’autorisation de déploiement de conteneurs.
Le 29 octobre, il a utilisé ce jeton sur le poste d’un troisième ingénieur, utilisé pour déclencher le script d’exfiltration de fonds. Il était environ 21 heures en France quand un premier hot wallet a envoyé quelque 233 millions de Ripple (XRP). Ont suivi près d’un million de Solana (SOL) et environ 44 millions d’Optimism (OP).
Binance a finalement reçu une alerte de volumes de transfert anormaux. L’attaque ne s’est pas pour autant arrêtée. Un autre portefeuille a, par exemple, transféré 18 270 bitcoins (BTC).
Pour établir une forme de persistance, l’attaquant a détourné un mécanisme d’Ethereum : l’EIP-7702, qui permet d’accorder à un smart contract des droits d’exécution sur un wallet sans divulguer la clé privée. Il a utilisé soumis 50 transactions de signature pour manipuler le nonce et verrouiller les autorisations sur la blockchain.
Ces autorisations étaient indépendantes de l’infrastructure de retrait « normale » de Binance. Les révoquer était d’autant plus complexe que le portefeuille concerné utilisait un système de signature multipartite. Il n’existait donc pas de clé unique utilisable immédiatement.
Le dernier mouvement non autorisé (2960 ETH et quelques) a eu lieu à 0 h 56 le 30 octobre. Il s’agissait d’une transaction déjà diffusée. Elle était en attente dans le mempool. La révocation de la délégation est intervenue à 1 h 10, par signature d’une nouvelle autorisation vers l’adresse zéro.
Fin de la peur, pas de la gueule de bois. Quarante-huit heures après le point altcoins de lundi, où ETH et SOL reculaient de concert, le marché a changé de couleur. Ether gagne plus de 5 % en 24 heures, l’indice Fear & Greed remonte de 34 à 50 et Binance rouvre une nouvelle salve de retraits ce jeudi matin. Les chiffres ci-dessous sont une photo prise à 7 h (heure de Paris), à revérifier au moment où vous lisez.
Les points clés de cet article :
Ether a connu une hausse de 5,4 % en 24 heures, marquant une performance remarquable parmi les grandes capitalisations.
Binance a rouvert progressivement les retraits après un piratage massif, affectant des jetons comme UNI et AAVE.
Offre exclusive JDC : jusqu'au 30 novembre 2026, ouvrez votre compte Finst et recevez 50 € en Bitcoin !
ETH, XRP, SOL, BNB : le noyau dur rebondit, Binance traîne la patte
Ether s’échange à 2 418 dollars, en hausse de 5,4 % sur 24 heures et de 5 % sur sept jours. La bougie de mercredi est nette, avec un plus bas à 2 285 dollars et un plus haut à 2 447. C’est la meilleure performance des grandes capitalisations pendant que Bitcoin reprenait 80 000 dollars, et 269 millions de dollars de positions vendeuses ont été liquidées en une heure sur le marché au passage du seuil. Vous trouverez le détail côté BTC dans le point marché du jour.
Cours de l’Ether (ETH/USDT) en unité de temps 1 heure. Source : TradingView
XRP suit à distance. Le jeton vaut 1,31 dollar (+2 %), toujours coincé sous la résistance des 1,38 dollar qu’il n’a pas réussi à franchir cette semaine. Solana remonte de 3 % à 95,7 dollars mais reste en baisse de 3,6 % sur sept jours, malgré le lancement mercredi par Schroders d’un fonds tokenisé de dette émergente sur sa blockchain avec Centrifuge, d’après The Block.
Et puis il y a BNB. Le jeton de Binance vaut 713 dollars, en hausse de 2 % sur la journée mais en recul de 4,2 % sur la semaine, seule grande capitalisation dans le rouge hebdomadaire. Une semaine après le piratage à 6,3 milliards de dollars, les retraits ne sont toujours pas rouverts pour tous les actifs de la plateforme.
UNI et AAVE : Binance rouvre les retraits par lots
Le fait du matin vient justement de Binance. Dans son huitième point d’étape sur l’incident, la plateforme annonce la reprise progressive des retraits à partir de 12 h heure de Pékin ce jeudi, soit 5 h à Paris. Sur le réseau Ethereum, la liste commence par UNI, AAVE, PAXG, VIRTUAL et MORPHO. D’autres actifs suivent sur BSC, Base, Tron, Polygon et Sui. Tout ne rouvre pas d’un coup : les lots partent après contrôle de sécurité, dans l’ordre de la demande exprimée par les utilisateurs la semaine passée, et les dépôts restent normaux.
Les deux jetons concernés bougeaient déjà. Uniswap (UNI) cote 7,57 dollars, en hausse de 3,5 % sur 24 heures et de près de 10 % sur sept jours, avec un volume quotidien qui représente 14 % de sa capitalisation d’après CoinGecko. Un ratio supérieur à 10 % signale un jeton qui tourne vite, bien au-delà de l’intérêt ordinaire pour un actif de 4,6 milliards. AAVE vaut 131,5 dollars (+1,9 %) sur un ratio volume/capitalisation de 11 %. Attendez-vous à des mouvements dans les deux sens au fil de la journée, entre ceux qui récupèrent enfin leurs jetons pour les vendre et ceux qui les rapatrient vers un wallet personnel.
POL grimpe avant le vote sur son hard fork, ZEC et XMR continuent
Le jeton de Polygon, POL, gagne 4 % à 0,0967 dollar et près de 8 % sur sept jours, pour une capitalisation de 1,03 milliard au 75e rang. La cause tient dans une proposition publiée mercredi soir sur le forum de Polygon, qui veut mettre à zéro cinq adresses de pirates et rendre 70,49 millions de POL à Polymarket et à Binance via un hard fork. Le texte est présenté à l’appel de gouvernance de 15 h 30 (heure de Paris) ce jeudi. Nous y consacrons un article séparé dans la matinée.
Deux mots sur les anciens. Zcash, dont nous parlions lundi, poursuit sa route à 1 313 dollars (+5,2 % sur 24 heures, +6,3 % sur la semaine) au dixième rang mondial. Monero affiche 635 dollars, stable sur la journée mais en hausse de 9,8 % sur sept jours, sans catalyseur identifiable ce matin. Hyperliquid (HYPE) rend 1,9 % à 83 dollars après une semaine à +7 %.
Dans un marché qui vient d’absorber la vague démocrate aux midterms, une chute de 20 % du jeton TRUMP et le plus gros piratage de l’histoire du secteur, le retour au neutre de l’indice Fear & Greed en deux séances compte autant que les cours eux-mêmes. Binance continuera d’ouvrir ses lots de retraits toute la journée, après les 5,8 milliards de dollars sortis lors de la première réouverture du 1er novembre, et Polygon saura à 15 h 30 si ses validateurs acceptent de réécrire cinq soldes.
Tradez plus de 400 cryptomonnaies en toute confiance grâce à une plateforme régulée, transparente et aux frais imbattables en France. Recevez 50 € en Bitcoin pour toute nouvelle inscription !
Cinq jours après le plus gros vol de l'histoire des cryptomonnaies, Binance publie un premier rapport d'investigation sur la cyberattaque. Au terme d'une enquête préliminaire, la plateforme révèle comment les pirates sont parvenus à pénétrer au sein de ses portefeuilles afin de voler plus de 6 milliards de dollars. Selon Binance, tout a commencé par un simple entretien d'embauche.
Nuit blanche, matin gris. Le bitcoin a touché 75 700 dollars dans la nuit pendant que les projections donnaient le Congrès aux démocrates. Il est remonté autour de 76 600 dollars à 5h30 heure de Paris. Les chiffres de ce papier sont ceux de l’heure du brief et bougeront d’ici la publication. Le marché avait hier trois forces contraires à digérer. L’une d’elles a tranché cette nuit.
Les points clés de cet article :
Le bitcoin a vécu une nuit agitée, chutant à 75 700 dollars en réaction aux projections donnant le Congrès aux démocrates, avant de remonter à 76 600 dollars.
Les ETF Bitcoin américains ont enregistré leur troisième séance consécutive de sorties de fonds, avec 115,6 millions de dollars perdus mardi, tandis que Binance a commencé à se stabiliser après un important piratage.
Offre exclusive JDC : jusqu'au 30 novembre 2026, ouvrez votre compte Finst et recevez 50 € en Bitcoin !
Première force, la plus visible. Les projections donnent la Chambre et le Sénat aux démocrates, et le bitcoin a réagi dans la seconde. Il cotait encore près de 78 000 dollars mardi soir, puis a glissé sous les 76 000 dollars quand les premiers sièges ont basculé, jusqu’à un plus bas de 75 700 dollars relevé par CoinDesk. Le rebond a suivi, mais il reste timide.
Le marché vend un calendrier. Sans texte fédéral avant le 3 janvier, le CLARITY Act repart de zéro face à une commission bancaire du Sénat que devrait présider Elizabeth Warren. Nous avons détaillé les trois conséquences de cette nuit pour la crypto. Pour le cours, retenez surtout l’absence de catalyseur réglementaire d’ici la fin de l’hiver.
ETF Bitcoin, troisième séance de sorties pendant que Binance se stabilise
Deuxième force, les flux. Les ETF Bitcoin spot américains ont perdu 115,6 millions de dollars mardi, selon les données de Farside Investors. C’est la troisième séance consécutive dans le rouge. Lundi, 398,6 millions de dollars étaient sortis, dont 405 millions sur le seul IBIT de BlackRock, son plus gros rachat quotidien depuis le 26 juin.
Côté exchanges, la tempête post-piratage retombe. Binance avait vu filer 4,7 milliards de dollars de retraits nets après le casse à 6,3 milliards attribué à la Corée du Nord. Bloomberg relevait mardi un net ralentissement des retraits. L’indice Fear & Greed d’Alternative.me reste collé à 26 ce matin, contre 48 il y a une semaine.
Emploi américain, la semaine se joue vendredi à 14h30
Troisième force, la macro. Ce mercredi, l’enquête ADP sur l’emploi privé (14h15 heure de Paris) et l’ISM des services (16h00) tombent dans l’après-midi. Vendredi 6 novembre à 14h30, le rapport officiel sur l’emploi (les non-farm payrolls) fixera les attentes avant la réunion de la Fed de décembre. Un chiffre faible relance le scénario de baisse des taux et soulage les actifs risqués, un chiffre fort le referme.
Le bitcoin joue sa moyenne mobile exponentielle à 200 jours, autour de 76 500 dollars. Le premier support se situe vers 75 000 dollars et la résistance sur l’EMA 50 jours, vers 80 100 dollars, là où KuCoin place aussi sa zone de vente. Tant que le cours reste coincé entre ces deux moyennes, le marché attend le rapport de vendredi.
Cours du bitcoin (BTC/USD) en bougies journalières, 4 novembre 2026. Source : TradingView
Le bitcoin a perdu 11 % sur un mois et reste près de 40 % sous son record de 126 080 dollars du 6 octobre 2025, selon CoinGecko. Il y a quelques semaines, il butait encore sur 86 000 dollars avec des ETF acheteurs. Les trois forces du matin tirent vers le bas et la première statistique capable de les contrarier n’arrive pas avant vendredi.
Tradez plus de 400 cryptomonnaies en toute confiance grâce à une plateforme régulée, transparente et aux frais imbattables en France. Recevez 50 € en Bitcoin pour toute nouvelle inscription !
Du blanchiment à l’ancienne. Le 29 octobre, le piratage de Binance faisait disparaître 6,4 milliards de dollars, le plus gros hack de l’histoire. Depuis, le rythme des transferts a nourri une question : l’intelligence artificielle a-t-elle choisi où et comment déplacer ce butin ? Lundi 2 novembre, la firme d’analyse blockchain Elliptic a examiné la question, et rien dans les transactions étudiées ne montre une IA aux commandes.
Les points clés de cet article :
Elliptic n’a trouvé aucune trace d’intelligence artificielle dans la circulation des fonds dérobés à Binance.
Des transactions ratées puis renvoyées à l’identique pointent vers des scripts écrits et supervisés par des humains.
Le groupe nord-coréen TraderTraitor a mobilisé une vingtaine de services automatisés en moins de trois jours.
Environ 44% du butin a d’ores et déjà été gelé ou saisi, selon Elliptic.
Offre exclusive JDC : jusqu'au 30 novembre 2026, ouvrez votre compte Finst et recevez 50 € en Bitcoin !
Un script est un programme qui exécute sans fin la même liste d’instructions, sans jamais se demander si une autre route serait plus discrète.
Un agent d’intelligence artificielle prend des décisions et change de cap quand un obstacle apparaît. Par exemple, si un wallet est bloqué, il est censé chercher seul un autre exchange ou un autre bridge.
Sur les fonds de Binance, Elliptic n’a rien observé de ce genre, et les transactions qui échouaient étaient renvoyées à l’identique, sans chercher pourquoi.
Binance hack update: the laundering is running on conventional automation, with about 12,000 wallets on 11 blockchains and more than 40,000 transactions in under four days.
$3.24 billion still sits in linked addresses, mostly ETH and BTC $2.85 billion has been frozen …
Les montants corroborent cette version des faits. Les hackers ont réutilisé les mêmes sommes, transfert après transfert, sans chercher à les faire varier.
Chaque nouvelle route était d’abord testée avec de petits transferts, suivi par la suite de sommes plus importantes, une fois le chemin validé.
Le 2 novembre, le cofondateur d’Elliptic Tom Robinson a résumé la situation :
« Notre évaluation, c’est que le blanchiment est automatisé. Mais rien de ce que nous avons vu ne montre un agent d’IA prenant des décisions. Le schéma correspond à des scripts écrits et supervisés par des personnes. »
Tom Robinson, cofondateur et directeur scientifique d’Elliptic
Que reste-t-il du butin ?
L’échelle de l’opération impressionne malgré tout. En moins de trois jours, les fonds dérobés ont circulé via une vingtaine de services automatisés, des exchanges décentralisés aux protocoles de prêt et aux bridges.
Le rythme a été tout aussi soutenu. Le 30 octobre, six bridges sont apparus dans les flux pour la première fois, en l’espace de 100 minutes. Elliptic n’a pas pu établir si des humains ou des outils d’IA ont choisi ces services.
Rétrospective sur le hack entre le 30 octobre et le 2 novembre.
Le FBI a attribué le vol du 29 octobre au groupe nord-coréen TraderTraitor, et demandé aux services crypto de bloquer les transactions impliquant les wallets du butin.
De son côté, Binance a rouvert ses retraits, et 5,8 milliards de dollars ont quitté la plateforme en 24 heures. La suite des enquêtes dira si ces scripts si prévisibles finiront par trahir leurs propriétaires.
Tradez plus de 400 cryptomonnaies en toute confiance grâce à une plateforme régulée, transparente et aux frais imbattables en France. Recevez 50 € en Bitcoin pour toute nouvelle inscription !
La Corée du Nord dément toute implication dans la cyberattaque qui a frappé Binance, la plus grande plateforme d'échange de cryptomonnaies au monde. Répondant aux accusations du FBI, Kim Yo-jong, la sœur du dirigeant suprême Kim Jong-un, dénonce une « rhétorique absurde » et une « provocation » américaine.
Le piratage massif de Binance est le résultat de nombreux incidents, dont une fausse offre d’emploi qui a piégé un ingénieur. Croyant faire un test pour un recrutement, celui-ci a installé un malware sur son ordinateur, ce qui a permis aux hackers de lancer une attaque contre la plateforme crypto.
Le piratage de Binance, survenu le 29 octobre 2026, a permis de détourner environ 6,3 milliards de dollars d’un portefeuille connecté à Ethereum. L’attaquant a exploité le mécanisme de délégation d’autorisations EIP-7702 pour confier les droits de transfert à un smart contract malveillant. Binance évoque notamment la compromission de l’ordinateur portable d’un employé, sans confirmer de fuite de clés.
Un détournement des autorisations : l’attaque a exploité EIP-7702, une fonctionnalité d’Ethereum qui permet à un portefeuille classique de déléguer certaines opérations à un contrat externe.
Une piste nord-coréenne : le FBI attribue l’opération au mode opératoire TraderTraitor, associé au groupe Lazarus. Des recoupements avec le piratage de Bitget confortent cette piste.
Une perte financière prise en charge : Binance mobilise son fonds SAFU, ses réserves d’assurance des contrats à terme et sa trésorerie. La plateforme affirme avoir couvert 95 % des pertes annoncées.
Des fonds partiellement gelés : plus de 3 milliards de dollars d’actifs ont été bloqués par différents acteurs, notamment Tether, Circle et Ripple. Les retraits ont repris le 1er novembre, après une sortie nette de 3,64 milliards de dollars en neuf heures et demie.
Une délégation d’autorisation qui contourne les contrôles… et des milliards qui s’envolent.
Binance a subi ce scénario la semaine passée. Les grandes lignes en sont désormais connues.
Une fonctionnalité d’Ethereum détournée pour déléguer des droits à un smart contract malveillant
L’attaque a compromis un des hot wallets de Binance – c’est-à-dire un portefeuille connecté au réseau pour pouvoir effectuer des transactions, par opposition aux cold wallets conservés hors ligne.
Ce wallet a délégué ses droits de gestion et de transfert à un smart contract malveillant. Vecteur : l’EIP-7702, fonctionnalité introduite dans Ethereum en mai 2025. Avec elle, un portefeuille standard peut signer une autorisation qui pointe vers un contrat, puis en exécuter le code avec ses propres actifs. Parmi ses usages potentiels :
Regroupement d’opérations en une seule transaction (exemple : approuver un token puis l’échanger)
Paiement des frais de gaz par un tiers
Délégation temporaire ou restreinte de droits à des clés secondaires (jeu Web3, bot de trading…)
Les autorisations EIP-7702 restent actives jusqu’à révocation explicite par signature vers une adresse vide ou vers un autre contrat. La vulnérabilité que cela suppose est connue. Une étude présentée au dernier USENIX Security Symposium (août 2026) en a témoigné.
Binance nie une fuite de clés, mais admet la compromission d’un laptop
Binance affirme que l’autorisation qu’a accordée son hot wallet n’est « pas passée par les contrôles habituels ». On ignore comment elle a pu être signée. Jusque-là, l’entreprise maintient ne pas avoir de preuve que des clés aient fuité. Elle évoque néanmoins la compromission du laptop d’un employé… en plus d’« autres points d’intrusion ».
Une fois qu’il a eu récupéré la signature, l’attaquant l’a soumise au réseau Ethereum depuis une adresse approvisionnée via Tornado Cash. Trois minutes plus tard, il a enclenché le smart contract, conçu pour transférer l’intégralité des devises du portefeuille. Il était environ 21 heures en France, le 29 octobre.
TraiderTraitor ou la piste nord-coréenne
Le FBI attribue l’attaque au mode opératoire dit TraderTraitor, étroitement lié au groupe Lazarus et donc à la Corée du Nord. Il fournit une liste d’environ 600 adresses Ethereum, 20 adresses Bitcoin et une adresse Solana par lesquelles les fonds dérobés ont transité.
Il existe effectivement des indices qui invitent à rattacher l’attaque à TraderTraitor. Parmi eux, l’utilisation d’une adresse de transit déjà exploitée fin septembre après le hack de Bitget (388 M$), attribué au même mode opératoire.
Binance active trois leviers pour couvrir les 6,3 Md$ de pertes annoncées
Binance s’est engagé à couvrir les pertes sur ses fonds propres. Il a provisionné un peu plus de 6,3 Md$ en mobilisant trois instruments. Son SAFU (Secure Asset Fund for Users), ses Futures Insurance Funds et sa trésorerie.
Le SAFU est une réserve d’urgence financée par des prélèvements sur les frais de transaction. Il a déjà servi, par exemple, à couvrir le vol de 7000 bitcoins en 2019. Le 31 octobre, Binance l’a amputé de la moitié de son solde (7500 bitcoins, soit environ 600 M$). Il entend en ramener le montant à 1 Md$.
Les Futures Insurance Funds constituent une autre réserve de sécurité, dédiée quant à elle au marché des produits dérivés à effet de levier. Ses principaux rôles, dans les grandes lignes :
Payer les gagnants au cas où Binance ne parvient pas à récupérer l’argent des perdants
Éviter le désendettement automatique (fermeture forcée des positions des traders les plus rentables afin d’équilibrer les comptes)
Protéger les perdants d’une dette en absorbant le déficit résiduel
Binance estime ne pas avoir, en l’état, à renflouer ces Futures Insurance Funds. Si c’était nécessaire, il le ferait sur ses fonds propres, comme il l’a fait par le passé.
Une preuve cryptographique de couverture
Binance a immédiatement annoncé avoir couvert l’équivalent de 5 Md$ de pertes dans les devises concernées. Il a entrepris d’acquérir le reste sur le marché ou de gré à gré. Une étape susceptible de prendre du temps, a-t-il prévenu, tant en raison de la faible liquidité de certains tokens que du délai de règlement de certaines opérations.
Aux dernières nouvelles, l’entreprise est parvenue à couvrir 95 % des pertes annoncées. Pour confirmer ses dires, elle a réalisé, le 31 octobre, un « instantané de preuve de réserves ». Ce mécanisme utilise une structure en arbres de Merkle couplée à une forme de preuve à divulgation nulle de connaissance. Il permet à chacun de vérifier que les actifs de son compte sont bien comptabilisés dans l’instantané. Et que les réserves sont bien couvertes au minimum à 1:1, sans jamais révéler le solde d’un utilisateur en particulier. La génération cryptographique de la preuve prend toutefois 40 à 50 heures. Binance prévoit un nouveau snapshot le 4 novembre.
Les retraits rétablis, Binance voit fuir 2 % de ses actifs sous gestion
Suspendus, les retraits ont repris le 1er novembre à 7 heures en France. La première phase a concerné 15 devises sur autant de blockchains. En 9 heures et demie, Binance a traité 4,649 Md$ de retraits, contre 1,01 Md$ de dépôts. Une sortie nette de 3,64 Md$ qui, tempère-t-il, représente tout juste 2 % de ses actifs totaux sous gestion (171 Md$). Et d’ajouter que les volumes de retraits se sont vite stabilisés. Ce fut effectivement le cas à partir de la fin de matinée, après un pic entre 8 h 30 et 10 heures.
L’impact sur le cours de bitcoin a été relativement modéré (moins de 5 % de baisse). Changpeng Zhao, cofondateur de Binance, le souligne. L’intéressé donne plusieurs pistes… en jouant notamment la comparaison avec Mt. Gox. D’une part, il constate que bien plus d’utilisateurs et d’avoirs de la plate-forme avaient été concernés. De l’autre, il note que si en dollars, le hack de Binance est sans précédent, en devises virtuelles, Mt. Gox s’était fait dérober davantage. En l’occurrence, 650 000 à 850 000 bitcoins – qui valaient, à l’époque, entre 450 et 500 M$. Dans le cas de Binance, on parle d’un mix de cryptomonnaies parmi lesquelles environ 18 270 BTC et 420 000 ETH, assure Changpeng Zhao.
Environ 3 milliards $ gelés
La perte annoncée ne tient pas compte des avoirs gelés. Au dernier pointage, il y en a pour plus de 3 Md$. En tête de liste, des stablecoins, plus simples à bloquer que les devises décentralisées. Tether et Circle ont respectivement gelé pour environ 1,57 Md$ et 823 M$ en USDT. Ripple a bloqué pour 200 M$ en actifs émis (pas en XRP, son token natif, impossible à geler).
Entre autres techniques, les pirates sont passés par des plates-formes de prêts. Parmi elles, Aave. Ils y ont déposé près de 60 millions d’USDT en collatéral et ont emprunté en contrepartie près de 19 800 ETH (44 M$). Les USDT se sont alors retrouvés dans la réserve d’Aave plutôt que sur une adresse que Tether & Cie auraient pu bloquer. Les ETH, en revanche, appartenaient bien aux attaquants, qui ont suivi un schéma similaire sur la plate-forme JustLend.
Aave n’a semble-t-il aucun mécanisme de récupération des ETH en question. Il a pour le moment bloqué les nouveaux dépôts et emprunts. Sa communauté s’accordera peut-être sur une annulation de transactions, à l’instar de ce qui avait été fait en réponse au piratage de The DAO il y a 10 ans.
Connexion
