Le 29 octobre 2026, environ 6,3 milliards de dollars en cryptomonnaies ont été dérobés à Binance, dans ce qui était alors le plus important vol de cryptoactifs jamais signalé. Le FBI a attribué l’attaque à TraderTraitor, un groupe lié à la Corée du Nord. Dans les jours suivants, les enquêteurs ont suivi des transferts rapides entre plusieurs blockchains et des milliards de dollars ont été gelés ou interceptés. Des analystes ont aussi évoqué un possible recours à des réseaux chinois de blanchiment. Mais les fonds repérés, ceux qui sont effectivement bloqués et les actifs remplacés pour protéger les clients sont trois mesures différentes : aucune ne correspond, à elle seule, au montant de cryptomonnaies récupérées.
1
18
22
25
Ce que l’on sait de l’attaque
Selon TRM Labs, environ 6,36 milliards de dollars sont sortis de portefeuilles Binance répartis sur dix blockchains, pour l’essentiel en une vingtaine de minutes. Elliptic a évalué le butin à 6,43 milliards de dollars et suivi les flux sur onze blockchains. Ces chiffres sont les estimations de deux sociétés d’analyse distinctes, et non un total unique réconcilié.
18
24
25
Le FBI a attribué le vol à TraderTraitor, un groupe lié à la Corée du Nord. Pyongyang a nié toute responsabilité : Kim Yo Jong a qualifié les accusations américaines de provocation politique.
1
2
50
Les informations publiées sur le récit de Binance décrivent une attaque par ingénierie sociale : les pirates auraient utilisé un faux entretien d’embauche pour inciter un ingénieur à télécharger un logiciel malveillant. Si ces éléments sont exacts, l’accès d’un employé aurait joué un rôle important dans l’attaque, plutôt qu’une simple faille exposant un portefeuille.
48
52
Des fonds dispersés à grande vitesse
Elliptic indique que les actifs ont été répartis entre environ 12 000 portefeuilles et plus de 40 000 transactions en moins de quatre jours. La société décrit un processus reposant sur de l’automatisation classique — et non une preuve que l’intelligence artificielle pilotait le blanchiment.
23
32
D’après TRM Labs, les attaquants ont notamment vendu des USDT à des teneurs de marché et emprunté de l’ETH sur Aave en utilisant des USDT comme garantie. La société a également estimé que les pirates détenaient plus de 420 000 ETH et 18 270 BTC, et qu’environ 2,4 milliards de dollars d’actifs échappaient au pouvoir de gel des émetteurs. Cette dernière estimation décrit la limite d’un moyen d’intervention particulier : elle ne prouve pas que les fonds sont définitivement irrécupérables.
24
Des réseaux chinois, une piste à nuancer
Elliptic a averti qu’une partie des fonds déjà en cours de blanchiment pourrait avoir atteint des réseaux chinois, que la Corée du Nord aurait utilisés dans de précédentes affaires. De son côté, un reportage sud-coréen a rapporté les propos d’un enquêteur de TRM Labs selon lesquels des réseaux chinois menaient des opérations de trading complexes liées aux flux.
25
42
Ces éléments étayent l’hypothèse que des réseaux chinois pourraient traiter une partie du butin. Ils ne suffisent pas à établir que les cryptomonnaies volées ont été converties en yuans puis déposées sur des comptes bancaires en Chine, ni à confirmer l’existence d’un accord de commission propre à ce vol. Le reportage sud-coréen évoque aussi une affaire américaine antérieure : deux ressortissants chinois avaient été inculpés pour avoir converti en espèces des cryptomonnaies volées par la Corée du Nord et transféré l’argent sur des comptes bancaires chinois. Cette affaire passée ne prouve pas que les mêmes circuits ont été utilisés ici.
42
Fonds gelés, clients remboursés : trois notions distinctes
Binance a annoncé qu’environ 2,85 milliards de dollars avaient été gelés ou interceptés, sous réserve de rapprochements ultérieurs et des variations du marché. Elliptic a également estimé à 2,85 milliards de dollars le montant gelé, et évalué à environ 3,24 milliards les actifs encore présents dans des adresses liées au vol, principalement en ETH et en BTC. Ce sont des estimations datées du suivi des fonds, pas un bilan définitif des sommes que les enquêteurs pourront récupérer.
22
32
Binance a repris les retraits le 1er novembre. Reuters a rapporté que la plateforme disait avoir couvert environ 6 milliards de dollars de cryptomonnaies volées, tandis que ses clients ont retiré 3,64 milliards de dollars lors du rétablissement des services. NPR a également indiqué que Binance avait remplacé avec ses propres fonds la majeure partie des actifs volés aux clients. Protéger les soldes des clients ne signifie pas que les cryptomonnaies des pirates ont été saisies ou restituées.
33
48
Quel risque pour les marchés ?
Les importantes réserves d’ETH attribuées aux pirates et les conversions rapportées pourraient faire peser un risque de pression vendeuse. Toutefois, les informations disponibles ne démontrent pas que ces ventes ont provoqué un mouvement de prix précis et ne permettent pas de prévoir de manière fiable la volatilité à venir.
20
24
Le tableau qui se dessine est celui d’une course sur deux fronts : les enquêteurs et les entreprises du secteur tentent de suivre et de geler les actifs, tandis que Binance a pris des mesures pour couvrir les pertes de ses clients. Les flux pourraient faire intervenir des intermédiaires, notamment des réseaux chinois, mais les éléments rendus publics ne confirment pas toutes les routes de conversion en espèces évoquées et ne permettent pas de savoir quelle part du butin sera finalement récupérée.
22
25
33