Le 29 octobre 2026, environ 6,3 à 6,4 milliards de dollars en cryptomonnaies auraient quitté des portefeuilles de Binance sur plusieurs blockchains. La majorité des transferts se serait produite en une vingtaine de minutes. Le FBI a attribué le vol au groupe nord-coréen TraderTraitor. Dans le même temps, des analystes ont suivi des actifs dérobés d’un réseau à l’autre, et une interruption de THORChain a brièvement empêché certains échanges entre blockchains.
1
12
58
Les montants cités sont des estimations issues d’analyses différentes, et non un bilan unique réconcilié. Il faut aussi distinguer les fonds déplacés, ceux qui ont été gelés et les pertes que Binance affirme prendre en charge pour ses clients.
Ce que l’on sait du vol et de son attribution
TRM Labs estime qu’environ 6,36 milliards de dollars ont quitté des portefeuilles Binance sur 10 blockchains, pour l’essentiel en une vingtaine de minutes à partir de 20 h 05 UTC. D’autres analyses aboutissent à des totaux et à des nombres de réseaux légèrement différents : Elliptic avance 6,43 milliards sur 11 blockchains, tandis que Bitquery suit environ 6,3 milliards sur neuf réseaux. Ces écarts reflètent des méthodes d’analyse distinctes, pas un montant établi par un décompte commun.
12
58
19
Le FBI a désigné la Corée du Nord comme responsable et nommé l’opération TraderTraitor. Selon le bureau, les auteurs ont principalement converti les actifs volés en ether (ETH), une cryptomonnaie.
1 Pyongyang a rejeté ces accusations. CoinDesk rapporte que Kim Yo Jong les a qualifiées de provocation politique, tandis que Reuters cite la Corée du Nord parlant d’une « rhétorique absurde ».
56
48
Des articles évoquent une compromission de systèmes liés au processus de signature des portefeuilles de Binance. Toutefois, les éléments disponibles ne permettent pas d’établir un récit médico-légal complet de la manière dont les attaquants ont obtenu leur accès.
5
16
Les SOL volés : des transferts suivis, mais pas tous élucidés
Au 4 novembre, des articles s’appuyant sur le suivi de la blockchain indiquaient qu’environ 81 % des 970 522 SOL associés au vol avaient quitté les portefeuilles attribués aux attaquants. Les portefeuilles suivis par Arkham auraient alors détenu 182 443 SOL, d’une valeur d’environ 16,9 millions de dollars à cette date.
22
29
Selon les comptes rendus, les SOL ont été répartis entre plusieurs portefeuilles, puis convertis et échangés entre réseaux, notamment via THORChain. Certains décrivent un parcours passant par l’USDC, un stablecoin, puis Ethereum avant d’aboutir au bitcoin. Ces éléments relèvent du suivi de transactions : ils ne prouvent ni que tous les actifs ont suivi le même itinéraire, ni que chaque transfert correspond à une vente ou à une conversion en espèces.
23
29
Cette nuance compte lorsqu’on parle de l’effet sur les marchés. Un article signalait une baisse à court terme du cours de SOL pendant la période du vol, mais les sources disponibles ne permettent pas de mesurer la contribution de l’attaque aux mouvements plus larges du marché. Elles ne confirment pas non plus les affirmations générales sur les performances d’octobre, les positions à découvert, les flux des fonds négociés en bourse (ETF) ou les dépôts sur des plateformes. Un transfert vers une plateforme ne prouve pas, à lui seul, qu’une vente a eu lieu.
28
Pourquoi THORChain a suspendu les échanges
Le 31 octobre, une réorganisation d’un bloc sur Ethereum a affecté un dépôt de 10 ETH sur THORChain. D’après les articles consultés, le protocole a effectué un remboursement en double, puis suspendu les échanges par mesure d’urgence. Chainalysis a indiqué que cette interruption avait retardé involontairement le blanchiment des fonds liés au vol de Binance : pendant la pause, les utilisateurs — y compris les personnes soupçonnées d’être impliquées — ne pouvaient plus effectuer d’échanges via une grande partie des passerelles de THORChain.
38
46
Après la mise à jour v3.21.1, THORChain a rétabli les échanges impliquant le bitcoin, Ethereum et neuf autres actifs répertoriés. Selon le compte rendu de la reprise, les échanges impliquant Solana, BNB Smart Chain et Cosmos Hub restaient suspendus.
41
Un article attribuant ses données à Grey Ledger rapporte que 41 échanges associés à des adresses suivies ont abouti dans les 25 minutes suivant la reprise, avec 368,12 ETH versés. Il s’agit d’un résultat de suivi rapporté, pas d’un inventaire complet des fonds volés ni de la preuve que toutes les adresses destinataires étaient contrôlées par les mêmes personnes.
42
Le FBI a demandé à des services liés aux cryptomonnaies, notamment aux opérateurs de nœuds THORChain, de restreindre les transactions associées au vol. La liste publiée par le bureau comprenait 608 adresses Ethereum, 19 adresses Bitcoin et une adresse Solana. Le fonctionnement décentralisé de THORChain, avec des nœuds opérés indépendamment, complique toute explication simple de la manière dont une telle demande se traduit concrètement à l’échelle du protocole.
34
40
60
Fonds gelés, soldes suivis et indemnisation des clients
Elliptic rapporte que les émetteurs Tether et Circle ont gelé environ 2,8 milliards de dollars en stablecoins associés au vol. D’autres estimations évoquent elles aussi des milliards de dollars gelés ou interceptés, mais les montants varient selon les sources et la date des relevés.
52
60
Des estimations distinctes situaient entre 3,21 et 3,25 milliards de dollars les actifs présents dans des adresses liées au vol, principalement en bitcoin et en ether. Ces chiffres correspondent à des instantanés de suivi. Un actif toujours présent dans un portefeuille associé au vol n’est pas nécessairement récupéré, et un solde gelé n’est pas la même chose qu’un solde encore contrôlé par les attaquants.
53
60
Binance a déclaré qu’elle couvrirait les pertes des clients. Un article publié le 4 novembre indiquait que la plateforme avait reconstitué environ 98 % du montant affecté. Cette prise en charge des clients ne signifie pas que les cryptomonnaies volées ont été récupérées auprès des auteurs.
27
50
Ce que les éléments disponibles permettent de conclure
Le tableau le mieux étayé est celui d’un vol massif et rapide, attribué par le FBI au groupe nord-coréen TraderTraitor — une attribution rejetée par la Corée du Nord —, suivi de déplacements importants de SOL et d’une pause de THORChain qui a temporairement interrompu les échanges entre blockchains.
1
12
22
38
56
Les sources disponibles ne permettent pas de tenir chaque itinéraire de transaction rapporté pour confirmé, d’assimiler un transfert à une conversion réussie en argent liquide, ni d’affirmer que le vol a déterminé l’évolution générale du cours de Solana. Les montants gelés, les sommes encore présentes dans des portefeuilles liés au vol et la part reconstituée par Binance décrivent des situations différentes : il faut les lire séparément.