Binance rouvre les retraits après le piratage nord-coréen de 6,3 milliards de dollars

Binance a rouvert les retraits de cryptomonnaies par phases le 1er novembre 2026, trois jours après le vol d'environ 6,3 milliards de dollars dans ses portefeuilles chauds. Le FBI a déclaré tard le 31 octobre que la Corée du Nord en était responsable, rapporte CNBC. Pour quiconque détient des fonds sur la plateforme, les questions sont désormais : quand son réseau rouvre-t-il, et comment Binance comble-t-elle le trou ?

Ce qui a été volé

Le vol a été annoncé le jeudi 29 octobre et a touché les portefeuilles chauds que Binance utilise pour les paiements courants, selon CoinDesk. Un portefeuille chaud est un portefeuille maintenu connecté à internet pour que les retraits soient payés rapidement. Binance chiffre la perte à environ 6,3 milliards de dollars.

La société d'analyse de blockchain TRM Labs a détaillé les sorties par actif, rapporte CoinDesk :

Actif	Montant dérobé, selon TRM Labs
Bitcoin (BTC)	18 270 BTC, soit environ 1,47 milliard de dollars
Ether (ETH)	200 630 ETH
Tether (USDT) sur Ethereum	1,875 milliard d'USDT
USD Coin (USDC) sur Ethereum	823 millions d'USDC
XRP	233,46 millions de XRP
Solana (SOL)	970 500 SOL

Binance a d'abord incriminé « l'ordinateur portable compromis d'un ingénieur DevOps », rapporte CNBC. Le co-PDG Richard Teng a ensuite déclaré que l'attaque était plus complexe qu'un simple abus des droits d'un ingénieur. L'entreprise n'a pas encore expliqué comment les attaquants sont passés de là aux portefeuilles. Selon TechCrunch, Binance publiera un rapport d'incident plus détaillé à la fin de son enquête.

L'attribution du FBI

Le FBI a déclaré samedi qu'un groupe nord-coréen connu sous le nom de TraderTraitor était responsable, rapporte TechCrunch. Les actifs volés ont été convertis principalement en Ethereum, et le FBI s'attend à « de nouvelles étapes de blanchiment », selon CNBC. Les sociétés d'analyse de blockchain avaient déjà relié l'attaque à TraderTraitor avant la déclaration du FBI, dit CoinDesk. « Plusieurs caractéristiques de cette attaque correspondent à de précédents braquages liés à la Corée du Nord », a déclaré TRM Labs.

Tout l'argent ne circule plus. Environ 3 milliards de dollars sont gelés, surtout en USDT et en USDC, rapporte CoinDesk. Les sociétés qui émettent ces stablecoins peuvent bloquer les jetons à des adresses précises. Le bitcoin et l'ether n'ont pas d'émetteur et ne peuvent pas être gelés de la même manière.

L'activité de la Corée du Nord contre les entreprises technologiques américaines faisait déjà l'actualité cet automne. En octobre, le ministère de la Justice a inculpé 14 personnes pour des informaticiens nord-coréens à distance embauchés par plus de 70 entreprises américaines.

Comment les retraits reviennent

La phase un s'est déroulée de 6 h 00 à 9 h 00 UTC le 1er novembre, rapporte CoinDesk. Bitcoin, Ether, USDT, USDC, BNB et XRP ont rouvert en premier, avec des actifs sur 15 autres blockchains. Binance a donné la priorité aux réseaux ayant le plus de demandes de retrait, et chaque chaîne doit passer des contrôles de sécurité et de stabilité avant de rouvrir.

Les médias décrivent l'ordre un peu différemment. CNBC dit que Bitcoin a ouvert en premier, Ethereum et BNB Smart Chain ayant été rétablis plus tard dans la journée. CoinDesk liste six actifs dans la première fenêtre. Dimanche matin, heure américaine, TechCrunch a constaté que les dépôts et retraits en bitcoin restaient en partie suspendus. Les dépôts en Ethereum étaient normaux, tandis que les retraits en Ethereum étaient en partie suspendus.

Binance n'a pas donné de date pour les réseaux restants. « La reprise des retraits est une étape majeure, mais notre travail continue », a déclaré l'entreprise, selon TechCrunch.

Comment Binance couvre les pertes

Binance dit absorber la perte elle-même. « Binance absorbera l'impact financier de ces fonds volés, pas nos utilisateurs », a écrit l'entreprise dans sa troisième mise à jour de rétablissement le 31 octobre. Cette mise à jour chiffrait la couverture à 90 % des actifs volés, contre environ 80 % dans la précédente. Dimanche, le chiffre atteignait environ 95 %, rapportent CoinDesk et TechCrunch.

« Couvert » a ici un sens précis. Binance a rétabli la contrepartie des soldes clients avec son propre argent. Cela ne veut pas dire que les fonds volés sont revenus.

L'argent vient de trois sources, dit la mise à jour. L'une est une partie du Secure Asset Fund for Users (SAFU), la réserve d'urgence de Binance pour les intrusions. Les autres sont une partie de son fonds d'assurance Futures et la trésorerie de l'entreprise. Binance dit qu'elle reconstituera ensuite le SAFU à environ 1 milliard de dollars. La mise à jour précédente indiquait que l'entreprise avait engagé plus de 6,34 milliards de dollars de ses propres fonds.

Dix grands jetons sont désormais entièrement couverts, rapporte CNBC : BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD et ZEC. La part restante, environ 5 % dimanche, se trouve dans des jetons hors du top dix que Binance qualifie de « moins liquides ». Elle continue de les acheter via le marché et des canaux de gré à gré. Un instantané de preuve de réserves pris le 31 octobre à 0 h 00 UTC est publié. Le rapport complet de preuve de réserves à divulgation nulle est attendu le 3 novembre 2026.

Ce que cela signifie pour les développeurs

• Si vous y détenez des fonds, vérifiez votre réseau avant d'envoyer. Les retraits rouvrent chaîne par chaîne, et Binance n'a donné aucune date pour les derniers. La phase un a pris trois heures pour six actifs. Attendez-vous à ce que la longue traîne des petits jetons prenne des jours.
• Un ordinateur portable a été la première version. La première explication de Binance était la machine compromise d'un ingénieur DevOps. Teng dit que le tableau complet est plus complexe, mais la leçon pour toute équipe qui exploite une infrastructure de signature tient. Un poste de développeur avec accès à la production est une cible, et déplacer de l'argent depuis un portefeuille chaud devrait exiger plus que les identifiants d'une seule machine.
• Les stablecoins peuvent être gelés. Les coins, non. Environ 3 milliards de dollars se sont arrêtés parce que les émetteurs d'USDT et d'USDC peuvent bloquer des adresses. Les équipes qui choisissent un actif de règlement doivent comprendre cette propriété. Elle protège les victimes, et elle signifie aussi qu'un tiers peut geler vos fonds.
• Surveillez le 3 novembre. Le rapport complet de preuve de réserves est la première chose que des tiers peuvent vérifier eux-mêmes. Le rapport d'incident n'a pas de date. Tant qu'il n'est pas publié, personne hors de Binance ne sait comment les attaquants sont passés du portable d'un ingénieur aux portefeuilles chauds.
• Attendez-vous à une longue piste de blanchiment. Le FBI prévoit d'autres étapes de conversion, rapporte CNBC. Les adresses impliquées resteront probablement des mois sur les listes de surveillance des plateformes et des sociétés d'analyse, et tout service qui touche à ces fonds doit s'attendre à des questions.