Une attribution américaine, contestée par Trump
Le FBI a officiellement mis en cause la Corée du Nord samedi 31 octobre 2026 pour le vol record subi par Binance. Son communiqué situe les faits aux alentours du 29 octobre et fait état de plus de 6 milliards de dollars d'actifs virtuels dérobés. Binance évalue la perte à 6,3 milliards de dollars.
Les enquêteurs désignent TraderTraitor comme l'auteur de l'opération. Chainalysis avait déjà attribué le vol à ce groupe dès le vendredi 30 octobre à 0 h 30, heure de l'Est américain. La société d'analyse de blockchain estime pour sa part que les actifs valaient environ 6,4 milliards de dollars au moment du vol.
Donald Trump a néanmoins exprimé ses réserves tard samedi soir, devant des journalistes réunis dans sa résidence en Floride. "Je ne suis pas inquiet. Nous sommes en train d'en apprendre davantage. Nous ne savons pas si c'est la Corée du Nord", a déclaré le président américain, qui vante régulièrement ses bonnes relations personnelles avec Kim Jong Un.
Une vingtaine de minutes pour l'essentiel du vol
TRM Labs et Chainalysis situent l'essentiel du détournement sur une vingtaine de minutes, à partir de la soirée du jeudi 29 octobre. Selon ces deux sociétés américaines d'analyse de blockchain, le mode opératoire présente des ressemblances avec celui de précédentes attaques de grande ampleur attribuées à la Corée du Nord.
Richard Teng, co-directeur général de Binance, a décrit une "attaque complexe". Elle aurait impliqué un ordinateur portable d'employé compromis et un logiciel malveillant destiné à supprimer les traces de son activité, rendant le suivi de l'opération et l'enquête plus difficiles.
Le FBI affirme avoir observé la conversion des fonds détournés en ether, la cryptomonnaie du réseau Ethereum. Il s'attend à ce que les auteurs poursuivent le blanchiment en passant par des services de finance décentralisée, ou DeFi, et par des services d'échange instantané, avant d'autres étapes de blanchiment. Les premiers proposent des services financiers sur la blockchain ; les seconds permettent de passer rapidement d'une cryptomonnaie à une autre sans banque ni intermédiaire traditionnel.
Chainalysis indique également que, sur la blockchain, les fonds provenant de Binance se mélangeaient à des actifs dérobés lors de l'exploitation d'une faille chez Bitget en septembre 2026. Cette précédente attaque était elle aussi liée à des acteurs nord-coréens.
Des centaines d'adresses signalées pour bloquer les fonds
Pour entraver ces mouvements, le FBI a rendu publiques environ 500 adresses Ethereum qu'il dit utilisées par TraderTraitor pour blanchir les actifs volés. L'avis recense aussi 19 adresses bitcoin qui détiennent ou ont détenu une partie du butin.
Diffusée samedi à 18 h 36, heure de l'Est américain, par la branche cyber du FBI, l'alerte demande de bloquer les transactions associées à ces adresses. Elle s'adresse aux plateformes de cryptomonnaies, aux sociétés d'analyse blockchain et aux services DeFi, ainsi qu'aux services d'échange instantané et aux opérateurs de nœuds THORChain et RPC. Le FBI précise avoir travaillé avec le Secret Service américain et la division d'enquête criminelle de l'IRS.
Binance mène de son côté des recherches avec des partenaires du secteur pour retrouver les actifs et en geler une partie. Selon la plateforme, environ 3 milliards de dollars avaient été localisés au vendredi 30 octobre.
Binance mobilise ses réserves et relance les retraits
Les retraits avaient été suspendus après le vol pour arrêter les sorties de fonds. Binance a annoncé leur reprise dimanche 1er novembre : la première phase devait commencer entre 6 h et 9 h GMT et porter sur 15 crypto-actifs, parmi lesquels le bitcoin, l'ether, le XRP et le dogecoin.
La plateforme promet qu'aucun client ne subira de perte et rachète des actifs correspondant à ceux qui ont été dérobés. Samedi, elle déclarait avoir reconstitué 90 % du montant volé et cherchait encore à réunir les 10 % restants, composés d'actifs moins liquides. Dimanche, elle a porté son bilan à 6 milliards de dollars couverts, soit 95 % des jetons volés, les 5 % restants étant, selon elle, moins liquides.
Pour financer ces rachats, Binance indique avoir mobilisé son Secure Asset Fund for Users (SAFU), une réserve d'un milliard de dollars prévue pour protéger les clients en cas de faille de sécurité. Elle a également puisé dans une partie de son Futures Insurance Fund et dans sa trésorerie d'entreprise. Au total, elle dit avoir réservé en interne environ 6,34 milliards de dollars pour couvrir les pertes.
La co-directrice générale Yi He a précisé que 50 % du SAFU seraient utilisés. Binance s'engage à ramener ensuite ce fonds à environ un milliard de dollars.
Première plateforme mondiale par le volume des échanges de devises numériques, Binance revendique 335 millions d'utilisateurs. À titre de comparaison, Crypto.com comptabilisait 741 millions de propriétaires de cryptomonnaies dans le monde. Vendredi 30 octobre, les cours des cryptomonnaies ont reculé tandis que Binance tentait de rassurer ses clients sur la sécurité de leurs avoirs.
La société a aussi annoncé un nouvel instantané des actifs de sa plateforme, arrêté au 31 octobre 2026 à 0 h GMT, dans le cadre de sa procédure de preuve de réserves. Les détenteurs de BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD et ZEC pourront vérifier que leurs actifs disposent d'une couverture d'au moins 1:1.
TraderTraitor et les précédents nord-coréens
Le montant dérobé chez Binance représente, selon le FBI, quatre fois les 1,5 milliard de dollars volés à ByBit en février 2025 par le même groupe. Ce précédent constituait alors le plus important vol de cryptomonnaies. Pour l'ensemble de 2025, les chercheurs de TRM Labs recensent près de 150 attaques ayant permis de dérober 2,9 milliards de dollars.
Selon Chainalysis, les acteurs présumés liés à la Corée du Nord concentrent près de 89 % des pertes déclarées dues aux piratages de cryptomonnaies depuis le début de 2026, contre 15 % en 2021. L'affaire Binance illustre la capacité de Pyongyang à obtenir des revenus illicites malgré les lourdes sanctions internationales visant ses programmes nucléaire et de missiles balistiques.
TraderTraitor est considéré comme une composante de Lazarus, un groupe affilié aux services de renseignement nord-coréens. Lazarus avait notamment été accusé, en 2014, du piratage de Sony Pictures Entertainment en représailles au film satirique sur la Corée du Nord "L'Interview qui tue !".
Dans un rapport de 2020, l'armée américaine évaluait à 6 000 employés les effectifs du "Bureau 121", l'unité nord-coréenne de cyberguerre. Ses membres opèrent également hors du pays, notamment au Bélarus, en Chine, en Inde, en Malaisie et en Russie.
Ce piratage survient par ailleurs dans un contexte d'inquiétude de nombreux observateurs face aux capacités croissantes des modèles d'intelligence artificielle et aux risques qu'elles pourraient faire peser sur la cryptographie et les protocoles de sécurité informatique.
