Piratage de Binance : le FBI désigne TraderTraitor et la Corée du Nord, 3,24 milliards encore dans des portefeuilles liés, premier mixage de bitcoins, sorties DefiLlama au-delà de 6 milliards

Mise à jour du 2 novembre 2026, 12 h 12 UTC : Elliptic signale le premier mixage des fonds volés, environ 28 BTC passés par 18 coinjoins à 6 h 02 UTC lundi, indique que les XRP, les NEAR et environ la moitié des SOL ont bougé, et compte environ 3,24 milliards de dollars encore sur des adresses liées. Les données de portefeuilles de DefiLlama montrent plus de 6 milliards sortis de Binance sur 24 heures, selon CoinDesk, et plus de 7 milliards selon Cointelegraph, une autre mesure que les 3,64 milliards nets comptés par Binance sur les 9,5 premières heures. Gate dit sur X avoir gelé deux comptes liés à l’attaquant, et TokenPost rapporte le retour des retraits en dollars américains, tout comme un titre de The Defiant, sans préciser ni canaux ni plafonds. La date de Binance pour la preuve de réserves complète reste le mardi 3 novembre, celle qu’elle a donnée samedi, et notre vérification de 12 h 07 UTC montre 14 jetons ouverts sur 991, l’USDT sur Tron étant désormais coupé.

Le piratage de Binance du jeudi 29 octobre est le plus gros vol de l’histoire de la crypto, selon le décompte de TRM Labs. Binance chiffre l’impact total à environ 6,3 milliards de dollars, et la société d’analyse blockchain TRM Labs compte 6,36 milliards de dollars dérobés dans les portefeuilles chauds de Binance sur dix blockchains, l’essentiel en une vingtaine de minutes à partir de 20 h 05 UTC. Binance affirme qu’environ 3 milliards de dollars ont été gelés on-chain avec ses partenaires et qu’elle a réservé plus de 6,34 milliards de dollars de fonds propres pour couvrir les pertes. Dimanche, elle a dit avoir couvert environ 95 % du montant volé, un chiffre non vérifié de façon indépendante, et elle a rouvert les retraits par phases dimanche matin : le BTC d’abord, à 6 h 02 UTC d’après ses données de statut, puis les 15 réseaux de la première phase à 12 h 36 UTC, selon ses dires. Elle compte 4,649 milliards de dollars retirés contre 1,01 milliard déposé jusqu’à 15 h 30 UTC, soit environ 3,64 milliards de sorties nettes. Les décomptes fondés sur les données de portefeuilles de DefiLlama dépassent 6 milliards sur 24 heures, une autre mesure. Le FBI a depuis désigné le groupe nord-coréen TraderTraitor comme auteur de l’attaque.

Ce sont les chiffres de Binance et de TRM. Ce qui manque encore, c’est l’explication. Binance a d’abord désigné l’ordinateur portable compromis d’un ingénieur, avant d’annoncer vendredi d’autres points d’intrusion, et Richard Teng décrit désormais un attaquant qui a effacé ses traces. Binance a répété dans sa mise à jour de vendredi soir n’avoir trouvé aucune preuve de fuite de clé privée, alors que la gestion des clés privées fait partie des points passés en revue. La lecture de la chaîne par TRM va plus loin : des portefeuilles de réseaux différents, aux types de clés et aux schémas de signature différents, ont tous produit des signatures valides en une demi-heure environ. Le corps de cet article s’appuie sur les données publiées jusqu’à 17 h 45 UTC environ le 30 octobre, complétées à l’heure de la dernière mise à jour ; l’affaire continue d’évoluer.

Retraits Binance : les 15 réseaux de la première phase rouverts à 12 h 36 UTC, deuxième phase sans date

Binance se disait prête à relancer la première phase des retraits entre 6 h et 9 h UTC le dimanche 1er novembre, dans sa mise à jour de récupération n° 4, datée de 4 h 08 UTC sur sa page d’annonces. Reuters donne la même fenêtre et Cryptoticker la même liste de 15 réseaux. La formulation compte : les actifs deviennent disponibles « progressively » (progressivement), chaque réseau après ses propres contrôles de sécurité et de disponibilité. 9 h UTC n’était donc pas la promesse que les 15 seraient ouverts à cette heure. Binance dit les avoir classés selon la demande des utilisateurs sur la semaine écoulée. Les dépôts restent ouverts, précise-t-elle.

Les autres jetons demeurent fermés jusqu’aux phases suivantes, dont Binance ne donne pas la date. Les retraits en dollars américains sont le seul ajout signalé : TokenPost a écrit lundi qu’ils sont de retour, et un titre de The Defiant dit la même chose, mais seuls ce titre et son résumé se sont affichés pour nous. TokenPost ne donne ni heure, ni canal, ni plafond, ne mentionne aucune autre devise et ne cite aucune annonce de Binance, et nous n’avons pas pu lire la formulation de Binance. Pour les réseaux crypto, Binance prévient que des retards sont possibles pendant les premières heures, et qu’un retrait qui échoue sur un réseau de la liste peut être retenté un peu plus tard. La disponibilité de chaque jeton s’affiche sur la page de retrait et sur la page de statut des réseaux.

Notre première vérification s’est arrêtée à 6 h 03 UTC. Nous avons interrogé les données publiques derrière la page de statut des réseaux de Binance dès avant l’ouverture de la fenêtre. Tous les réseaux des 990 jetons répertoriés affichaient des retraits coupés jusqu’à l’activation du BTC sur le réseau Bitcoin, vue pour la première fois à 6 h 02 UTC. À 6 h 03 UTC, c’était toujours le seul : ether, USDT, USDC, BNB, SOL et XRP restaient coupés, et Cryptoticker avait trouvé Bitcoin et Ethereum coupés à 4 h 45 UTC. C’est un indicateur de statut, pas la preuve que des fonds circulent. À cette heure, nous n’avions trouvé aucun média signalant un retrait mené à bien, ni aucun message de Binance annonçant le début de la première phase.

À 12 h 36 UTC, les 15 réseaux de la première phase avaient rouvert, a indiqué Binance dans un point sur les retraits relayé par Bitcoin.com News et The Block. Nous lisons ce point à travers ces deux médias : smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il a été publié sur X, que nous n’avons pas ouvert, et la dernière annonce sur la page de Binance à 17 h 40 UTC restait la mise à jour de récupération n° 4. Les décomptes du matin n’étaient que des étapes. TokenPost comptait sept réseaux à 10 h 28 UTC, CoinDesk citait les principaux actifs dans une note de 10 h 54 UTC, et personne ne donne d’heure d’ouverture pour chacun des 15. Le résumé de CoinDesk parlait du bitcoin et d’actifs sur 15 autres blockchains, un total que la liste de Binance ne confirme pas.

Nous avons refait notre vérification à 17 h 40 UTC, sur les mêmes données publiques. Chacun des 15 réseaux avait au moins un jeton ouvert, ce qui concorde avec la déclaration de 12 h 36 UTC sur les réseaux. Seuls 15 des 990 jetons répertoriés avaient leurs retraits activés, tous présents dans le tableau ci-dessus, et deux lignes de ce tableau restaient coupées : l’USDT sur Polygon et sur Avalanche C-Chain. Cela cadre mal avec la formule de Binance, « all 15 networks and assets » (les 15 réseaux et actifs), et nous ignorons si ces deux lignes ont rouvert puis refermé ou n’ont jamais ouvert. The Block, lisant la page de statut à 16 h 22 UTC, comptait des retraits suspendus pour 531 jetons sur 552, une base différente de nos 990 que nous ne savons pas expliquer. Un indicateur de statut ne prouve toujours pas qu’un retrait donné a abouti. Notre lecture de 12 h 07 UTC lundi donne 14 des 991 jetons répertoriés, sur 29 lignes jeton-réseau, contre 30 à 11 h 48 UTC, avec au moins un jeton ouvert sur chacun des 15 réseaux. Le jeton manquant par rapport aux 15 de dimanche est le POL, désormais coupé sur Polygon et sur Ethereum. L’USDT reste coupé sur Polygon et sur Avalanche C-Chain, et l’USDT sur Tron, une ligne de ce tableau, apparaît lui aussi coupé. Nous n’avons trouvé d’explication pour aucun de ces cas.

Cardano, Chainlink, Hyperliquid, Litecoin et NEAR étaient encore en test dimanche, rapportait The Block ; à 17 h 40 UTC, ADA, LINK, HYPE, LTC et NEAR affichaient des retraits coupés sur tous leurs réseaux, comme encore à 12 h 07 UTC lundi. Les retraits passent désormais par des portefeuilles nouvellement créés et ajoutés à la liste de la preuve de réserves, selon le même article. La deuxième phase n’a pas de calendrier. Yi He a indiqué que les portefeuilles des autres jetons passent encore des audits de sécurité répétés, et que les suivants seront classés selon la capitalisation, les fonds détenus et l’usage des clients, rapporte crypto.news. Le même média cite le co-directeur général Richard Teng reprenant dimanche le chiffre de 95 % et Binance attendant la preuve complète d’ici le mardi 3 novembre ; cela reste la parole de Binance.

Sorties nettes de Binance : 4,65 milliards retirés, 3,64 milliards nets en neuf heures et demie

Binance a désormais donné son propre décompte, dans un message sur X relayé par Bitcoin.com News et The Block. Entre 6 h et 15 h 30 UTC dimanche, 4,649 milliards de dollars sont sortis et 1,01 milliard est entré, soit environ 3,64 milliards de sorties nettes. Binance rapporte ce montant à 171 milliards de dollars d’actifs sous gestion, tirés de sa preuve de réserves du 28 octobre, ce qui donne 2,1 % ; cette base est antérieure au piratage. Les retraits ont culminé à 733 millions de dollars sur l’intervalle ouvert à 8 h UTC et les dépôts à 187 millions à 8 h 30 UTC, et les retraits ont dépassé les dépôts sur chaque tranche de 30 minutes, indique Bitcoin.com News. Binance décrit des volumes de retrait « stabilising as expected » (qui se stabilisent comme prévu). Ce sont les chiffres de l’entreprise, qu’aucun tiers n’a vérifiés.

Les décomptes extérieurs mesurent autre chose. DefiLlama affichait environ 4,05 milliards de dollars de sorties nettes sur 24 heures à 16 h 37 UTC, pour 131,1 milliards d’actifs suivis, rapporte The Block. Cette fenêtre s’ouvre avant la reprise et la base d’actifs est plus étroite que les 171 milliards de Binance : il ne faut pas fondre les deux. Les mêmes données montraient alors environ 316,8 millions de dollars entrés chez OKX. Les lectures de lundi figurent dans la section suivante.

Les chiffres du matin, 1,02 milliard de dollars sur le graphique de CoinMarketCap selon ChainCatcher et environ 1,26 milliard sur 24 heures selon TokenPost, venaient de données secondaires sans fenêtre commune ; le décompte de dimanche les remplace pour mesurer la réouverture. Une sortie nette, c’est ce qui est parti moins ce qui est entré, pas le total des retraits, et aucun de ces articles ne dit à qui étaient ces fonds. Nous n’avons toujours pas confirmé de retrait d’un client identifié.

Sorties de Binance par fournisseur : trois mesures qui ne font pas un seul chiffre

Il n’existe pas de chiffre unique, car chaque fournisseur mesure autre chose. Binance compte ses propres retraits et dépôts, sur neuf heures et demie. DefiLlama lit les portefeuilles publics liés à la plateforme, et ces données peuvent inclure des transferts entre portefeuilles contrôlés par Binance, prévient CoinDesk : ce n’est donc pas un décompte des retraits des clients. Whale Factor, cité par Bitcoin.com News, donne un troisième décompte, dont l’article ne précise pas la méthode.

Les lectures de DefiLlama sont une seule mesure vue à plusieurs moments, pas quatre décomptes distincts, et elles ne s’alignent pas proprement : le chiffre plus élevé de Cryptoast est arrivé le premier. Les 16 milliards d’un titre de Bitcoin.com News n’ont leur place sur aucune de ces lignes. C’est une baisse des actifs suivis, pas une sortie : le total de Binance chez DefiLlama est passé d’environ 144,9 milliards de dollars le 29 octobre à environ 128,31 milliards tôt le 2 novembre, une chute qui englobe les quelque 6,3 milliards volés et la baisse des cours, et les chiffres de l’article lui-même vont de 15,7 à environ 16,5 milliards. Lundi, DefiLlama suivait environ 129 milliards (CoinDesk) ou environ 127,9 milliards (Cointelegraph), contre les 171 milliards déclarés par Binance. Cet écart explique aussi les pourcentages : les 3,6 % de CoinDesk rapportent la sortie vue par DefiLlama aux 171 milliards de Binance, les 5 % environ de Cryptoast utilisent les 129 milliards de DefiLlama.

Les concurrents ont reçu bien moins que ce qui est sorti. Sur les données de DefiLlama, OKX a gagné environ 445 millions de dollars (Cointelegraph), environ 450 millions (CoinDesk) ou plus de 495 millions (Cryptoast), et Bybit 112 millions (Cointelegraph) ou environ 134 millions (CoinDesk). CoinDesk rappelle que ces agrégats ne disent pas quelle part vient des clients de Binance. Whale Factor voit les dix plateformes suivantes gagner environ 368 millions. Changpeng Zhao a écrit sur X que 98 % avaient choisi de rester, rapporte Bitcoin.com News, un chiffre que nous n’avons pas pu vérifier.

Binance dit avoir couvert 95 % des actifs volés : ce qu’elle affirme, ce qui se vérifie

Binance a déclaré dimanche avoir couvert environ 95 % du montant touché, contre environ 90 % samedi et environ 80 % vendredi. Le chiffre figure dans sa mise à jour de récupération n° 4, et Reuters le reprend. Nous avons désormais lu les trois mises à jour de Binance sur ses pages d’annonces, ce que les versions précédentes de cet article n’avaient pas pu faire ; les 90 % venaient de la mise à jour n° 3, publiée samedi à 14 h 24 UTC. Le solde, dit Binance, se compose de jetons hors des dix premiers, moins liquides et plus lents à acheter à l’échelle requise, qu’elle continue d’acquérir sur le marché et de gré à gré. Elle ne chiffre pas ces 95 % en dollars ; selon notre calcul, ce serait environ 6 milliards sur 6,3 milliards de dollars. Nous n’en avons trouvé aucune vérification indépendante.

Trois sources financent l’opération, selon Binance : la trésorerie, une partie du SAFU (le fonds de protection des utilisateurs) et une partie du fonds d’assurance des contrats à terme, a indiqué un porte-parole à Cointelegraph, sans montant pour aucune d’elles. « Binance will absorb the financial impact of the stolen funds, not users », a-t-il dit : Binance, et non les utilisateurs, assumera le coût. CoinDesk décrit le recours au SAFU comme un déploiement partiel attendu dans les 24 heures et rapporte que Binance s’est engagée à ramener le fonds à environ 1 milliard de dollars. Le fonds d’assurance reste au-dessus du niveau requis, dit Binance, selon Cointelegraph, Cryptonomist et TokenPost ; Cointelegraph note que ce minimum n’a pas été communiqué.

Une chose se lit sans passer par Binance. Une transaction du bloc 973 984, à 14 h 51 min 41 s UTC samedi, a envoyé 7 499 BTC depuis une adresse vers une seule autre adresse ; 1 BTC avait pris le même chemin six minutes plus tôt. Nous l’avons lu sur mempool.space et sur Blockstream. L’adresse d’envoi est celle que donnent pour le SAFU des reproductions du message de Binance de février, et Cryptonomist l’appelle l’adresse SAFU déclarée par Binance ; nous n’avons pas ouvert ce message. Whale Alert a évalué les 7 499 BTC à environ 581 millions de dollars, a rapporté ChainCatcher, puis Binance a annoncé que le transfert était terminé (« SAFU fund transfer is complete »), selon Cryptonomist ; TokenPost et TechFlow rapportent la même chose. Cryptonomist et TokenPost présentent le transfert comme une part de l’effort pour remplacer les actifs volés ; les mots de Binance cités par Cryptonomist disent seulement qu’il est terminé. Lors de notre vérification vers 17 h 50 UTC, l’adresse destinataire détenait 7 500 BTC sans avoir rien envoyé, et l’adresse d’envoi environ 7 500 BTC, soit la moitié des 15 000 BTC qu’elle détenait auparavant. Le registre montre le mouvement, pas son objet. La mise à jour n° 3 de Binance indique qu’une partie du SAFU sert à acheter les actifs restants, mais elle n’a pas dit qui contrôle l’adresse destinataire, ni quelle part des 7 499 BTC y a été affectée.

Le nouvel instantané est daté de minuit UTC le 31 octobre, rapporte CoinDesk, et montre une couverture d’au moins 100 % pour BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD et ZEC. C’est un document de Binance et non la preuve complète, qui permettrait aux utilisateurs de vérifier que leur solde y figure. Cette preuve à divulgation nulle de connaissance demande de 40 à 50 heures de calcul (« approximately 40 to 50 hours to generate »), a dit Binance, citée par Cointelegraph. Selon notre lecture, un instantané pris à minuit ne peut pas, à lui seul, établir un chiffre donné plus tard samedi. CertiK a dit vendredi à Cointelegraph qu’il lui fallait davantage d’informations pour vérifier les 5 milliards de dollars de jetons de remplacement, et nous n’avons trouvé aucune vérification extérieure depuis. Binance affirme désormais que les dix soldes sont « fully backed 100% » (couverts à 100 %), ce qui reste sa propre déclaration.

La preuve complète est datée du mardi 3 novembre, la date donnée par Binance samedi, et rien de ce que nous avons lu lundi n’annonce de nouveau report. La mise à jour n° 2 de Binance promettait des résultats d’ici le lundi 2 novembre, et Richard Teng une preuve complète d’ici lundi, selon le direct de Cointelegraph à 14 h 34 UTC. L’instantané est ensuite arrivé en avance, mais la mise à jour n° 3 de samedi estime que la preuve permettant aux utilisateurs de vérifier leur solde sera prête d’ici le mardi 3 novembre (UTC). La preuve complète a donc glissé d’un jour par rapport à la date de Richard Teng, et ce changement date de samedi, pas de dimanche. Cryptoticker et un article antérieur de Bitcoin.com News indiquent mardi ; Cryptonomist écrivait encore lundi le 1er novembre, en citant Richard Teng. La mise à jour n° 4, telle que nous l’avons lue dimanche matin, ne donne pas de nouvelle date. Dimanche, Bitcoin.com News rattachait à cette quatrième mise à jour un rapport actualisé attendu le 2 novembre, The Block prévoyait le rapport pour lundi et Blockonomi attendait la preuve à divulgation nulle de connaissance le 3 novembre. Lundi, Bitcoin.com News donne le mardi 3 novembre (UTC), d’après la mise à jour n° 3, et rappelle l’explication de Binance : le calcul de la preuve prend environ 40 à 50 heures. Cointelegraph écrivait encore lundi qu’un rapport actualisé sur la preuve de réserves était attendu ce jour-là. Vers 12 h 10 UTC, nous n’avions vu aucun compte rendu d’une telle publication, et nous n’avons pas pu lire les pages d’annonces de Binance. Nous gardons mardi pour la preuve complète. Dans les deux cas, l’instantané du 31 octobre précède les retraits de dimanche.

Pour les retraits, la mise à jour de samedi disait seulement que Binance restait en voie de tenir dimanche. Celle de dimanche a donné la fenêtre détaillée plus haut, qui commence une demi-heure après les 5 h 30 UTC calculées par CryptoNews à partir de la mise à jour de vendredi. Richard Teng avait dit que les retraits resteraient suspendus tant qu’ils n’auraient pas passé des tests rigoureux, rapporte Cryptonomist.

Piratage de Binance : ce que l’exchange a confirmé

Binance a choisi X comme canal. Ses messages, repris par Bitcoin.com News tard le 29 octobre (23 h 08 à New York, heure d’été, soit 03 h 08 UTC le 30 octobre) et par Cointelegraph, évaluent l’impact total à environ 6,3 milliards de dollars, dont environ 3 milliards de dollars gelés on-chain à ce stade. Un chiffre antérieur de Binance, cité dans la chronologie de TRM, faisait état de 2,54 milliards de dollars de fonds gelés vérifiés à 23 h 35 UTC le 29 octobre. Les deux montants ne se contredisent pas : le total gelé a augmenté pendant la nuit.

Sur la cause, la formulation de Binance reste prudente. Son enquête initiale « suggère que l’incident de sécurité pourrait impliquer l’ordinateur portable d’un ingénieur DevOps compromis », ce qui aurait permis à un attaquant d’accéder à un conteneur de service et de soumettre des transactions de retrait non autorisées. L’exchange ajoute : « Nous n’avons trouvé aucune preuve de fuite de clé privée de portefeuille. » Elle présente l’enquête comme toujours en cours.

Ce premier récit a bougé depuis. Dans une mise à jour ultérieure, le 30 octobre, Binance a écrit que son enquête avait mis au jour d’autres points d’intrusion (« additional points of breach »), a rapporté Decrypt ; à ce stade, elle n’avait pas dit lesquels, notait CryptoSlate, et Richard Teng a donné plus de détails dans la journée. Le co-directeur général Richard Teng a écrit que l’accès de l’attaquant avait commencé par un ordinateur portable, mais qu’il ne s’agissait pas d’une action en « un clic » (« one-click »), selon FinanceFeeds, et Cointelegraph lui prête l’expression d’un processus d’attaque « plus complexe ». « À ce stade, nous n’avons trouvé aucune preuve de fuite de clé privée de portefeuille », écrivait-il alors.

La société dit avoir révoqué l’autorisation des adresses concernées et contacté les forces de l’ordre et ses partenaires d’analyse blockchain. Elle a aussi promis une preuve de réserves mise à jour après la remédiation, puis un post-mortem technique détaillé une fois les faits vérifiés. Un instantané est sorti et Binance estime que la preuve complète sera prête d’ici le mardi 3 novembre ; le post-mortem n’a toujours pas de date, Binance disant seulement dimanche qu’il suivra la fin de l’enquête. Les forces de l’ordre se sont depuis exprimées. Reuters a d’abord rapporté, citant une personne au fait du dossier, que Binance travaille avec le FBI et l’US Secret Service, selon ChainCatcher et PANews. Le direct de Cointelegraph a consigné à 13 h 11 UTC une affirmation du même ordre, venue d’une seule source non nommée proche du dossier, à propos de la récupération d’une partie des fonds volés. Nous y voyons une seule affirmation de source anonyme, pas deux confirmations. Reuters cite depuis les deux agences, dans un article repris par The Business Standard. Le FBI se dit informé de l’incident (« aware of the incident ») et en lien avec ses partenaires publics et privés. Le Secret Service dit que ses enquêteurs travaillent jour et nuit avec des partenaires privés, dont Circle, pour identifier, geler, tracer et récupérer les fonds volés. Aucune de ces déclarations, telles que citées, ne désignait de suspect ; le FBI l’a fait samedi soir, comme le détaille la section sur la Corée du Nord. Les déclarations de Binance citées jusqu’ici ne parlent que des forces de l’ordre sans nommer d’agence, et nous n’avons trouvé aucune déclaration du ministère américain de la Justice. Binance n’a pas nommé les attaquants.

Changpeng Zhao, le fondateur, qui ne dirige plus l’entreprise mais en reste l’actionnaire majoritaire selon Fox Business, a écrit sur X : « Les fonds des utilisateurs sont en sécurité ! Cela ressemble bien à un piratage de Binance. » Il a remercié Tether et Circle d’avoir gelé rapidement des fonds, d’après Fox, et Coinpaper indique qu’il s’attendait à ce que les utilisateurs touchés soient remboursés. « Ça fait mal, mais nous y survivrons », a-t-il ajouté, selon Bitcoin.com News. Reuters rapporte que Binance.US a déclaré ne pas être concernée.

La vidéo de Richard Teng : traces effacées, contrôles contournés, séquence encore inconnue

Richard Teng a livré vendredi un récit plus complet, dans une vidéo sur X, a rapporté CoinDesk ; le direct de Cointelegraph l’a consignée à 14 h 34 UTC. « C’était une attaque complexe » (« This was a complex attack »), a-t-il dit. L’attaquant a utilisé un mécanisme d’autodestruction pour détruire ses outils et ses traces, et a pris le contrôle d’un portefeuille chaud grâce à une délégation EIP-7702 qui, selon les mots rapportés par Cointelegraph, « did not pass through our normal approval controls », autrement dit qui n’est pas passée par les contrôles d’approbation habituels. Les enquêteurs ont trouvé des points d’intrusion au-delà de l’ordinateur portable soupçonné, mais n’ont pas établi la séquence complète des faits, indique CoinDesk. Nous n’avons pas pu ouvrir la vidéo : ses propos viennent de ces médias.

Binance passe désormais en revue ses systèmes cloud, les appareils de ses employés, la gestion des clés privées et les procédures de signature des transactions. Dans les comptes rendus que nous avons lus, Richard Teng ne dit pas comment la délégation a été signée, ni comment les neuf autres blockchains ont été atteintes. Ces comptes rendus ne le citent pas sur les clés privées ; la mise à jour écrite de Binance, vendredi soir, répète bien cette phrase.

La mise à jour n° 2 de Binance : 34 heures avant les retraits, un instantané sous 12 heures, toujours aucune preuve de fuite de clé

La deuxième mise à jour formelle de Binance a été publiée sur X vers 19 h 33 UTC vendredi, signée de Yi He et de Richard Teng. Nous n’avions pas pu ouvrir ce message sur X lors de la première rédaction : ce qui suit vient de Reuters, repris par The Business Standard, de Bitcoin.com News et d’un article de BlockchainReporter republié par CryptoNews, et nous avons depuis lu la même mise à jour sur le site de Binance, datée de 19 h 33 UTC. Binance situe désormais la compromission du portefeuille chaud vers 20 h 05 UTC le 29 octobre, ce qui correspond aux premiers transferts du journal de TRM.

Pour les retraits, l’objectif est une reprise sous 34 heures environ (« within approximately 34 hours »), par étapes, une fois achevés les contrôles de sécurité, la remédiation et la validation des systèmes touchés. CryptoNews situe cela vers 05 h 30 UTC le dimanche 1er novembre. TokenPost indique que la reprise se fera jeton par jeton. Les dépôts et les services non touchés restent ouverts, rapporte Bitcoin.com News.

La mise à jour détaille aussi la réserve. Vendredi, les 5 milliards de dollars déjà détenus l’étaient dans les actifs touchés, que Bitcoin.com News énumère (USDC, USDT, BTC, ETH et BNB), et environ 1,3 milliard de dollars restait à acheter sur le marché et de gré à gré, précise CryptoNews. Les « 80 % » de nombreux titres sont formulés de plusieurs façons : Bitcoin.com News écrit environ 80 % des pertes sur ces actifs, TechFlow environ 80 % du montant touché, et CryptoNews obtient 79,4 % en rapportant 5 milliards à 6,3 milliards. Binance écrit elle-même « approximately 80% » (environ 80 %) dans sa mise à jour de samedi. Samedi, Binance a nommé ses sources (trésorerie, part du SAFU, part du fonds d’assurance des contrats à terme), mais pas le montant de chacune.

L’instantané devait venir d’abord. Reuters faisait état d’un premier instantané de preuve de réserves sous 12 heures après la mise à jour, avec des résultats attendus d’ici le lundi 2 novembre. CryptoNews le situe vers 07 h 30 UTC samedi, et une brève de ChainCatcher dit avant 15 h 33 samedi, soit, selon notre lecture, le même moment en UTC+8. L’instantané publié samedi par Binance est daté de minuit UTC le 31 octobre, rapporte CoinDesk. Binance présente l’exercice comme une vue actualisée de ses avoirs et de la couverture des soldes des utilisateurs (« an updated view of platform asset holdings and the corresponding backing of user balances »), cite CryptoNews, qui insiste : ce n’est pas un audit de sécurité.

Sur la cause, la mise à jour répète que l’enquête a mis au jour d’autres points d’intrusion, sans les énumérer dans les comptes rendus que nous avons lus, et que Binance n’a trouvé aucune preuve de fuite de clés privées. D’autres conclusions techniques sont attendues sous 48 heures environ après la mise à jour, soit vers 19 h 33 UTC dimanche selon notre calcul, si l’enquête le permet. Un post-mortem détaillé suivra, sans date. Hypernative, cité par Bitcoin.com News, va dans le même sens que TRM et Blockaid : accès de signature compromis, signatures valides issues de clés contrôlées par Binance, et EIP-7702 utilisé pour exécuter le code de l’attaquant via un portefeuille Binance.

6,34 milliards de dollars mis de côté : ce que Binance a dit vendredi

Binance a déclaré vendredi, dans un message sur X selon Crypto Briefing, avoir réservé plus de 6,34 milliards de dollars de fonds propres (« more than $6.34 billion in company funds ») pour couvrir les pertes. Reuters, dans une dépêche reprise par Devdiscourse, a rapporté ce chiffre, et le direct de Cointelegraph l’a consigné à 10 h 55 UTC. Nous n’avons pas pu ouvrir le message de Binance : ces termes viennent de ces comptes rendus.

Environ 5 milliards de dollars de cette réserve étaient déjà détenus vendredi dans les jetons concernés, soit environ 80 % de la perte ; Binance a porté cette part à environ 90 % samedi, puis à environ 95 % dimanche. Le reste, des jetons moins liquides selon elle, est acheté sur le marché et de gré à gré, et Binance prévenait vendredi que cela peut prendre plus de temps pour les jetons peu liquides et parce que le règlement de ces opérations n’est pas immédiat, selon TechFlow. Les informations de samedi désignent l’ENA et le RSR (voir la section suivante) ; nous n’avons trouvé aucune déclaration de Binance nommant l’un ou l’autre. Les quelque 3 milliards de dollars gelés n’entrent pas dans cette réserve : ces actifs sont encore en cours de récupération et de vérification.

La co-directrice générale Yi He a expliqué ces achats. Binance veut compenser les altcoins volés par des achats de gré à gré et sur les plateformes afin de boucler sa preuve de réserves, selon Cointelegraph et ChainCatcher, qui ajoute qu’elle a dit que le SAFU et les autres avoirs de Binance comprennent de gros montants en BTC et en ETH. Elle a promis un nouveau point une fois les achats terminés. Un porte-parole de Binance a dit à Cointelegraph, dans une entrée consignée à 12 h 41 UTC, que les 5 milliards de dollars de jetons équivalents sont détenus sous la garde de la plateforme (« held in the exchange’s custody »), mais il a refusé de donner les adresses des portefeuilles pour des raisons de sécurité et n’a pas dit quand ces actifs ont été acquis. Nous n’avons trouvé aucune vérification extérieure de cette réserve : CertiK a dit vendredi à Cointelegraph qu’il lui fallait davantage d’informations pour vérifier les 5 milliards de dollars.

ENA et RSR : ce que rapportent Lookonchain et Reserve, ce que nous n’avons pas pu confirmer

Lookonchain a compté 128,63 millions d’ENA, environ 24 millions de dollars, passés de portefeuilles étiquetés Ethena vers Binance en huit heures samedi, rapporte Bitcoin.com News à 09 h 30 UTC. Le même article cite des données d’Arkham : des lots d’environ 25,25 millions d’ENA ont quitté une adresse étiquetée « Ethena: Coinbase Prime Custody » et ont abouti à une adresse de dépôt Binance. Vers 12 h 00 UTC, Etherscan montrait cette adresse, signalée comme dépôt Binance, avec environ 128,63 millions d’ENA. Le solde est donc confirmé. Cela ne dit ni à qui appartenaient les jetons, ni pourquoi ils ont bougé.

L’analyste EmberCN, cité par Bitcoin.com News, évalue à 217,5 millions les ENA dérobés le 29 octobre : le transfert en représente donc environ 59 %. La comparaison porte sur des quantités, pas sur les mêmes pièces, car l’attaquant avait déjà vendu ses ENA pour environ 33,93 millions de dollars, selon le même article. Nous n’avons trouvé aucun commentaire de Binance ni d’Ethena, et nous ignorons s’il s’agit d’une vente, d’un prêt ou d’autre chose.

L’équipe de Reserve apporte un second cas. Elle affirme que Binance a confirmé qu’elle rachètera 3,38 milliards de RSR, soit le montant dérobé, environ 4,6 millions de dollars au cours de 0,00137 $ donné par Bitcoin.com News à 09 h 30 UTC. « In the case of RSR we believe Binance will acquire on the open market through a professional market maker » (elle s’attend à un achat sur le marché par un teneur de marché professionnel), écrit l’équipe, citée par ce média, qui en déduisait que l’opération serait bouclée d’ici le rapport sur les réserves de lundi. C’est la version de Reserve ; nous n’avons trouvé aucune déclaration de Binance à ce sujet.

CoinDesk écrit seulement samedi que Binance achetait les actifs restants sur les marchés et par des transactions négociées de gré à gré (« buying the remaining assets through markets and privately negotiated trades »), sans citer aucun des deux jetons. Ce qui suit est la lecture de Coindaro, pas celle de CoinDesk ni d’aucune autre source citée ici : de tels achats, si le transfert d’ENA en est bien un, reconstituent ce que Binance détient face aux soldes des clients. Ils ne récupèrent pas les pièces volées. La déclaration de samedi, telle que la rapportent CoinDesk et Cointelegraph, parle elle aussi de reconstitution (« replenished »).

La question de samedi matin est réglée : un instantané existe, comme l’expose la section sur la déclaration de Binance. Les comptes rendus de cette déclaration que nous avons lus parlent seulement de jetons moins liquides et ne nomment ni l’ENA ni le RSR. Bitcoin.com News ne signalait aucun instantané à 08 h 30 UTC.

Retraits suspendus : des 48 heures de Yi He aux 34 heures de Binance

L’essentiel des horaires de la nuit provient d’un seul média, FinanceFeeds, qui a compilé les messages de Binance sur X. Selon son récit, Binance a indiqué à 00 h 13 UTC, puis de nouveau à 02 h 25 UTC le 30 octobre, que dépôts et retraits étaient suspendus. À 04 h 17 UTC, la cofondatrice et co-directrice générale Yi He a publié un point de situation : « Nous prévoyons de commencer à rétablir les retraits dans les 48 prochaines heures. » Les dépôts, a-t-elle écrit, n’étaient pas touchés et fonctionnaient normalement. Décomptées à partir de son message, les 48 heures courent jusqu’à environ 04 h 17 UTC le dimanche 1er novembre.

Le compte principal de Binance a répété la fenêtre de 48 heures à 04 h 36 UTC, rapporte FinanceFeeds, en précisant que les retraits restaient en pause le temps que l’équipe termine une refonte de sécurité du service de retrait et des adresses associées, et que les dépôts fonctionnaient normalement. Personne chez Binance n’a expliqué pourquoi le statut des dépôts avait changé entre 02 h 25 et 04 h 17 UTC.

L’heure à laquelle les retraits se sont arrêtés pour la première fois est moins claire. FinanceFeeds situe l’arrêt à 22 h 15 UTC le 29 octobre, environ deux heures après les premiers transferts ; nous n’avons trouvé cet horaire nulle part ailleurs. Un fil en direct de The Defiant, repris par CryptoNews, fait dire à Binance à 18 h 33, heure de New York (22 h 33 UTC), que les retraits reprendraient une fois le problème de sécurité entièrement résolu, puis la suspension du trading sur Binance Alpha à 23 h 06 UTC.

La mise à jour suivante de Binance, citée par Decrypt, CryptoSlate et FinanceFeeds, indiquait que les retraits devaient reprendre d’ici 45 heures. L’heure exacte de ce message reste floue : FinanceFeeds l’avait à 08 h 59 UTC, et les entrées voisines du journal de Cointelegraph portent 07 h 37 et 08 h 37 UTC. Cela donnait une cible tôt le dimanche 1er novembre, entre 04 h 40 et 05 h 40 UTC environ. Le bas de cette fourchette coïncide presque avec la fenêtre de 48 heures répétée à 04 h 36 UTC : il peut donc s’agir de la même échéance, décomptée, plutôt que d’une nouvelle promesse ; Binance ne l’a pas précisé.

La déclaration de Richard Teng a ajouté un troisième décompte. Cointelegraph a consigné à 14 h 34 UTC un objectif d’ici 40 heures, TokenPost donne le dimanche 1er novembre, et CoinDesk précisait que les retraits resteraient suspendus le temps que Binance reconstruise et teste son infrastructure. PANews rapportait que le service ne rouvrirait pas avant d’avoir réussi des tests stricts. Dimanche était donc un objectif sous condition, pas une promesse.

Selon notre calcul, en supposant que la déclaration a été faite près de l’heure consignée, 40 heures à partir de 14 h 34 UTC mènent à environ 06 h 34 UTC dimanche, un peu plus de deux heures après la fin de la fenêtre de Yi He. Si cette hypothèse tient, les 48, 45 et 40 heures ressemblent à une même échéance décomptée, avec un léger glissement, plutôt qu’à trois promesses. Les comptes rendus que nous avons lus ne donnent pas l’heure de la vidéo. La mise à jour n° 2 de Binance a ensuite donné un quatrième décompte, 34 heures environ à partir de 19 h 33 UTC environ, soit vers 05 h 30 UTC dimanche selon CryptoNews. C’est une heure plus tôt que nos 06 h 34, et dans la fourchette du message des 45 heures : les décomptes visent toujours une même échéance tôt dimanche. Dimanche, dans sa mise à jour n° 4, Binance a remplacé ces décomptes par une fenêtre : de 6 h à 9 h UTC pour le début de la première phase. Vendredi, les retraits restaient suspendus lors de la publication de CoinDesk à 16 h 31 UTC, et la mise à jour, telle que rapportée, indique que les dépôts et les services non touchés restent ouverts.

Chronologie du piratage de Binance, heure par heure (UTC)

TRM Labs a publié la reconstitution la plus complète à 02 h 10 UTC le 30 octobre, avec des données on-chain jusqu’à 00 h 30 UTC. Le tableau ci-dessous la suit, complétée par CoinDesk, Decrypt, FinanceFeeds et, pour vendredi, Cointelegraph lorsque c’est indiqué.

TRM a aussi relevé de nouveaux balayages du portefeuille Ethereum vidé à 20 h 41, 20 h 59, 21 h 04, 21 h 44, 22 h 39 et 23 h 56 UTC. Le dernier est intervenu trois heures et demie après le premier : l’attaquant a donc gardé le contrôle de cette adresse bien avant dans la nuit.

Comment 6,3 milliards de dollars ont disparu en une vingtaine de minutes

C’est sur Ethereum que la méthode est visible. L’attaquant a utilisé EIP-7702, une fonction ajoutée avec la mise à jour Pectra, qui permet à un compte ordinaire de déléguer son comportement à un contrat intelligent. Selon Blockaid, cité par Cointelegraph, et selon TRM, l’attaquant avait préparé 50 autorisations signées, une pour chacun des 50 nonces consécutifs du portefeuille chaud Binance 14, et les avait regroupées dans une seule transaction à 20 h 20 UTC. Une seule devait correspondre au nonce courant du portefeuille. L’une d’elles correspondait.

Le portefeuille a alors été délégué à un contrat « sweeper » non vérifié que seule l’adresse opérateur de l’attaquant pouvait déclencher, a indiqué Blockaid. Il a vidé le portefeuille de ses ETH et de dizaines de jetons en quelques minutes. Ce contrat avait été déployé quelques heures plus tôt par une adresse financée via Tornado Cash, d’après l’analyse de Blockaid rapportée par Cryptoast.

Les neuf autres blockchains n’ont rien exigé de tel. Sur bitcoin, Tron, Solana, le XRP Ledger et les autres, les fonds sont partis par de simples transferts valablement signés, selon TRM. CoinDesk a constaté que chacune des 11 transactions bitcoin ressemblait à un retrait ordinaire de Binance, signé par des adresses contrôlées par Binance ; dans l’une d’elles, la monnaie rendue revenait même à Binance. Un portefeuille chaud est conçu pour signer rapidement des retraits, et c’est ce que ces portefeuilles ont fait.

C’est ici que les deux récits divergent. Une délégation EIP-7702 doit être signée par la clé propre du portefeuille chaud, et un transfert bitcoin ou Tron aussi. Si aucune clé privée n’a fuité, comme l’a affirmé Binance vendredi avant de le répéter le soir, quelqu’un ou quelque chose a tout de même produit ces signatures sur dix réseaux. La réponse de TRM : l’attaquant a très probablement obtenu la capacité de faire signer des transactions, sur plusieurs blockchains, au système de signature des portefeuilles chauds de Binance. Le lot de 50 autorisations pré-signées suggère, selon les mots de TRM, que l’accès a pu être limité dans le temps, ou que les signatures devaient être demandées via un système.

Ido Ben-Natan, cofondateur et directeur général de Blockaid, l’a décrit à Cointelegraph comme un détournement de clé plutôt qu’un vol, « une compromission de l’infrastructure de signature ». « Nous ne pensons pas qu’une clé ait fuité », a-t-il dit, ajoutant que plus d’un appareil avait pu être compromis. Cette lecture est compatible avec la première déclaration de Binance, mais elle va au-delà. Binance n’a toujours pas dit qui ou quoi signe ses retraits, ni comment un ordinateur portable a pu atteindre ce système.

Montants par blockchain et par actif, selon TRM

TRM valorise chaque transfert au prix du moment où il a eu lieu. Sur cette base, le total est d’environ 6,36 milliards de dollars ; aux cours de la matinée du 30 octobre, il est d’environ 6,23 milliards de dollars, parce que les cryptos ont reculé pendant la nuit.

CoinDesk valorise les mêmes 18 270 BTC à environ 1,4 milliard de dollars aux cours de vendredi matin, contre 1,47 milliard de dollars pour TRM : l’écart correspond à l’évolution des prix entre le vol et le matin. CoinDesk estime également qu’environ 204 500 ETH ont été dérobés à Binance, soit environ 5,6 % de ses réserves d’ETH.

Qui donne quel chiffre

Dans une affaire de cette taille, les chiffres bougent d’heure en heure, et plusieurs médias ont compté à des moments différents. Aucun des écarts ci-dessous ne porte sur les faits : la plupart tiennent au moment du décompte ou à ce qui a été inclus.

Ripple est le seul écart qui compte. Yi He a remercié Ripple, selon Decrypt, d’avoir « rapidement gelé environ 200 millions », et Reuters rapporte que Ripple a gelé environ 200 millions de dollars. TRM, qui écrit que Yi He a crédité Ripple d’avoir empêché environ 200 millions de bouger, ne confirme que 40,5 millions de RLUSD gelés on-chain : d’après son décompte, l’attaquant a pris 88,5 millions de RLUSD au total et en a vendu environ 48 millions via des plateformes d’échange avant le gel de 22 h 01. Ni Ripple ni Binance n’ont publié de ventilation qui réconcilie les deux chiffres.

Gelé ne veut pas dire récupéré : Tether, Circle et le bitcoin que personne ne peut geler

Les émetteurs de stablecoins ont réagi vite. Tether a gelé 971,1 millions d’USDT à 21 h 01 UTC, Circle 823 millions d’USDC à 21 h 04, tous deux dans l’heure suivant les premiers transferts. Le gel de Tether s’est ensuite étendu à Ethereum, Tron, Avalanche et Polygon. Ripple et World Liberty Financial ont suivi plus tard dans la soirée, et l’Arbitrum Security Council a utilisé ses pouvoirs d’urgence juste après minuit. Decrypt rapporte qu’Aave a gelé ses marchés V3 sur le réseau principal d’Ethereum et que Kamino a mis en pause l’emprunt de SOL et de BTC ; Decrypt n’a trouvé aucune faille dans Uniswap ni dans Aave, que l’attaquant a utilisés comme voies de sortie. Cointelegraph a consigné à 13 h 57 UTC qu’Aave annonçait la reprise des nouveaux dépôts et emprunts sur tous ses marchés V3 et V4, peu après le dégel par étapes présenté par LlamaRisk sur le forum d’Aave à 13 h 49 UTC. Lors de notre propre vérification on-chain à 17 h 56 UTC, les huit grandes réserves V3 que nous avons lues sur Ethereum n’étaient plus gelées, l’USDC et l’USDT restant à un LTV nul ; nous n’avons vérifié ni la V4 ni les autres réseaux. First Digital dit que les FDUSD volés ont eux aussi été gelés, rapporte Bitcoin Magazine, sans donner de montant.

Tether avait déjà montré sa liste noire la veille, en gelant 32 adresses Tron détenant environ 27 millions de dollars sans en donner la raison, comme nous l’avons rapporté dans notre article sur le gel Tron de Tether. Des jetons gelés ne sont toutefois pas des jetons rendus. Bitcoin.com News l’a dit simplement : les fonds sont restreints, pas récupérés. Pour qu’ils reviennent à Binance, chaque émetteur doit prendre une décision, et aucun n’en a annoncé.

L’attaquant a aussi mis une partie des dollars hors de portée avant que le gel n’intervienne. TRM indique qu’environ 325 millions d’USDT ont été vendus à des teneurs de marché et à des solveurs pour environ 122 300 ETH, avec une décote de plus de 10 %, et qu’un second portefeuille a fourni 60 millions d’USDT à Aave et emprunté environ 19 760 ETH en contrepartie. Decrypt rapporte 36 millions de RLUSD échangés contre 15 439 ETH.

Reste le bitcoin, qui n’a ni émetteur ni bouton de gel. Selon CoinDesk, les 18 270 BTC sont partis en 11 transactions, toutes dans le bloc 973 732, vers une seule adresse, puis ont été répartis en quelques minutes entre 19 portefeuilles : 17 de exactement 1 000 BTC, un de 832,5 BTC et un de 437,7 BTC. À 04 h 23 UTC vendredi, aucun n’avait bougé ; ils ne recevaient que de la poussière valant un ou deux dollars. CoinDesk rappelle qu’après le vol de 1,5 milliard de dollars subi par Bybit en février 2025, les attaquants avaient mis environ dix jours à convertir l’ether volé en bitcoin. L’attribution de ce vol à TraderTraitor par le FBI était arrivée cinq jours après les faits ; pour Binance, il lui en a fallu environ deux.

Decrypt a compté environ 253 000 ETH, soit environ 570 millions de dollars, immobiles dans deux portefeuilles à 22 h 07 UTC le 29 octobre. Le chiffre de TRM pour tout ce qui reste aux mains de l’attaquant, sur des données arrêtées à 00 h 30 UTC vendredi, est d’environ 2,4 milliards de dollars, ce qui dépasse à lui seul l’intégralité du vol de Bybit de février 2025 ; l’estimation ultérieure d’Elliptic est plus élevée.

Où est passé l’argent vendredi : Chainalysis, les ventes d’altcoins et les rares interrupteurs

Le billet de Chainalysis, publié le 30 octobre, chiffre les transferts à environ 6,4 milliards de dollars. Il situe les premières sorties vers 16 h 20, heure de l’Est américain, le 29 octobre (20 h 20 UTC) et les premiers gels à 17 h 14 (21 h 14 UTC). Ces deux horaires sont plus tardifs que le journal de TRM, qui place les premiers transferts XRP à 20 h 05 UTC et le gel de Tether à 21 h 01 UTC, et aucune des deux sociétés n’explique l’écart. L’attaquant a d’abord déplacé 500 millions de dollars de stablecoins, en a échangé 325 millions contre 285 millions de dollars d’ETH en près de 20 minutes, puis a envoyé les 175 millions restants vers des portefeuilles relais. Beaucoup d’adresses de blanchiment reçoivent d’abord exactement 1 TRX, puis d’autres fonds, qu’elles transfèrent ensuite : Chainalysis y voit un procédé programmé.

Son total gelé est d’environ 2,8 milliards de dollars, contre environ 3 milliards pour Binance et plus de 2,83 milliards pour ZachXBT, selon Journal du Coin. Personne n’a réconcilié ces trois chiffres. « L’enquête se poursuit et nous nous attendons à ce que les fonds volés continuent de bouger dans les prochains jours », écrit Chainalysis.

Le bitcoin et l’ether, l’attaquant les garde. Bitquery, cité par Cointelegraph, a retrouvé 18 270 BTC sur 19 adresses, soit 199 BTC de plus que les 18 071 BTC déclarés par Coinbase pour son propre compte au 30 septembre, hors cryptos des clients. C’est une comparaison de trésoreries, rien de plus. CoinDesk en a proposé une autre samedi : le butin dépasse les 11 509 BTC de Tesla, pèse environ 2,3 fois les quelque 7 820 BTC du Salvador et reste 442 BTC sous les 18 712 BTC de SpaceX, les chiffres de Tesla et de SpaceX datant du 30 septembre. Bitquery a aussi retrouvé 508 621 ETH, contre 200 630 ETH pris au départ, parce que des stablecoins et des jetons volés ont été convertis en ether. Le décompte antérieur de TRM dépassait 420 000 ETH ; les deux ont été faits à des heures différentes et nous ne pouvons pas les réconcilier. Cointelegraph écrit neuf blockchains quand TRM en compte dix et Elliptic 11, dont NEAR ; nous gardons la liste détaillée de TRM.

Les altcoins, eux, partent. Lookonchain, cité par Bitcoin.com News à 10 h 30 UTC, a compté environ 158 millions de dollars d’altcoins échangés contre 70 480 ETH, surtout de l’UNI (39,63 millions de dollars), de l’ENA (33,93 millions), du PEPE (31,66 millions), du LINK (26,05 millions) et de l’AAVE (14,27 millions). Selon un analyste, 7 018 792 UNI sont partis en 51 minutes, le dernier échange à un prix inférieur de 21 % au premier. Les ENA, UNI, PEPE et AAVE volés représenteraient 7 % à 15 % des avoirs déclarés par Binance dans chacun de ces jetons : c’est ce type de trou que ses achats doivent combler. Samedi, Lookonchain a compté 128,63 millions d’ENA allant en sens inverse, vers une adresse de dépôt Binance ; la section sur l’ENA et le RSR en donne le détail et les limites.

FUN montre le peu que rapporte un marché étroit. Selon CoinDesk, le portefeuille de l’attaquant a vendu 134,1 millions de FUN pour 111,5 ETH, soit environ 250 000 $, entre 23 h 31 UTC environ jeudi et 04 h 17 UTC vendredi, dans un pool Uniswap d’environ 16 000 $. CoinDesk donne une chute de plus de 90 % dans ce pool, un titre de The Defiant parle de 95 %, et CoinGecko affichait 68 % tous marchés confondus sur 24 heures : ce ne sont pas les mêmes mesures. Le portefeuille détient encore 580,8 millions de FUN, et FUNToken a demandé aux plateformes centralisées de désactiver temporairement les dépôts.

Une partie de l’argent a transité par THORChain. ZachXBT a indiqué que des fonds des piratages de Binance et de Bitget y sont passés avant d’être réunis sur une même adresse Ethereum, rapporte Cointelegraph. Cela concorde avec le mélange décrit par Chainalysis, même si son billet ne nomme pas THORChain, et vendredi nous n’avions trouvé ni déclaration de THORChain ni chiffre de volume ; Elliptic a depuis compté environ 31 millions de dollars et SomaXBT, autre traqueur avec une autre date d’arrêt, environ 44 millions, comme détaillé plus bas. Après le piratage de Bitget, le protocole avait dit n’avoir aucun moyen de bloquer des échanges individuels. Le RUNE a gagné plus de 13 % vendredi, à 0,67 $, d’après la lecture de TradingView par Cointelegraph ; l’instantané de Coindaro à 11 h 40 UTC montrait 8,04 % sur 24 heures, une autre fenêtre.

Deux gels sont venus de la gouvernance, pas d’un émetteur de stablecoins. Dans son propre message, l’Arbitrum Security Council donne 8 425 ETH et 74 559 805,2 ARB, soit un ETH de moins que le décompte de TRM. À 00 h 08 UTC, il a brièvement mis à niveau le contrat Inbox sur Ethereum pour y ajouter une fonction capable d’usurper l’adresse de l’attaquant, a envoyé deux transactions inter-chaînes déplaçant les fonds vers une adresse de blocage, puis a rétabli le contrat d’origine. Aucun autre utilisateur ni application n’a été touché, précise-t-il. Seul un vote de l’ArbitrumDAO peut désormais déplacer cet argent, et nous n’en avons trouvé aucun au calendrier. Journal du Coin note que le Council a besoin de neuf de ses douze membres pour une telle action.

Synthetix a indiqué sur X, selon PANews, que son protocolDAO a récupéré environ 8,4 millions de SNX, soit environ 1,5 million de dollars, les conserve dans un multisig Safe et les rendra à la demande de Binance. Nous n’avons pas pu ouvrir ce message, et la manière dont les jetons ont été récupérés ne ressort pas de ce que nous avons lu. Nous n’avons trouvé aucun chiffre nouveau de Ripple ni de World Liberty Financial à 17 h 45 UTC environ.

Le décompte d’Elliptic : environ 3,24 milliards de dollars encore sur des adresses liées lundi

Le récit du vol par Elliptic, actualisé à 23 h 55 UTC le 31 octobre, est le traçage public le plus complet que nous ayons lu depuis celui de TRM. À cette date, la société estimait que l’attaquant contrôlait environ 3,21 milliards de dollars d’actifs qu’aucun émetteur ne peut geler, répartis sur des dizaines d’adresses, dont 519 104 ETH (environ 1,16 milliard de dollars), 18 270 BTC (environ 1,41 milliard), 233 millions de XRP et environ 475 millions de TRX. Son décompte de vendredi était d’environ 3,23 milliards, avec environ 575 millions de TRX. Les XRP, SOL et NEAR, qui valent environ 437 millions de dollars, n’avaient pas bougé à cette date ; ils l’ont fait depuis. Sa page de lundi, actualisée à 7 h 30 UTC, situe à environ 3,24 milliards de dollars ce qui reste sur des adresses liées au vol, surtout en ETH et en BTC, et nous n’y avons pas trouvé de nouveaux totaux en ETH ou en TRX. Ces deux chiffres dépassent les 2,4 milliards de TRM, fondés sur des données arrêtées à 00 h 30 UTC. Cointelegraph Magazine citait plus tôt environ 3,33 milliards d’après Elliptic : le chiffre bouge avec les prix et les décomptes.

Elliptic a vérifié 2,85 milliards de dollars gelés ou saisis, soit 44 % du vol, dont 94 % de stablecoins, presque entièrement sur Ethereum et Tron. Un graphique de la page date ses données de gels d’environ 4 h 30 UTC le 31 octobre. Le chiffre de Binance reste d’environ 3 milliards. La liste de blocage d’Elliptic dépasse désormais 1 000 adresses.

Les stablecoins ont été le point faible de l’attaquant. Ils représentaient 3,46 milliards de dollars du butin, et seuls 786 millions environ ont été convertis en ETH et en TRX avant les gels. Sur Ethereum, 434 millions d’USDT sont devenus 160 451 ETH via Uniswap, 1inch et les systèmes de demande de prix des teneurs de marché, à un cours de 12 % à 26 % moins bon que le marché : la vitesse a compté plus que le prix, suggère Elliptic. Ce décompte est plus large que celui de TRM (325 millions d’USDT pour environ 122 300 ETH). Sur Tron, 234 millions d’USDT ont été échangés contre 638 millions de TRX sur SunSwap.

Ce sont ces TRX qui bougeaient vendredi. Le matin du 30 octobre, ils ont été répartis sur cinq nouvelles adresses. Quatre n’avaient pas bougé. La cinquième envoyait de petits montants via des échanges et des ponts, surtout vers l’ETH, et le rythme a plus que doublé ce soir-là ; selon le décompte de cette page d’Elliptic, entre 38 et 67 millions de dollars avaient quitté les adresses qu’elle suit. Le décompte d’Elliptic de lundi, détaillé plus bas, est bien plus élevé. Decrypt, citant Arkham, a vu un portefeuille Tron envoyer environ 5,19 millions de TRX, soit environ 1,73 million de dollars, vers 12 adresses vendredi.

Les ventes d’altcoins sont venues par vagues. Environ 150 autres jetons ont été vendus contre de l’ETH sur des plateformes décentralisées jusque vers 06 h 36 UTC le 30 octobre, selon Elliptic. Entre 11 h 38 et 12 h 29 UTC le même jour, tous les AVAX volés ont été vendus contre de l’USDC, transférés vers Ethereum par le CCTP de Circle et échangés contre 7 242,8 ETH. Les 18 270 BTC n’avaient atteint aucun service à la date de la page, et la page d’Elliptic de lundi dit qu’ils n’ont pas bougé depuis le 29 octobre.

Une position restait ouverte lors de l’actualisation d’Elliptic. Le prêt Aave du second portefeuille, 19 762 ETH contre 59,9 millions d’USDT, est décrit ainsi par Elliptic : « The loan is still open and close to the point of liquidation » (le prêt est toujours ouvert et proche de la liquidation). Cointelegraph Magazine donne les chiffres de LlamaRisk, environ 59,9 millions de dollars de garantie pour environ 43,8 millions de dette, et rapporte qu’Aave juge la position surcollatéralisée et sans risque pour les déposants. Marc Zeller, de l’Aave Chan Initiative, l’a qualifiée de « criminal but overcollateralized in the eyes of the protocol ».

Pour la suite, Elliptic s’attend au schéma de Bybit : dispersion sur de nombreux portefeuilles, ponts, mixeurs et services d’échange, puis tentatives d’encaissement via des courtiers de gré à gré et des plateformes. Jonathan Levin, de Chainalysis, a dit vendredi à CNBC ne pas voir encore de trace de mixeurs. Plus les fonds s’éloignent, moins il y a d’occasions de saisie, a-t-il ajouté. C’était vendredi : Elliptic a depuis relevé les premiers coinjoins, comme le montre la section suivante. CNBC note que les pirates recourent de plus en plus à des réseaux chinois de blanchiment, qui rachètent les cryptos volées de gré à gré contre une forte commission, et Ari Redbord, de TRM Labs, parle d’un « continued cat and mouse game ».

Premier mixage de bitcoins : coinjoins, XRP et SOL en mouvement, 242 millions via Tron et gel annoncé par Gate

La nouvelle page d’Elliptic, datée du lundi 2 novembre, actualisée à 7 h 30 UTC et arrêtée à 8 h 45 UTC pour les données on-chain, signale le premier mixage des fonds volés. Des bitcoins issus de l’argent passé par Tron sont entrés dans des coinjoins à partir de 5 h 55 UTC dimanche, avec WabiSabi, le protocole de Wasabi Wallet et de portefeuilles similaires. À 6 h 02 UTC lundi, environ 28 BTC, soit quelque 2,2 millions de dollars, étaient passés par 18 coinjoins de 101 à 491 entrées chacun. C’est peu face aux 18 270 BTC des 19 portefeuilles, qui n’ont pas bougé depuis le 29 octobre selon Elliptic : ces pièces viennent de l’argent de Tron, pas de ces portefeuilles. Elliptic reste pour l’instant la seule source primaire sur ce point.

Les jetons immobiles la semaine dernière se déplacent. Les NEAR sont partis vers de nouveaux comptes à partir de 7 h UTC dimanche et n’ont plus bougé depuis. Environ la moitié des SOL est passée sur une nouvelle adresse à partir de 9 h 38 UTC dimanche, et lundi une partie a été échangée contre de l’USDC, puis reconvertie, et a transité par un coffre de prêt. Les 233 millions de XRP sont tous partis vers six nouvelles adresses entre 2 h 12 et 4 h UTC lundi, selon Elliptic. Bitcoin.com News décrit cinq portefeuilles d’environ 40 millions de XRP et un de 33,46 millions, soit environ 293 millions de dollars à quelque 1,26 dollar dans son article de 7 h 30 UTC, dont aucun n’avait renvoyé de fonds à 4 h 37 UTC.

Elliptic compte environ 12 000 portefeuilles sur 11 blockchains et plus de 40 000 transactions en moins de quatre jours, ainsi qu’environ 16 millions de dollars envoyés à des adresses qui détiennent aussi le butin du piratage de Bitget de septembre. Le blanchiment est clairement automatisé, écrit la société, mais rien de ce qu’elle a vu ne montre un agent d’IA prenant des décisions.

Tron a désormais deux décomptes, à lire côte à côte. Selon Elliptic, un portefeuille a envoyé 684,6 millions de TRX vers des centaines de nouvelles adresses, environ 7 700 au final, entre 2 h 19 UTC le 30 octobre et 5 h 33 UTC le 1er novembre, et au moins 147 millions de dollars ont quitté Tron par des ponts, presque tout versé en ETH. The Block a rapporté dimanche un chiffre plus élevé de SomaXBT, analyste on-chain : environ 242 millions blanchis en deux jours, dont environ 194 millions sortis de Tron par des ponts et des services d’échange, environ 26 millions restés sur Tron et environ 22 millions perdus en frais, glissement et variations de prix. Les définitions et les dates d’arrêt diffèrent, et le chiffre d’Elliptic est un minimum. Les 242 millions sont une estimation de SomaXBT, pas de The Block : le média a seulement retrouvé sur Etherscan les chiffres de SomaXBT pour une adresse liée à Relay. Bitcoin.com News attribue la même somme à des analystes non nommés et renvoie à une publication de WuBlockchain.

Les voies nommées par SomaXBT sont Relay (48 millions), THORChain (44 millions), Chainflip (32,1 millions) et Symbiosis (16 millions), soit environ 140 millions, plus 41,7 millions passés par Bitget Wallet, destination inconnue : le détail n’atteint donc pas 194 millions. Rien de cela n’est un encaissement : selon Elliptic, seul un montant négligeable a probablement été converti en liquide à ce stade. Symbiosis a reconnu des failles dans son filtrage, qu’elle dit combler au fur et à mesure, rapporte The Block. Relay dit filtrer les adresses avec des données de risque de tiers et une liste de blocage interne. Chad Barraford, de THORChain, a déclaré que les opérateurs de nœuds n’ont aucune information non publique, sans dire s’ils bloqueront les adresses de la liste du FBI, qui compte 608 adresses Ethereum, 19 Bitcoin, une Solana et aucune sur Tron.

Gate dit avoir réagi. Lookonchain a signalé que le pirate avait déposé 250 000 dollars chez Gate en 12 heures, écrivait Bitcoin.com News à 7 h 30 UTC, en ajoutant que Gate n’avait pas réagi. Gate avait pourtant publié sur X tôt lundi, vers 3 h 33 UTC d’après notre lecture de l’identifiant de la publication. La plateforme dit avoir identifié et gelé deux comptes liés à l’attaquant, que ces informations sont entrées en procédure de vérification et qu’elle coopérera avec les forces de l’ordre et les enquêtes à venir, selon ChainCatcher et PANews. Gate n’a dit ni qui détient ces comptes, ni combien a été gelé, et n’a pas relié ce gel aux 250 000 dollars ; la page d’Elliptic ne mentionne pas Gate.

Blanchiment en pilote automatique : Elliptic chronomètre le portefeuille Tron, et une vente de PROM rapporte 71 dollars

Une deuxième page d’Elliptic, datée du 31 octobre et intitulée « The Binance hack is laundering on autopilot » (le blanchiment en pilote automatique), décrit comment circule l’argent sur Tron. À 8 h 11 UTC ce jour-là, le principal portefeuille de distribution envoyait des fonds toutes les heures depuis 31 heures, avec une pause de 46 minutes au plus et aucune coupure la nuit. « The timing looks programmed » (le rythme semble programmé), écrit Elliptic : les transferts ne sont presque jamais espacés de moins de 30 secondes environ, et les quelque 200 portefeuilles destinataires repassent le plus souvent les fonds en deux minutes environ. Un même montant d’échange vers THORChain revient 19 fois. Quand un pont a refusé des dépôts, les fonds sont repartis depuis de nouveaux portefeuilles.

Dans sa mise à jour en direct de 22 h 41 UTC le 31 octobre, Elliptic comptait environ 196 millions de dollars envoyés de ce portefeuille vers environ 200 autres, réalimenté par tranches d’environ 40 millions, à un rythme de 7 à 11 millions par heure la nuit. Elle retrace 31 millions vers THORChain, 5,3 millions vers SunSwap, 1,8 million vers Bitget Swap et 0,4 million vers USDT0. La somme de THORChain est la même qu’à 8 h 11 UTC, quand la page décrivait une centaine d’échanges toutes les deux heures, et Elliptic n’explique pas pourquoi. Elliptic ne relie pas ces chiffres aux 38 à 67 millions de sa page principale.

L’histoire du PROM repose sur une seule source. Lookonchain relie au pirate un portefeuille qui a vendu 908 793 PROM, d’une valeur affichée d’environ 5 millions de dollars, sur un pool Uniswap V2 presque vide pour 0,0316 ETH, soit environ 71 dollars, a rapporté Cryptonomist dimanche. L’article ne donne ni adresse ni hash de transaction, nous n’avons pas trouvé le message d’origine de Lookonchain et nous n’avons pas pu vérifier la vente on-chain : le lien avec le pirate n’engage que Lookonchain. Telle que décrite, cette valeur de 5 millions était une simple cotation que le pool n’aurait jamais pu payer.

Le prix des échanges précipités : l’estimation de 119 millions de dollars de Bitquery, et une route vers Solana

CryptoSlate a rapporté dimanche, en citant une enquête de Bitquery datée du 30 octobre, que les attaquants ont perdu environ 119 millions de dollars en échangeant les cryptos volées à de mauvais prix entre 20 h 30 UTC le 29 octobre et 1 h UTC le 30 octobre. Il s’agit d’une estimation d’impact sur les prix par rapport au marché, pas d’argent retranché du total volé, et nous ne l’avons pas vérifiée. Nous n’avons pas trouvé le rapport de Bitquery lui-même.

Selon le détail de CryptoSlate, environ 71,5 millions de dollars ont été payés en trop pour de l’ETH sur Ethereum, environ 22,4 millions en trop pour changer de l’USDT en TRX sur Tron, et environ 24,8 millions ont été perdus en vendant de l’UNI, du PEPE et de l’ENA sous le marché. Les achats ont porté le principal pool WETH/USDT d’Uniswap jusqu’à 38 % au-dessus du marché, écrit le site. Les sociétés de trading et les bots ont gardé environ 60 millions de dollars après frais, et environ 29,5 millions sont allés aux constructeurs de blocs et aux validateurs d’Ethereum. La ligne Tron ressemble à l’échange qu’Elliptic décrit, 234 millions d’USDT contre 638 millions de TRX ; ce rapprochement est le nôtre.

Le second fil est plus mince. The Defiant titre que les blanchisseurs « Reach Solana After Draining $500 Million on Tron » (atteignent Solana après avoir vidé 500 millions de dollars sur Tron), en citant Chainalysis. Seuls le titre et le chapô se sont chargés chez nous ; le chapô indique que l’opération sur Tron « spanned more than 1,000 addresses and over 3,000 deposits » (plus de 1 000 adresses et plus de 3 000 dépôts) avant la dispersion des fonds sur plusieurs blockchains. Nous n’avons donc ni montant, ni heure, ni adresse pour Solana, et le billet de Chainalysis, tel que nous l’avons lu, ne mentionne rien de cela.

Ces 500 millions ne sont pas les 500 millions de dollars de stablecoins que le billet de Chainalysis décrit sur Ethereum. Ils dépassent aussi largement les quelque 196 millions qu’Elliptic a suivis depuis le principal portefeuille Tron à 22 h 41 UTC samedi, et personne n’a rapproché les deux chiffres. Le texte visible de The Defiant ne dit pas si les 970 500 SOL volés sont concernés ; Elliptic indiquait samedi qu’ils n’avaient pas bougé, et lundi qu’environ la moitié l’avait fait, à partir de 9 h 38 UTC dimanche.

L’explication de Binance et la lecture de TRM, côte à côte

Les deux versions sont attribuées, et aucune n’est prouvée. Binance a d’abord dit que l’incident « pourrait impliquer » un ordinateur portable compromis, un conteneur de service et des retraits non autorisés, sans preuve de fuite de clé. C’était une conclusion préliminaire, formulée comme une possibilité, et Richard Teng dit désormais que les enquêteurs ont trouvé des points d’intrusion au-delà de l’ordinateur portable, que l’attaquant a effacé ses traces et que la délégation EIP-7702 a échappé aux contrôles d’approbation habituels. Il n’a pas donné la séquence complète.

TRM affirme que Binance « n’a pas encore publié de cause racine ». Elle note que les premiers indices pointaient vers des autorisations obtenues par hameçonnage sur Ethereum, mais que cela n’explique pas les autres blockchains. Son évaluation propre est que l’attaquant pouvait diriger le système de signature des portefeuilles chauds de Binance sur plusieurs blockchains. Les deux sont compatibles si le conteneur atteint par l’ordinateur portable pouvait demander des signatures. Binance n’a pas dit si c’était le cas, et la phrase de Richard Teng sur les contrôles d’approbation ne tranche pas : une délégation qui y échappe exige quand même une signature valide. Les chercheurs extérieurs ne sont pas d’accord non plus : Bitcoin.com News rapporte que certains évoquent une possible compromission d’une clé de signature « Binance 16 », tandis que le chercheur 0xQuit juge probable que l’attaquant n’avait pas les clés privées.

Le calendrier compte aussi. Le journal des balayages de TRM, qui court jusqu’à 23 h 56 UTC, montre que l’adresse Ethereum vidée est restée sous le contrôle de l’attaquant des heures après les premiers transferts, et une deuxième vague a touché les portefeuilles Avalanche et Polygon à 23 h 05 UTC, trois heures après la première.

Corée du Nord : le FBI désigne TraderTraitor, après TRM et Chainalysis ; Binance ne nomme personne

Le FBI a déclaré sur X à 22 h 36 UTC le samedi 31 octobre, rapporte securities.io, que la Corée du Nord était responsable du vol de plus de 6 milliards de dollars chez Binance, et il nomme cette activité TraderTraitor. Avec l’US Secret Service et l’IRS Criminal Investigation, il presse les acteurs privés, dont les opérateurs de nœuds THORNode et RPC, de bloquer les transactions liées aux adresses utilisées pour blanchir ces fonds (« block transactions with or derived from addresses TraderTraitor actors are using to launder these stolen assets »), selon CoinDesk, qui compte sur la liste plus de 600 adresses Ethereum, un peu moins de 20 adresses Bitcoin et une adresse Solana. Le FBI s’attend à un blanchiment supplémentaire (« further laundering »), rapporte Reuters. La page du FBI a refusé notre connexion : tout cela vient de ces médias.

TRM attribue l’attaque « avec un haut niveau de confiance » à TraderTraitor, qu’elle présente comme la première unité de piratage nord-coréenne, en s’appuyant sur des renseignements on-chain et hors chaîne. Elle relève le même schéma que dans les piratages de Bybit et de KelpDAO (avril 2026) : un portefeuille opérateur financé via Tornado Cash, une préparation très en amont, des signatures collectées à l’avance et déclenchées en une seule rafale. TRM précise que le FBI a désigné le même groupe pour le piratage de Bybit en février 2025, et que le blanchiment repose cette fois davantage sur de gros échanges et des prêts que sur des ponts.

Binance n’a pas nommé l’attaquant, et Richard Teng a écrit que l’enquête n’avait attribué la responsabilité à aucune personne. C’était vendredi, et les deux mises à jour suivantes de Binance ne nomment personne non plus. Avant la déclaration de samedi, le FBI avait seulement dit à Reuters être informé de l’incident. Le président Donald Trump, interrogé vendredi sur une éventuelle implication de pirates nord-coréens, a répondu qu’il ne savait pas ; samedi, il a dit « we’re learning about it » (nous nous informons) et que son administration en parlerait à la Corée du Nord, rapporte CoinDesk. Le directeur général de Blockaid dit que l’opération ressemble à d’autres liées à la Corée du Nord, mais que l’attribution n’est pas confirmée. Chainalysis est depuis arrivée à la même conclusion : ses enquêteurs y voient le travail du groupe nord-coréen TraderTraitor, en s’appuyant sur le comportement on-chain et sur le mélange des fonds volés avec ceux du piratage de Bitget le mois dernier. Le cofondateur de Chainalysis, Jonathan Levin, juge le groupe probablement responsable, rapporte Cointelegraph. ZachXBT a relié l’attaque au même piratage de Bitget : « Cela indique que le même acteur est probablement derrière les deux incidents. » Jusqu’à samedi, c’étaient les évaluations de sociétés privées et d’un enquêteur indépendant ; la déclaration du FBI est la première attribution gouvernementale que nous ayons lue. Reuters ajoute que la Corée du Nord nie utiliser des unités cyber d’État pour voler des fonds, et que sa mission à Genève et son ambassade en Chine n’ont pas répondu aux demandes de commentaire. Le Trésor américain a sanctionné un réseau de travailleurs informatiques nord-coréens deux jours plus tôt, comme nous l’avons raconté dans notre compte rendu de l’action de l’OFAC ; rien ne relie pour l’instant ce réseau à ce vol.

Elliptic s’était montrée plus prudente que TRM ou Chainalysis jusqu’à ce que le FBI s’exprime. Sa page, actualisée samedi à 23 h 55 UTC, enregistre l’attribution et précise qu’elle tenait TraderTraitor pour l’auteur probable. Elle cite la coordination d’une attaque sur 11 blockchains en trois heures environ, des services communs avec ceux qui ont blanchi trois vols antérieurs de TraderTraitor, et des méthodes proches de celles du vol de Bybit. Chainalysis s’attend à ce que le blanchiment s’étende : déjà des milliers d’adresses (« thousands of addresses »), et des dizaines de milliers (« tens of thousands ») dans les semaines à venir, a-t-elle dit à CoinDesk, bien au-delà de la liste publiée par le FBI.

Binance peut-elle combler le trou ? Ce que montrent ses réserves

Binance a désormais donné un chiffre. Sa réserve de plus de 6,34 milliards de dollars équivaut à peu près à sa propre estimation des dégâts, 6,3 milliards, et elle ne compte pas les quelque 3 milliards gelés. Cela remplace le calcul du matin, où FinanceFeeds retirait les fonds gelés du total et laissait environ 3,3 milliards de dollars à couvrir. CoinDesk indiquait vendredi que le SAFU détenait environ 1 milliard de dollars en bitcoin ; la moitié des 15 000 BTC de l’adresse donnée pour le fonds l’a quittée samedi. Binance a depuis nommé le SAFU, la trésorerie et le fonds d’assurance des contrats à terme comme sources, sans le montant de chacune, et n’a pas dit ce que deviendront les jetons gelés s’ils reviennent.

La lecture par CoinDesk des données de réserves de Binance soulève une seconde question. Le portefeuille Binance 14 figure dans la preuve de réserves du 1er octobre. À cette date, Binance détenait exactement assez d’ETH pour couvrir les soldes des clients (100 %) et 108,26 % en USDC. Si les ETH volés ne sont pas récupérés, CoinDesk estime que la couverture en ETH tomberait à près de 94 %, et que l’USDC et certains altcoins pourraient passer sous 100 %. C’est le calcul de CoinDesk, pas celui de Binance ; Binance n’a pas répondu immédiatement à CoinDesk. Selon Binance, les achats de jetons doivent combler cet écart. Son instantané du 31 octobre montre au moins 100 % pour l’ETH, l’USDC et huit autres actifs, rapporte CoinDesk ; ce sont les chiffres de Binance, et nous n’avons trouvé aucune comparaison de CoinDesk avec son estimation de vendredi.

La déclaration de Richard Teng dans sa vidéo porte sur le même point. Il a dit que l’attaque visait le portefeuille chaud de Binance elle-même et non les fonds des clients, selon CoinDesk, et TokenPost lui fait dire que l’essentiel des fonds des clients dort dans des portefeuilles froids et ne passe sur des portefeuilles chauds que lors des demandes de retrait. CoinDesk, de son côté, a trouvé Binance 14 dans la preuve de réserves du 1er octobre, parmi les actifs adossés aux soldes des clients. Nous n’avons trouvé aucune réponse de Binance à cette lecture et ne tranchons pas entre les deux ; la preuve complète, que Binance estime prête d’ici le mardi 3 novembre, doit en dire davantage.

Une autre version du financement est venue des dirigeants de Binance sur X, lors d’un échange avec Elon Musk que nous n’avons trouvé que chez Decrypt. Elon Musk a répondu par un emoji grimaçant à un message estimant la perte de Binance à environ 1 milliard de dollars, compte tenu des fonds gelés ; Decrypt y a vu un clin d’œil à FTX, mais il n’a écrit aucun mot. Changpeng Zhao a répliqué : « Elon, j’ai beaucoup de respect pour toi, mais c’est un mauvais moment pour troller. Arrête, s’il te plaît. » Il a ajouté que les actions SPCX de Binance, issues de son investissement de 500 millions de dollars dans le rachat de Twitter, valent plus d’un milliard (« worth more than a billion »). C’est sa propre valorisation, non vérifiée : Decrypt ne donne aucune source de prix et nous n’avons pas pu la contrôler. Yi He a dit que le chiffre d’affaires de l’année couvre les pertes, si bien qu’il n’est pas encore nécessaire de vendre ces actions, et Changpeng Zhao a ensuite précisé n’avoir jamais suggéré de les vendre, rapporte Decrypt. Rien de tout cela ne constitue une vérification extérieure de la réserve de 6,34 milliards de dollars.

Les prix ont reculé pendant la nuit. Vers 05 h 55 UTC le 30 octobre, le BTC s’échangeait près de 78 600 $, l’ETH près de 2 246 $ et le BNB près de 717 $, en baisse de 5,1 % sur 24 heures, selon l’instantané de marché de Coindaro. CoinDesk rapporte, en citant des personnes au fait du dossier, que des investisseurs institutionnels retiraient des fonds des plateformes centralisées pour rééquilibrer leurs positions ; le total n’est pas connu. Vers 17 h 45 UTC, l’instantané de Coindaro donnait le BTC autour de 77 190 $ (en baisse de 4,37 % sur 24 heures), l’ETH autour de 2 242 $ (en baisse de 3,95 %), le BNB autour de 702 $ (en baisse de 5,76 %) et le SOL autour de 94,39 $ (en baisse de 6,44 %). Bitcoin Magazine compte environ 1,5 milliard de dollars de liquidations, surtout des positions longues, dont 468 millions en BTC et 358 millions en ETH ; un titre de CoinDesk donne 1,57 milliard, et nous ne pouvons pas dire quel compteur est le plus proche. Geoffrey Kendrick, de Standard Chartered, a dit, selon Bitcoin Magazine, que la baisse pourrait ne pas être terminée (« may have some way to go ») et s’attend à un nouveau plancher une fois les actifs dégelés. C’est son opinion.

Plus gros que Bybit : les records de piratages crypto comparés

TRM situe le vol de Binance à environ quatre fois celui de Bybit. Pour Binance elle-même, la précédente grosse perte remonte à 2019, lorsqu’elle a employé pour la première fois la formule « funds are SAFU ».

Deux différences ressortent. Bybit avait laissé les retraits ouverts après son piratage ; Binance les a fermés. En 2019, les retraits de Binance étaient restés fermés pendant environ une semaine. Les 18 270 BTC dérobés cette fois représentent plus de 2,5 fois les 7 000 BTC de 2019, note CoinDesk. Notre explication sur les endroits où les piratages crypto se produisent vraiment montre pourquoi : ce sont rarement les blockchains elles-mêmes qui cèdent, mais les entreprises et les clés qui les entourent.

France et Italie : Binance avait déjà arrêté ses services crypto le 1er juillet

Pour les lecteurs européens, le contexte est différent. Faute d’agrément MiCA, l’entité française de Binance a cessé de proposer des services sur crypto-actifs en France à partir du 1er juillet 2026 et n’a plus accepté de nouveaux clients, a rapporté Euronews le 25 juin, en ajoutant que des avis similaires avaient été envoyés aux utilisateurs d’autres marchés de l’UE. MoneyVox a énuméré les options restantes pour les utilisateurs français : transférer leurs cryptos vers une plateforme agréée, les conserver en self-custody, ou les vendre contre des euros. Pour l’Italie, Teleborsa a indiqué le même jour que les nouveaux ordres et dépôts s’arrêteraient le 1er juillet, tandis que les retraits resteraient possibles. Binance a retiré sa demande MiCA en Grèce avant l’échéance du 30 juin et a dit qu’elle déposerait un dossier dans un autre État de l’UE.

Un utilisateur français ou italien qui avait encore un solde sur Binance l’avait donc sur une plateforme sans agrément MiCA dans l’UE, et le piratage touche la plateforme mondiale de Binance. Nous n’avons trouvé vers 17 h 45 UTC le 30 octobre aucune déclaration sur l’incident de l’AMF en France, ni de la Consob, de l’OAM ou de la Banque d’Italie. Les règles fiscales habituelles sur les cessions de cryptos s’appliquent dans les deux pays ; aucune règle propre à ce piratage n’a été annoncée. L’article de TokenPost sur le retour des retraits en dollars américains ne mentionne pas l’euro.

Que faire maintenant si l’on a un compte Binance

Selon Binance, les fonds des utilisateurs sont en sécurité et elle couvrira toutes les pertes, avec plus de 6,34 milliards de dollars mis de côté. C’est un engagement de Binance, pas une garantie extérieure, et c’est le seul sur la table. Quelques gestes pratiques découlent des faits, sans aucun avis sur le trading.

• Vérifiez les canaux officiels de Binance sur les dépôts avant d’envoyer de nouveaux fonds : sa mise à jour de dimanche les dit ouverts, mais ses messages à ce sujet avaient changé entre 2 h 25 et 4 h 17 UTC le 30 octobre.
• Attendez-vous à de faux messages de « compensation » et de « déblocage des retraits » : une plateforme de plus de 335 millions d’utilisateurs inscrits, selon Reuters, est une cible de taille. N’utilisez que binance.com et les comptes vérifiés de Binance, et ne donnez jamais votre phrase de récupération ni ne payez de « frais de vérification ».
• Méfiez-vous des offres de récupération non sollicitées : Chainalysis prévient que des escrocs se font passer pour elle, notamment avec de fausses propositions de récupération de fonds, rapporte Bitcoin Magazine.
• Vérifiez la page de retrait ou la page de statut des réseaux pour votre jeton et votre réseau avant de vous fier à une annonce de réouverture : à notre vérification de 12 h 07 UTC lundi, seuls 14 jetons sur 991 étaient ouverts, l’USDT sur Tron apparaissait coupé, et une première tentative peut échouer. Les comptes rendus du retour des retraits en dollars américains ne donnent ni canaux ni plafonds : regardez ce qu’affiche votre propre compte. La prochaine échéance est la preuve de réserves complète, que Binance estime prête d’ici le mardi 3 novembre.
• Rappelez-vous que des cryptos laissées sur une plateforme constituent une créance sur cette entreprise. Garder ses clés soi-même, ou répartir ses avoirs entre plusieurs prestataires, sont les précautions habituelles.

Notre fiche Binance sera mise à jour dès la publication du post-mortem.

Ce qu’on ignore encore, et les dates à surveiller

La cause racine n’est pas établie. L’ordinateur portable n’est plus qu’une partie du tableau : Richard Teng dit que les enquêteurs ont trouvé des points d’intrusion au-delà, et Binance décrit désormais le mécanisme sur Ethereum, une délégation EIP-7702 qui a échappé aux contrôles d’approbation habituels. Reste à expliquer comment cette autorisation a été produite, et comment des signatures valides sont apparues sur dix blockchains. Les enquêteurs n’ont pas établi la séquence complète et, selon Richard Teng, l’attaquant a détruit ses outils et ses traces. Binance promettait d’autres conclusions techniques sous 48 heures environ après sa mise à jour de vendredi soir, soit vers 19 h 33 UTC dimanche selon notre calcul ; aucun des comptes rendus lus lundi ne les mentionne, et nous n’avons pas pu lire les pages d’annonces de Binance. Le post-mortem qui suivra n’a toujours pas de date.

La perte finale est elle aussi inconnue. Elle dépend de la restitution éventuelle des jetons gelés par les émetteurs, et du sort des 18 270 BTC et de l’ether encore aux mains de l’attaquant (plus de 420 000 ETH pour TRM, 508 621 ETH pour Bitquery, 519 104 ETH pour Elliptic samedi). Que les actifs des clients soient intégralement couverts reste la parole de Binance : son instantané l’affirme pour dix actifs, et la preuve complète doit donner des chiffres à mettre en regard de l’affirmation de Richard Teng selon laquelle les fonds des clients n’ont pas été touchés et de la lecture par CoinDesk de la liste du 1er octobre. Nous n’avons lu nulle part si Binance Wallet ou Binance Pay ont été touchés. L’Autorité de régulation des services financiers d’Abou Dhabi (FSRA), qui a délivré la principale licence d’exploitation de Binance, a dit à Reuters suivre l’incident de près avec Binance (« engaging closely with Binance and monitoring the incident »). Nous n’avons trouvé aucune réaction d’un régulateur européen vers 17 h 45 UTC vendredi. Une comparaison publiée lundi par CoinDesk donne la raison générale pour laquelle un tel vol est difficile à contenir : les banques peuvent rappeler certains virements, alors qu’une transaction confirmée sur une blockchain ne peut en général pas être annulée. La crypto n’est pas plus piratée que les banques, résume Abdul Rafay Gadit, cofondateur de ZIG Finance, mais elle ne peut ni le cacher ni revenir en arrière.

Les prochains jalons sont les réseaux et jetons encore en test et une date pour la deuxième phase ; les nouvelles conclusions techniques, attendues vers 19 h 33 UTC dimanche selon notre calcul et absentes des comptes rendus lus ; la preuve complète à divulgation nulle de connaissance, que Binance estime prête d’ici le mardi 3 novembre ; l’achat de RSR, que Reserve s’attendait à voir bouclé d’ici lundi ; les 5 % de jetons restants et le point promis par Yi He une fois les achats terminés ; le retour du SAFU à environ 1 milliard de dollars, et le sort des 7 500 BTC de l’adresse destinataire ; toute vérification extérieure des chiffres de Binance ; une réaction de Binance ou d’Ethena sur le transfert d’ENA ; le prêt Aave ; les premières pièces à atteindre un service depuis les 19 portefeuilles bitcoin, immobiles à l’arrêt des données d’Elliptic à 8 h 45 UTC lundi ; la destination des XRP des six nouvelles adresses ; d’éventuels gels sur d’autres plateformes après celui qu’annonce Gate ; et la suite que les destinataires de la demande du FBI lui donneront.

Mises à jour précédentes de cet article

Conservées telles que publiées : chacune reflète ce que nous savions à son heure.

Mise à jour du 1er novembre 2026, 17 h 52 UTC : les 15 réseaux de la première phase avaient rouvert à 12 h 36 UTC, affirme Binance, qui compte, entre 6 h et 15 h 30 UTC dimanche, 4,649 milliards de dollars de retraits contre 1,01 milliard de dépôts, soit environ 3,64 milliards de sorties nettes, selon Bitcoin.com News et The Block. Notre propre lecture des données de statut de Binance, à 17 h 40 UTC, montre ces 15 réseaux ouverts, pour 15 des 990 jetons répertoriés. CryptoSlate, citant Bitquery, chiffre à environ 119 millions de dollars le coût des échanges précipités des pirates, une estimation d’impact sur les prix que nous n’avons pas vérifiée, et The Defiant, citant Chainalysis, rapporte que les blanchisseurs ont atteint Solana. Bitcoin.com News et The Block donnent aussi le lundi 2 novembre pour un rapport de réserves actualisé, contre le mardi 3 novembre pour la preuve complète dans la mise à jour de samedi de Binance.

Mise à jour du 1er novembre 2026, 11 h 57 UTC : Binance a rouvert une partie des retraits. TokenPost comptait à 10 h 28 UTC sept des 15 réseaux de la première phase, chacun avec une partie de ses actifs (Bitcoin, Ethereum, BNB Smart Chain, XRP Ledger, Base, Dogecoin et Optimism), et CoinDesk cite le bitcoin, l’ether, l’USDT, l’USDC, le BNB et le XRP. L’argent sort, d’après des données secondaires qui ne concordent pas : ChainCatcher cite 1,02 milliard de dollars de sorties nettes sur le graphique de CoinMarketCap, sans préciser la période, et TokenPost, sans nommer de fournisseur, environ 1,26 milliard sur 24 heures, une fenêtre ouverte avant le premier réseau ; nous n’avons pas confirmé de retrait d’un client identifié. Selon Elliptic, le blanchiment des fonds volés sur Tron tourne comme une minuterie, et Lookonchain, seul, relie à un portefeuille la vente de PROM d’une valeur affichée d’environ 5 millions de dollars, cédés pour environ 71 dollars.

Mise à jour du 1er novembre 2026, 6 h 03 UTC : le FBI a déclaré samedi soir que la Corée du Nord était responsable du vol, en nommant TraderTraitor, selon CoinDesk et Reuters. Dans sa mise à jour de récupération n° 4, publiée dimanche à 4 h 08 UTC, Binance a annoncé que la première phase de retraits démarrerait entre 6 h et 9 h UTC sur 15 réseaux, et dit avoir couvert environ 95 % du montant volé. Les données publiques de statut des réseaux de Binance ont d’abord montré les retraits de BTC activés, sur le réseau Bitcoin, à 6 h 02 UTC ; à 6 h 03 UTC, c’était le seul jeton et le seul réseau activés, et nous n’avons pas confirmé de retrait client mené à bien. La date de Binance pour la preuve de réserves complète est le mardi 3 novembre, fixée dans sa mise à jour de samedi ; celle de dimanche n’en donne pas de nouvelle.

Mise à jour du 31 octobre 2026, 17 h 58 UTC : Binance dit avoir remplacé environ 90 % des actifs volés, contre environ 80 % vendredi, en puisant dans sa trésorerie, une partie de son fonds SAFU et une partie de son fonds d’assurance des contrats à terme, rapportent CoinDesk et Cointelegraph d’après sa dernière déclaration sur X, que nous n’avons pas pu ouvrir. Elle a aussi publié un instantané de ses réserves pris à minuit UTC le 31 octobre et dit que les retraits restent prévus pour le dimanche 1er novembre. Le registre public montre 7 499 BTC quittant l’adresse donnée pour son fonds SAFU à 14 h 51 UTC, sans dire pourquoi. Tout le reste est la version de Binance, non vérifiée de façon indépendante.

Mise à jour du 31 octobre 2026, 12 h 06 UTC : Lookonchain a compté 128,63 millions d’ENA, soit environ 24 millions de dollars, passés de portefeuilles étiquetés Ethena à une adresse de dépôt Binance en huit heures samedi, rapporte Bitcoin.com News ; nous n’avons trouvé aucun commentaire de Binance ni d’Ethena. Reserve dit que Binance a confirmé qu’elle rachètera 3,38 milliards de RSR, soit le montant dérobé ; c’est la version de Reserve, pas une déclaration de Binance. Lecture propre à Coindaro, qui ne vient d’aucune source : de tels achats, si le transfert d’ENA en est bien un, reconstituent ce que Binance détient face aux soldes des clients et ne récupèrent pas les pièces volées. Vers 12 h 00 UTC samedi, nous n’avions trouvé aucun résultat publié de l’instantané prévu vers 07 h 30 UTC, ni de mise à jour n° 3 ; nous ne pouvons dire ni qu’il a eu lieu ni qu’il a échoué.

Mise à jour du 31 octobre 2026, 6 h 03 UTC : dans sa mise à jour de sécurité n° 2 (« Security Incident Update #2 »), publiée sur X vers 19 h 33 UTC vendredi et rapportée par Reuters et Bitcoin.com News, Binance vise une reprise progressive des retraits sous 34 heures environ, soit vers 05 h 30 UTC le dimanche 1er novembre selon le calcul de CryptoNews, si les contrôles de sécurité sont achevés. Elle prévoit un premier instantané de preuve de réserves sous 12 heures, vers 07 h 30 UTC samedi, avec des résultats d’ici le lundi 2 novembre ; nous n’avions vu ni cet instantané ni de mise à jour n° 3 à l’heure de cet horodatage. Binance répète n’avoir trouvé aucune preuve de fuite de clés privées (« no evidence that wallet private keys were leaked »). Elliptic, sur une page actualisée à 19 h 30 UTC vendredi, estime que l’attaquant contrôle environ 3,23 milliards de dollars qu’aucun émetteur ne peut geler, et juge probable le lien soupçonné avec la Corée du Nord, « although the attribution is not yet certain » (l’attribution n’est pas encore certaine).

Mise à jour du 30 octobre 2026, 18 h 00 UTC : le co-directeur général Richard Teng a indiqué dans une vidéo sur X, consignée par Cointelegraph à 14 h 34 UTC, que l’attaquant avait utilisé un mécanisme d’autodestruction (« self-destruct mechanism ») pour détruire ses outils et ses traces, et que la délégation EIP-7702 visant un portefeuille chaud n’était pas passée par les contrôles d’approbation habituels de Binance. Il vise une reprise des retraits d’ici 40 heures, soit le dimanche 1er novembre si le service reconstruit réussit ses tests, et promet une preuve de réserves complète d’ici le lundi 2 novembre. Selon Richard Teng, l’attaque visait le portefeuille chaud de Binance et non les fonds des clients, alors que CoinDesk, à la lecture de la preuve de réserves du 1er octobre, trouve ce portefeuille parmi les actifs adossés aux soldes des clients. Un porte-parole de Binance a assuré à Cointelegraph que les 5 milliards de dollars de jetons équivalents sont détenus sous la garde de la plateforme, sans donner d’adresses de portefeuille : il n’existe donc toujours aucune vérification extérieure.

Mise à jour du 30 octobre 2026, 12 h 00 UTC : Binance a annoncé vendredi avoir mis de côté plus de 6,34 milliards de dollars de fonds propres pour couvrir les pertes, selon Reuters et Cointelegraph, dont environ 5 milliards déjà détenus dans les jetons concernés, le tout hors des quelque 3 milliards gelés. Elle signalait aussi des « points d’intrusion supplémentaires » au-delà de l’ordinateur portable de l’ingénieur, et son co-directeur général Richard Teng affirmait que l’attaque ne s’était pas jouée en « un clic ». Chainalysis attribue le piratage à TraderTraitor dans son propre billet et compte environ 2,8 milliards de dollars gelés, tandis que Lookonchain relève environ 158 millions de dollars d’altcoins échangés contre de l’ETH. Les retraits restaient suspendus vers 12 h 00 UTC, et le décompte de Binance en était alors à 45 heures.