Le plus grand vol financier de l'histoire, expliqué enfin
Le 29 octobre, en moins de trois heures, 6,34 milliards de dollars quittaient les portefeuilles chauds de Binance. Des XRP, des SOL, des OP, puis du bitcoin. Pas par une faille dans un smart contract mal écrit, pas par un bug de protocole. Par une série d'humains trompés, un à un, sur plusieurs mois. Binance a publié le 3 novembre son rapport d'incident détaillé, et le scénario qu'il décrit mérite qu'on s'y arrête sérieusement.
Le FBI pointe la Corée du Nord, et plus précisément un groupe connu sous le nom de TraderTraitor, déjà impliqué dans le piratage de Bybit en février 2025 (1,5 milliard de dollars à l'époque, record mondial qui vient d'être pulvérisé). Pyongyang nie. Mais la méthode, elle, est documentée et attribuée depuis des années à ces mêmes acteurs.
Juin, septembre, octobre : une attaque en trois actes
Tout commence en juin. Un ingénieur DevOps de l'équipe portefeuilles de Binance cherche un outil de codage populaire et télécharge, sans le savoir, une version modifiée de Homebrew, le gestionnaire de paquets très répandu chez les développeurs. Le logiciel est piégé. Binance détecte l'incident, change l'appareil, fait tourner les identifiants. Mais il est déjà trop tard pour l'essentiel : les attaquants connaissent désormais le rôle de cet ingénieur et l'identité de ses collègues travaillant sur l'infrastructure des portefeuilles.
En septembre, deuxième acte. Un second ingénieur logiciel, dont le profil sur une plateforme de recrutement mentionne son expérience chez Binance, est contacté par quelqu'un se présentant comme directeur de projet d'une entreprise fictive. S'ensuivent deux entretiens : un premier appel vidéo avec une fausse représentante des ressources humaines qui partage un compte sur les réseaux sociaux pour instaurer la confiance, puis un second entretien via une application de messagerie populaire avec quelqu'un se faisant passer pour le directeur général de la société. À la fin de ce second entretien, l'ingénieur est invité à télécharger un 'devoir de code' sur son ordinateur professionnel. Le dépôt de code est malveillant.
Troisième acte, le 20 octobre. Les attaquants utilisent l'ordinateur compromis du second ingénieur et détournent un outil interne de Binance pour prendre le contrôle des sessions de deux autres ingénieurs portefeuilles. Ils découvrent qu'un de ces ingénieurs dispose d'un jeton de permission de déploiement de conteneur sur sa machine. Le mécanisme d'escalade de privilèges est en place.
Le 29 octobre : quatre minutes pour 233 millions en XRP
Entre 17h15 et 19h56 UTC le 29 octobre, l'attaquant se connecte à l'ordinateur du troisième ingénieur en utilisant les identifiants volés au premier, déploie un conteneur et exécute un script malveillant. Entre 20h05 et 20h09 UTC, cinq portefeuilles chauds de Binance envoient 233,46 millions de XRP vers une adresse contrôlée par l'attaquant. Quatre minutes. Viennent ensuite environ 970 500 SOL et 44,2 millions de tokens OP transférés depuis des portefeuilles sur Solana et Optimism. Puis Binance reçoit une alerte interne. Trop tard : un dernier portefeuille envoie encore 18 270 bitcoins.
Sur le plan technique, les attaquants ont exploité le mécanisme EIP-7702 d'Ethereum pour conférer à un smart contract malveillant des droits d'exécution partiels sur un portefeuille chaud de Binance, contournant ainsi le service de signature interne. Ce n'est pas une faille nouvelle ou obscure : EIP-7702 est un standard connu, et son potentiel de détournement avait été signalé par plusieurs chercheurs en sécurité. La vraie question est de savoir pourquoi l'accès à ce mécanisme n'était pas plus cloisonné.
57 tentatives détectées : la Corée du Nord frappe en série
Ce n'est pas une attaque isolée. Binance déclare avoir détecté et neutralisé 57 incidents cyber suspectés d'être liés à la Corée du Nord depuis le début de l'année, dont d'autres tentatives impliquant de faux entretiens et des paquets logiciels compromis. L'attaque réussie est donc celle qui a passé tous les filets, après des dizaines d'essais.
La stratégie est connue sous le nom de Lazarus ou TraderTraitor selon les attributions : des opérateurs nord-coréens se font passer simultanément pour des recruteurs et pour des candidats à l'emploi, infiltrant les entreprises technologiques américaines et les plateformes crypto des deux côtés du marché du travail. Cette logique d'ingénierie sociale appliquée à la finance est précisément ce qui rend la menace si difficile à contrer par des outils purement techniques.
L'analyse Findfi : un ratio qui interroge toute l'industrie
Quelques ordres de grandeur méritent d'être posés clairement. Sur les 6,34 milliards dérobés, Binance déclare avoir gelé ou intercepté environ 2,85 milliards d'actifs, soit un taux de récupération de 44,9 %. Cela signifie que 3,49 milliards de dollars restent, à ce stade, hors de portée.
Deuxième ratio : le piratage de Bybit en février 2025 s'élevait à 1,5 milliard de dollars, déjà considéré comme le plus grand vol de l'histoire de la crypto. L'attaque Binance le dépasse d'un facteur 4,2. L'escalade n'est pas marginale, elle est structurelle.
Troisième calcul : Binance dit avoir détecté 57 tentatives nord-coréennes cette année avant que l'une d'entre elles réussisse. Le taux de réussite des attaquants est donc de 1 sur 58, soit moins de 2 %. Mais ce 2 % a suffi à réaliser le plus grand braquage de l'histoire financière moderne. Cela illustre un principe fondamental en cybersécurité : le défenseur doit gagner à chaque fois, l'attaquant une seule. Ce déséquilibre structurel est précisément ce qui alimente les levées de fonds massives dans la sécurité IA.
Concrètement, qu'est-ce que ça change pour une direction financière ou un professionnel de la finance
Pour une direction financière ou une équipe de trésorerie qui utilise des plateformes d'échange ou des solutions crypto institutionnelles, cet incident pose plusieurs questions opérationnelles immédiates. La première concerne le vecteur d'attaque : ce n'est pas le système d'information central qui a été compromis en premier, c'est le poste de travail d'un développeur via un entretien d'embauche fictif. Les politiques de sécurité classiques (antivirus, pare-feu, chiffrement des données au repos) n'auraient pas arrêté cette attaque.
La deuxième question concerne la séparation des privilèges. Un ingénieur DevOps disposait d'un jeton de permission de déploiement directement accessible sur son ordinateur. Dans une architecture financière bien cloisonnée, ce type de permission ne devrait jamais être stocké sur un terminal individuel non surveillé en temps réel. C'est précisément ce que les startups de sécurité des agents et des accès cherchent à adresser.
La troisième concerne le recrutement lui-même. Les processus d'entretien sont devenus un vecteur d'attaque documenté et répété. Cela concerne directement les DRH et les managers qui conduisent des entretiens techniques : un entretien avec un candidat externe peut être le moment où un logiciel malveillant entre dans votre réseau via un 'devoir technique'. Ce risque n'est quasiment jamais intégré dans les formations de sensibilisation à la cybersécurité des entreprises financières. Les modèles économiques de la fintech B2B devront intégrer ce paramètre de sécurité dans leur proposition de valeur.
Enfin, Binance a reconstruit l'environnement affecté, remis à zéro l'outil interne détourné et renforcé les contrôles d'accès à son service de signature de portefeuilles. Elle dit rembourser l'intégralité des clients lésés et avoir rouvert les retraits après 48 heures de suspension. Ces décisions relèvent autant de la gestion de crise financière que de la cybersécurité, et leur rapidité conditionne directement la confiance des utilisateurs institutionnels.
Ce qu'il faut retenir
1. L'attaque a duré plusieurs mois, impliqué trois ingénieurs compromis successivement et exploité à la fois un outil de développement piégé, un faux entretien d'embauche et un outil interne de Binance détourné. Le vecteur initial n'était pas technique, il était humain.
2. Sur 6,34 milliards de dollars volés, environ 2,85 milliards ont été gelés ou interceptés. Près de 3,5 milliards restent à ce jour non récupérés, ce qui en fait le plus grand vol financier jamais documenté, loin devant le précédent record (Bybit, 1,5 milliard en 2025).
3. Binance déclare avoir bloqué 57 tentatives similaires avant que celle-ci réussisse. Un taux d'échec des défenses de moins de 2 % a suffi à réaliser un braquage à l'échelle historique. La cybersécurité asymétrique n'est plus un sujet réservé aux spécialistes, c'est un risque financier de premier rang.
4. Pour toute infrastructure financière manipulant des actifs numériques ou des flux sensibles, cet incident impose une revue du cloisonnement des accès, des processus de recrutement technique et de la supervision en temps réel des permissions de déploiement. Les startups qui apportent des réponses crédibles à ce problème ont un marché devant elles.
Sur le même sujet chez Findfi
Sur le même sujet chez Findfi : le Fraud Readiness Index 2026 de Feedzai, notre étude de cas Wirecard.