Binance perd 6 milliards de dollars, un bouton de gel en sauve presque la moitié

Le 29 octobre 2026 à 20 h 20 min 59 s UTC, une transaction avec des frais de 14,46 dollars arrive sur le réseau Ethereum. Elle ne déplace aucun argent : le champ « valeur » indique zéro. Plus tôt le même jour, l’attaquant avait répété son plan sur des portefeuilles à lui, en déplaçant de 2 à 6 dollars à chaque fois. Trois minutes et demie plus tard, 167 464 ethers et 1,6 milliard de dollars en stablecoins USDT quittent un portefeuille chaud de Binance que les analystes appellent Binance 14. Au matin, la plateforme chiffrait les dégâts à environ 6,3 milliards de dollars. Les analystes extérieurs en comptent pour l’instant moins, entre 5,3 et 5,9 milliards. Le précédent record, le vol de la plateforme Bybit en février 2025, portait sur environ 1,5 milliard.

Pourtant, l’ampleur n’est pas le plus étrange. Près de la moitié du butin, environ 3 milliards, a été stoppée en quelques heures. Ni par la police, ni par « la blockchain elle-même », mais par une poignée d’entreprises qui possèdent un bouton de gel. Les cryptomonnaies ont justement été inventées pour que personne n’en ait un.

Une procuration à quatorze dollars

Une plateforme d’échange garde l’argent de ses clients dans deux sortes de portefeuilles. Les portefeuilles froids sont hors ligne et abritent la réserve principale. Les portefeuilles chauds sont toujours connectés : les retraits du quotidien y passent, ils contiennent donc en permanence un solde de travail. Sur la plus grande plateforme du monde, ce solde se compte en milliards.

La clé de l’attaque était une fonction nommée EIP-7702. Elle est arrivée sur Ethereum le 7 mai 2025 avec la mise à jour Pectra. Pour simplifier, c’est une procuration : un portefeuille ordinaire autorise un programme extérieur à agir en son nom. Elle a été conçue pour la commodité, afin de regrouper plusieurs actions en un seul clic ou de laisser quelqu’un d’autre payer les frais. Seul le portefeuille lui-même peut signer une telle autorisation. Elle reste valable jusqu’à ce que le propriétaire la révoque.

La transaction à 14,46 dollars était précisément une autorisation de ce genre. Elle en contenait 50, chacune remettant Binance 14 à un programme « aspirateur » que l’attaquant avait déployé quatre heures plus tôt. Une seule sur cinquante a fonctionné. Imaginez un chéquier où une autorisation ne vaut que pour un chèque portant un numéro précis. Un portefeuille chaud écrit ces « chèques » sans arrêt, le numéro suivant est donc difficile à deviner. Cinquante signatures d’affilée ressemblent à une façon de s’assurer qu’une d’elles tombera juste.

L’aspirateur a vidé Binance 14 en une seule opération, en laissant 1 ether derrière lui. Pendant les 12 minutes suivantes, l’argent de dix autres portefeuilles chauds de la plateforme, répartis sur quatre réseaux, a afflué vers la même adresse. C’est ainsi que Blockaid, une société de sécurité blockchain, a reconstitué l’attaque.

On ignore encore comment l’attaquant a obtenu la signature du portefeuille. Selon le récit préliminaire de Binance, tout a commencé par l’ordinateur portable compromis d’un ingénieur DevOps, le genre d’employé qui s’occupe des serveurs et du déploiement des logiciels. Par cet ordinateur, l’intrus a atteint un conteneur de service et y a soumis des retraits non autorisés. La plateforme affirme n’avoir trouvé aucune preuve qu’une clé privée de portefeuille ait fuité. Si c’est exact, le voleur n’a jamais eu besoin de dérober une clé. Il a fait signer l’autorisation par le système même de la plateforme.

Le bouton que le bitcoin n’a pas

L’USDT et l’USDC sont des stablecoins. Ce sont des dollars numériques émis par deux sociétés privées, Tether et Circle, chacune promettant d’échanger son jeton contre un dollar. L’une de leurs particularités est rarement évoquée : l’émetteur peut bloquer n’importe quelle adresse du réseau. Dans les conditions d’utilisation de l’USDC, Circle se réserve explicitement le droit de bloquer les transferts depuis et vers une adresse. Tether dispose de la même capacité.

Cette nuit-là, les deux l’ont fait. Paolo Ardoino, le PDG de Tether, a écrit que la société avait gelé plus de 1,567 milliard d’USDT. Jeremy Allaire, PDG de Circle, a indiqué que plus de 800 millions d’USDC avaient été bloqués en coordination avec les forces de l’ordre. Ripple a stoppé environ 200 millions de dollars de son stablecoin, World Liberty Financial environ 27 millions. Même Arbitrum, un réseau que l’on décrit d’ordinaire comme décentralisé, a gelé 74,56 millions de jetons ARB sur décision de son Conseil de sécurité.

Pour l’ether et le bitcoin, c’était une autre histoire. Pas d’émetteur, pas de bouton. La société d’analyse Glassnode a compté 17 985 bitcoins parmi les actifs volés, soit environ 1,45 milliard de dollars. L’ether du premier prélèvement est lui aussi resté chez l’attaquant. Personne au monde ne peut annuler un transfert signé avec la bonne clé. Pour un voleur, c’est la meilleure qualité du bitcoin. Comment l’attaquant a atteint les portefeuilles bitcoin distincts de la plateforme, Binance ne l’a pas encore dit. L’hypothèse du conteneur de service, où le système lui-même signait les retraits, l’expliquerait.

Un sauveur qui a un droit de veto

C’est absurde, à bien y regarder. Le plus gros vol de l’histoire des cryptos a été arrêté à presque moitié par des outils que la « vraie » cryptomonnaie n’est pas censée avoir. Le bitcoin s’est comporté exactement comme son créateur l’avait voulu : un transfert signé est définitif. Les dollars numériques, eux, se sont comportés comme une banque.

Le bouton qui a retiré un milliard et demi à un voleur fonctionne contre n’importe qui. C’est une entreprise qui appuie dessus, pas un tribunal. Cela prend quelques minutes. Celui qui détient de l’USDT ne possède pas un dollar sur un compte, mais la promesse de Tether d’échanger le jeton, et cette promesse comporte une réserve. Beaucoup trouveront le compromis raisonnable : les banques aussi bloquent les virements suspects. Simplement, un stablecoin ressemble plus à un compte bancaire qu’à des billets dans la poche, et cette nuit a montré la différence mieux que n’importe quel cours.

Ce que cela change pour les clients de Binance

Selon la plateforme elle-même, Binance compte plus de 335 millions d’utilisateurs inscrits. La nuit du piratage, elle a suspendu dépôts et retraits, et au matin du 30 octobre elle n’avait pas dit quand ils reprendraient. Yi He, cofondatrice de Binance, a promis que la plateforme « couvrira toutes les pertes liées au piratage » avec son fonds d’assurance SAFU et son argent propre. Le fondateur, Changpeng Zhao, a suivi le vol presque en spectateur. « On dirait bien un piratage de Binance », a-t-il écrit sur X, en précisant dans le même message qu’il ne dirige plus la plateforme mais qu’il s’attend à ce que les fonds des utilisateurs soient intégralement couverts.

Depuis février 2026, le fonds SAFU est détenu en bitcoins, 15 000 au total. Au cours du 30 octobre, cela représente environ 1,2 milliard de dollars. Si l’estimation de la plateforme est juste, la part non gelée de la perte, soit environ 3,3 milliards, est presque trois fois plus grande. Il faudra donc combler l’essentiel du trou avec l’argent de la plateforme. Soit dit en passant, le fonds contient moins de bitcoins que l’attaquant n’en a pris.

Les marchés ont réagi aussitôt, même si les résultats médiocres des entreprises technologiques pesaient eux aussi. Le bitcoin est tombé sous 77 000 dollars, un plus bas en six semaines. Le BNB, le jeton propre à la plateforme, a perdu plus de 8 % en une journée.

Qui est derrière tout cela ? On l’ignore. L’enquêteur blockchain ZachXBT et la société Blockaid ont désigné la Corée du Nord comme coupable probable, mais personne n’a encore officiellement attribué l’attaque. Le FBI, lui, avait attribué le vol de Bybit à la Corée du Nord. D’après Blockaid, l’attaquant a financé les premières opérations via Tornado Cash, un mixeur qui brouille la trace des transferts. Binance promet un post-mortem technique détaillé une fois les faits vérifiés.

Depuis des années, la communauté crypto se demande si l’argent a besoin d’un bouton d’arrêt. En une seule nuit, un tel bouton a sauvé environ 3 milliards. Le débat va sans doute se déplacer : qui décide, et selon quelles règles, du moment d’appuyer ?