Ce que le vol chez Binance dit du plafond d'un accès unique

En une soirée, six milliards sortent de Binance

Le jeudi 29 octobre 2026 à 20 h 05 UTC, cinq portefeuilles de Binance sur le registre XRP se vident vers une même adresse. À 20 h 20, un portefeuille chaud (portefeuille connecté à internet, qui sert à honorer les retraits des clients) envoie 18 270 bitcoins à une adresse inconnue. Tron, Solana et Ethereum suivent. Selon la reconstitution de la société d'analyse TRM Labs, environ 6,36 milliards de dollars quittent ainsi des portefeuilles attribués à Binance sur dix blockchains, la plupart en une vingtaine de minutes. Une seconde vague touche Avalanche et Polygon vers 23 h 05, et le dernier prélèvement relevé intervient à 23 h 56. L'AFP situe vers 0 h 30 UTC l'annonce de la suspension de tous les dépôts et retraits.

Dans la nuit, Binance relie l'incident au portable compromis d'un ingénieur DevOps (profil chargé du déploiement et de l'exploitation des logiciels). Ce poste aurait ouvert l'accès à un conteneur de service (environnement isolé où tourne un service interne), d'où des retraits non autorisés ont été soumis. Le même message promet un post-mortem (rapport d'analyse d'incident) détaillé une fois les faits vérifiés. Quelques heures plus tard, le co-PDG Richard Teng reprend cette explication avec une réserve : « the attacker did not simply use one engineer's permissions » (l'attaquant ne s'est pas contenté d'utiliser les permissions d'un ingénieur). Il ajoute que l'enquête n'impute la responsabilité à aucune personne. Le lendemain, Binance fait état de points de compromission supplémentaires. Reuters rapporte, d'après Richard Teng, que les attaquants ont manipulé le système d'approbation des transactions pour faire sortir les fonds sans passer par les contrôles habituels.

Les montants appellent des précautions. Le chiffre de 6,3 milliards est l'impact estimé par Binance, que l'entreprise qualifie ensuite de perte. TRM Labs obtient 6,36 milliards en valorisant chaque transfert au cours du moment, et 6,23 milliards aux cours du 30 octobre. Elliptic avance 6,43 milliards selon The Register. Une partie a été gelée par les émetteurs de jetons adossés au dollar (stablecoins) : environ 3 milliards selon Binance, 2,7 selon TRM Labs, 2,85 selon Elliptic. Binance déclare avoir mobilisé plus de 6,34 milliards de fonds propres. Elle dit avoir reconstitué environ 95 % des actifs touchés au 1er novembre, en puisant selon CNN dans son fonds d'urgence SAFU, dans son fonds d'assurance des contrats à terme et dans sa trésorerie. Les retraits ont rouvert par phases le dimanche 1er novembre. Entre 6 h et 15 h 30 UTC, la plateforme a enregistré 4,65 milliards de retraits et 1,01 milliard de dépôts, soit 3,64 milliards de sorties nettes et 2,1 % de ses 171 milliards d'actifs selon CNBC.

TRM Labs et Chainalysis attribuent l'attaque à TraderTraitor, unité qu'elles rattachent à la Corée du Nord, et le FBI a repris cette attribution le 31 octobre. Pyongyang a rejeté ces accusations selon Reuters. Donald Trump a déclaré ne pas savoir si la Corée du Nord était en cause, selon l'AFP. Binance n'a désigné aucun auteur et renvoie aux forces de l'ordre. Les faits sont arrêtés à la date du 3 novembre 2026.

Trois récits désignent un coupable, aucun ne mesure la portée de l'accès

Le récit qui a circulé tient en trois figures. Il y a d'abord un ingénieur et son portable, que Binance a elle-même présentés comme point de départ probable avant d'en nuancer le rôle. Vient ensuite une unité d'élite d'un État sous sanctions, ce qui place la cause hors de l'organisation. Il y a enfin un statut : le président de la CFTC a vu dans l'incident la démonstration des risques des plateformes extraterritoriales non régulées, selon CNBC. Chacune de ces lectures repose sur une déclaration sourcée, et chacune répond à la question « qui ? » ou « par où ? ».

Aucune ne répond à la question « combien ? ». Les données de TRM Labs décrivent pourtant une capacité, pas seulement une entrée. Les portefeuilles touchés utilisaient des chaînes, des types de clés et des schémas de signature différents. Tous ont produit des signatures valides pour l'attaquant en une demi-heure environ. La firme y voit, comme explication la plus probable, la capacité de faire signer au système de signature des portefeuilles chauds des transactions choisies par l'attaquant. Elle résume : « a single actor obtained valid signatures for wallets on ten chains within hours » (un seul acteur a obtenu des signatures valides pour des portefeuilles sur dix chaînes en quelques heures).

Sur Ethereum, une délégation EIP-7702 (mécanisme qui permet à un portefeuille de confier son comportement à un programme) a transformé un portefeuille chaud en balayeuse contrôlée par l'attaquant. Elle est restée active, et les fonds qui continuaient d'arriver ont été prélevés six fois jusqu'à 23 h 56. La question porte donc aussi sur ce qui, derrière la porte, aurait pu borner le montant ou interrompre le flux.

Le portable est la défaillance active, la portée de l'accès est la condition latente

James Reason distingue deux sources de brèches dans les défenses d'un système. Les défaillances actives sont les actes de ceux qui sont au contact direct du système, à l'effet immédiat et souvent bref. Les conditions latentes naissent de décisions prises plus haut et plus tôt, et attendent qu'un événement les révèle.

Défaillances actives et conditions latentes (James Reason, 1997 et 2000)

Développé dans Managing the Risks of Organizational Accidents (1997) et résumé par Reason dans le British Medical Journal en 2000, le modèle décrit l'accident d'organisation comme l'alignement de brèches dans plusieurs couches de défense. Les conditions latentes y sont les « resident pathogens » (agents pathogènes résidents) du système. Elles proviennent de décisions de concepteurs, de rédacteurs de procédures et de la direction générale, qui ne sont pas nécessairement des erreurs. Leur intérêt pratique tient à une asymétrie soulignée par Reason : la forme des défaillances actives est difficile à prévoir, alors que les conditions latentes peuvent être repérées et corrigées avant l'accident. Le modèle déplace l'enquête de la personne vers les choix qui ont rendu son geste coûteux.

Appliquée à Binance, cette grille sépare deux objets que le récit confond. La compromission d'un portable est la défaillance active déclarée, sans faute imputée à quiconque, comme l'entreprise l'a précisé. Les conditions latentes se cherchent ailleurs, et des sources extérieures en décrivent déjà certaines. Selon TRM Labs, l'infrastructure de signature répondait pour dix chaînes à la fois. Selon les propos de Richard Teng rapportés par Reuters, l'attaquant a pu contourner le circuit d'approbation. S'y ajoutent des portefeuilles connectés garnis à hauteur de plusieurs milliards. TRM Labs en conclut qu'infrastructures de signature et circuits d'approbation gagneraient à être séparés par chaîne et par niveau de portefeuille.

À la date du 3 novembre 2026, aucun document public consulté ne dit si un plafond limitait le montant qu'un chemin d'accès pouvait engager, ni à quel niveau. L'absence de plafond n'est donc pas établie. L'événement établit en revanche un ordre de grandeur. Selon CNBC, les fonds sortis représentent environ 4 % de ce que Binance détenait la veille. Al Jazeera relève qu'ils dépassent plus de six fois le fonds d'urgence d'un milliard de dollars.

Le plafond d'un accès unique est un arbitrage de direction

Une plateforme d'échange vit d'une promesse de liquidité : le client doit pouvoir retirer à tout moment. Plus les portefeuilles chauds sont garnis, plus cette promesse est tenue sans friction. Mais chaque dollar placé sur un portefeuille connecté est aussi exposé à quiconque obtient le droit de faire signer. Fixer le montant qu'un chemin d'accès peut engager par heure revient à trancher entre deux coûts. D'un côté, des clients qui attendent quand le plafond est atteint et qu'il faut réalimenter depuis le stockage hors ligne. De l'autre, une perte maximale que l'organisation accepte de pouvoir subir en un seul incident. Ce choix engage la relation client, la trésorerie et les fonds propres. Il relève de la direction, même quand il prend la forme d'un paramètre dans un outil.

L'histoire de Binance en offre une mesure. En mai 2019, des pirates retirent 7 000 bitcoins, environ 40 millions de dollars, en une seule transaction selon Bloomberg. Le portefeuille touché contenait environ 2 % des avoirs en bitcoins de la plateforme. Binance indiquait alors que le retrait avait déclenché des alarmes, suivies de l'arrêt immédiat de tous les retraits, selon TechCrunch. En 2026, les sorties portent sur environ 4 % de l'ensemble des avoirs, sur dix chaînes, et s'étalent sur près de quatre heures.

L'incident a aussi rendu visible le prix de la liquidité dans l'autre sens. Pour arrêter les sorties, Binance a suspendu tous les retraits pendant plus de deux jours. C'est la friction qu'un plafond aurait imposée à petite échelle et en permanence. Le seuil d'arrêt a fini par s'appliquer, à l'échelle de toute la plateforme et après coup.

Bybit, février 2025 : la même porte, le même récit

Le 26 février 2025, le FBI a attribué à la Corée du Nord, sous le même nom de TraderTraitor, le vol d'environ 1,5 milliard de dollars subi par la plateforme Bybit le 21 février. Selon Safe{Wallet}, fournisseur du portefeuille multisignature (portefeuille qui exige l'accord de plusieurs signataires) utilisé par Bybit, l'attaque est passée par la machine compromise d'un de ses développeurs. Cette machine a permis de présenter une transaction malveillante déguisée. Bybit a indiqué que ses signataires avaient été trompés et que sa propre infrastructure n'avait pas été compromise.

La structure est la même : un poste de travail compromis en amont, un contrôle qui fonctionne formellement (les signataires ont signé, les signatures de Binance étaient valides), un montant engagé d'un seul tenant. Le récit aussi se ressemble. En 2025, la communication de la plateforme a situé la faille chez un fournisseur, sur le poste d'un développeur. Vingt mois plus tard, le même nom d'attaquant revient, pour un montant environ quatre fois supérieur selon TRM Labs.

Partout où un compte de service engage sans borne, la condition latente attend

Le mécanisme ne dépend ni des cryptoactifs ni de la Corée du Nord. Il se retrouve partout où un accès interne, présumé légitime parce qu'il est interne, peut déclencher une action dont l'ampleur n'est bornée que par ce que le système contient. Les exemples sont nombreux : un robot de trésorerie habilité à émettre des virements, un compte de service capable d'exporter toute une base clients, un compte d'administration en nuage qui peut effacer les sauvegardes.

Les conditions de reproduction sont identifiables. Le contrôle porte sur l'identité de l'appelant plutôt que sur la taille de sa demande. Le plafond, quand il existe, a été dimensionné sur le flux normal et non sur la perte que l'organisation peut absorber. Les réserves ou les assurances sont calibrées très en dessous de ce qu'un accès peut engager. Et le retour d'expérience s'arrête au point d'entrée, parce qu'un poste compromis fournit une cause nette et close.

Les signes sont observables avant l'incident. Personne, en comité de direction, ne sait dire quel montant ou quel volume un compte de service peut déplacer en une heure. Les seuils existent dans les outils mais ne figurent dans aucune décision signée. Les rapports d'incident désignent un poste, une personne ou un prestataire, rarement l'étendue de ce que l'accès permettait.

Grille de lecture

1. Pour chaque compte de service capable de déplacer de l'argent ou des données, quel montant ou quel volume peut-il engager en une heure, et ce chiffre figure-t-il dans un document ?
2. Qui a fixé ce plafond, à quelle date, et la décision mentionne-t-elle la perte maximale acceptée ?
3. Une demande inhabituelle déclenche-t-elle un contrôle selon son montant, ou seulement selon l'identité de l'appelant ?
4. Lors des incidents ou des exercices passés, combien de temps s'est écoulé entre la première opération anormale et l'arrêt du flux ?
5. Le dernier rapport d'incident indique-t-il ce que l'accès compromis permettait d'atteindre, ou seulement par où il a été obtenu ?

Ce que dira le post-mortem promis

Le portable de l'ingénieur restera le point d'entrée de ce vol, et Richard Teng a lui-même refusé d'en faire la cause unique. Le 3 novembre, à Hong Kong, il déclarait selon Reuters : « It's a painful lesson. We take responsibility for it. » (C'est une leçon douloureuse. Nous en assumons la responsabilité.) La lecture de Reason invite à regarder ce que ce portable a rencontré derrière lui : une infrastructure de signature commune à dix chaînes, un circuit d'approbation contournable, des portefeuilles connectés garnis de plusieurs milliards et une suspension générale intervenue après plusieurs heures. Le plafond d'un accès unique est la condition latente que l'événement rend visible, qu'un tel plafond ait existé ou non.

L'hypothèse se vérifie de l'extérieur. Le 30 octobre, Binance annonçait des constats techniques sous 48 heures environ, et un rapport destiné à « identify all contributing factors » (identifier tous les facteurs contributifs). Au 3 novembre, aucun constat de ce type n'apparaissait dans les communications consultées, et le post-mortem était annoncé sans date. Si ce document, publié d'ici au 30 avril 2027, décrit la chaîne d'intrusion sans indiquer le montant maximal qu'un chemin d'accès pouvait engager avant et après l'incident, ni qui fixe désormais ce plafond, la condition latente restera hors du récit public. S'il l'indique, l'incident aura déplacé la question de la porte vers la portée. Le cadre de supervision des plateformes proposé par la CFTC le 5 octobre et le prochain vol de cette ampleur diront si cette question devient une exigence.

---

Note méthodologique

Les faits reposent sur les communications de Binance et de ses dirigeants, l'alerte du FBI, le rapport de TRM Labs présenté comme tel et la presse de référence (Reuters, CNBC, CNN, AFP, Al Jazeera, The Register). L'attribution à la Corée du Nord est rapportée à ses auteurs (TRM Labs, Chainalysis, FBI). L'auteur ne l'assume pas, Pyongyang la contestant. Le montant de 6,3 milliards, estimation de Binance, sert de référence, et les écarts avec TRM Labs et Elliptic tiennent à des méthodes de valorisation distinctes. L'absence de constats techniques publiés est bornée aux communications de Binance et à la presse consultées au 3 novembre 2026, date d'arrêt des faits. La lecture par Reason et l'interprétation du plafond comme arbitrage de direction sont des choix de l'auteur. Recherche de sources, croisement des données et structuration du raisonnement s'appuient sur une assistance par intelligence artificielle. Le choix de l'angle et du cadre théorique, la vérification des sources, les arbitrages et l'établissement du texte final relèvent de l'auteur.

image générée par IA (ChatGPT Images 2.5)

Sources

Documents de l'organisation et d'autorités

Binance (compte officiel X), « Binance's initial investigation suggests that the security incident may involve a compromised DevOps engineer's laptop… », 30 octobre 2026, https://x.com/binance/status/2115993361517891592

Richard Teng (compte officiel X), « I want to speak to you directly about what happened… », 30 octobre 2026, https://x.com/_RichardTeng/status/2116072080525656150

Binance (compte officiel X), « Security Incident | Recovery Update #2 », 30 octobre 2026, https://x.com/binance/status/2116258356109496479

Binance (compte officiel X), « Security Incident | Recovery Update #4: Withdrawals Resume in Phases (2026-11-01) », 1er novembre 2026, https://x.com/binance/status/2116744986096292263

Federal Bureau of Investigation, « North Korea Responsible for $6 Billion+ Binance Attack », 31 octobre 2026, https://www.fbi.gov/investigate/cyber/alerts/2026/north-korea-responsible-for-6-billion-binance-attack

Presse de référence

Reuters, « Hackers steal $6.3 bil. from Binance in record heist blamed on North Korea », 30 octobre 2026, reprise intégrale par The Korea Times, https://www.koreatimes.co.kr/world/20261030/hackers-steal-63-bil-from-binance-in-record-heist-blamed-on-north-korea

Reuters (Summer Zhen, Selena Li, Yantoultra Ngui), « Binance co-CEO says company is in very strong financial health after $6.3 billion heist », 3 novembre 2026, reprise intégrale par Investing.com, https://www.investing.com/news/economy-news/binance-coceo-says-company-is-in-very-strong-financial-health-after-63-billion-heist-4993774

Jenny Lee, Liz Napolitano, Davis Giangiulio, CNBC, « $6.3 billion Binance hack is largest crypto theft on record », 29 octobre 2026, mis à jour le 30 octobre 2026, https://www.cnbc.com/2026/10/29/circle-tether-freeze-funds-impacted-by-potential-binance-security-issue.html

Jenny Lee, CNBC, « Binance sees $3.64 billion in net outflows as withdrawals resume after massive hack », 1er novembre 2026, mis à jour le 2 novembre 2026, https://www.cnbc.com/2026/11/02/binance-outflow-hack-bitcoin.html

CNN, « Binance withdrawals resume following $6 billion hack », reprise intégrale par KESQ datée du 2 novembre 2026, https://kesq.com/money/cnn-business-consumer/2026/11/02/binance-withdrawals-resume-following-6-billion-hack/

franceinfo avec AFP, « Visé par une cyberattaque massive, le géant des cryptomonnaies Binance gèle ses opérations et craint un préjudice de 6,3 milliards de dollars », 30 octobre 2026, https://www.franceinfo.fr/economie/bitcoin/vise-par-une-cyberattaque-massive-le-geant-des-cryptomonnaies-binance-gele-ses-operations-et-redoute-un-prejudice-de-6-3-milliards-de-dollars_8259938.html

franceinfo avec AFP, « La plateforme de cryptomonnaies Binance annonce une reprise des retraits après avoir perdu plus de six milliards de dollars dans un piratage », 1er novembre 2026, https://www.franceinfo.fr/economie/bitcoin/la-plateforme-de-cryptomonnaies-binance-annonce-une-reprise-des-retraits-apres-un-piratage-commis-par-des-hackers-de-coree-du-nord-selon-les-accusations-du-fbi_8262545.html

Nils Adler, Al Jazeera, « Binance says $6.3bn stolen in biggest crypto heist in history: What we know », 30 octobre 2026, https://www.aljazeera.com/news/2026/10/30/binance-says-6-3bn-stolen-in-biggest-crypto-heist-in-history-what-we-know

The Register, « FBI pins $6.3B Binance crypto heist on North Korean hackers », 2 novembre 2026, https://www.theregister.com/security/2026/11/02/fbi-pins-63b-binance-crypto-heist-on-north-korean-hackers/5306889

Études et données

TRM Labs, « North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History », 29 octobre 2026, données arrêtées au 30 octobre 2026 à 0 h 30 UTC, consulté le 3 novembre 2026, https://www.trmlabs.com/resources/blog/north-korea-steals-usd-6-36-billion-from-binance-in-the-largest-hack-in-history

Cadre théorique

James Reason, « Human error: models and management », BMJ, vol. 320, n° 7237, 18 mars 2000, p. 768-770, https://pmc.ncbi.nlm.nih.gov/articles/PMC1117770/

Parallèle historique et précédent

Federal Bureau of Investigation / IC3, « North Korea Responsible for $1.5 Billion Bybit Hack », avis I-022625-PSA, 26 février 2025, https://www.ic3.gov/psa/2025/psa250226

Safe{Wallet} (compte officiel X), « Safe{Wallet} Statement on Targeted Attack on Bybit », 26 février 2025, https://x.com/safe/status/1894768522720350673

Bybit, « Bybit Confirms Security Integrity Amid Safe{Wallet} Incident », 26 février 2025, https://www.bybit.com/en/press/post/bybit-confirms-security-integrity-amid-safe-wallet-incident-no-compromise-in-infrastructure-blt9986889e919da8d2

Eric Lam, Bloomberg, « Hackers Steal $40 Million Worth of Bitcoin From Binance Exchange », 8 mai 2019, https://www.bloomberg.com/news/articles/2019-05-08/crypto-exchange-giant-binance-reports-a-hack-of-7-000-bitcoin

Zack Whittaker et Catherine Shu, TechCrunch, « Binance says more than $40 million in bitcoin stolen in 'large scale' hack », 7 mai 2019, https://techcrunch.com/2019/05/07/binance-breach/