6,3 milliards de dollars : le FBI détaille le piratage de Binance

Le FBI nomme TraderTraitor

Samedi 31 octobre, deux jours après l'attaque, le FBI a publié un avis officiel attribuant le piratage de Binance à la Corée du Nord, rapporte 01net. La police fédérale désigne TraderTraitor, une unité de pirates au service de Pyongyang rattachée à la constellation Lazarus.

Dans son communiqué, le bureau fédéral écrit que la République populaire démocratique de Corée est responsable du vol de plus de 6 milliards de dollars d'actifs virtuels sur la plateforme, aux alentours du 29 octobre 2026. L'avis a été produit avec l'US Secret Service et l'IRS Criminal Investigation.

FBI Accuses North Korea of ​​Stealing Over $6 Billion from Binance. The North Korean hacker group "TraderTraitor" is behind the attack on the crypto exchange, the FBI stated.

Voir sur X

Le FBI indique avoir observé la conversion des actifs dérobés, principalement en ether. Les fonds doivent ensuite être blanchis via des services DeFi et des plateformes d'échange instantané, qui convertissent une cryptomonnaie en une autre sans intermédiaire bancaire.

Plusieurs centaines d'adresses à bloquer

Les enquêteurs ont publié la liste des portefeuilles utilisés pour déplacer les fonds : plusieurs centaines d'adresses Ethereum, 19 adresses Bitcoin et une adresse sur la blockchain Solana. Le Monde évoque environ 500 adresses Ethereum dans ce signalement.

Le FBI demande aux plateformes d'échange, aux services de finance décentralisée, aux sociétés d'analyse de la blockchain et aux opérateurs de nœuds THORChain de bloquer toute transaction liée à ces adresses. Environ 2,8 milliards de dollars ont déjà été gelés, selon les travaux de Chainalysis cités par 01net.

La coopération n'est pas acquise. Après le vol de Bybit en 2025, les pirates avaient échangé plus d'un milliard de dollars d'ether contre du bitcoin sur THORChain, et un développeur du projet avait démissionné quand le blocage des transactions avait été envisagé.

Un ordinateur portable comme point d'entrée

Selon 01net, la cyberattaque aurait débuté par la compromission de l'ordinateur portable d'un ingénieur de Binance au moyen d'un logiciel malveillant. Les opérateurs nord-coréens se font régulièrement passer pour des recruteurs, ou se font embaucher dans les entreprises ciblées.

« Le maillon faible d'une cyberattaque reste l'humain, et les attaquants le savent parfaitement », Silviu Stahie, analyste chez Bitdefender.

Le montant représente quatre fois celui siphonné sur Bybit en février 2025, qui constituait jusqu'ici le record. TraderTraitor avait aussi dérobé 292 millions de dollars au protocole KelpDAO quelques mois plus tard, et Chainalysis a constaté que les fonds pris à Binance se sont mélangés à ceux volés à Bitget le mois dernier.

Dès le lendemain de l'attaque, la société TRM Labs attribuait l'opération à TraderTraitor avec une confiance élevée. D'après Chainalysis, les pirates utilisent déjà des milliers d'adresses sur de nombreux réseaux, et pourraient en employer des dizaines de milliers dans les semaines à venir pour brouiller les pistes.

@trmlabs is attributing the record $6.36 billion Binance hack to North Korea's TraderTraitor.

Voir sur X

Retraits rouverts, marché encore secoué

Binance a annoncé dimanche 1er novembre la reprise progressive des retraits, selon Le Monde. La plateforme affirme racheter des actifs équivalents à ceux dérobés et avait indiqué samedi avoir reconstitué 90 % du montant, le solde portant sur des actifs moins liquides.

Le marché, lui, encaisse encore le choc : 1,5 milliard de dollars avaient été liquidés en vingt-quatre heures après la confirmation du vol, et vingt minutes avaient suffi aux pirates pour vider les portefeuilles.

En France, l'ACPR rappelait en octobre 2024 que moins de 3 % des Français déclaraient avoir déjà utilisé des crypto-actifs comme moyen de paiement en 2023. La Banque de France estime à environ 14 millions le nombre d'utilisateurs de crypto-actifs en zone euro.

Ce que ça change pour votre entreprise

Le vecteur initial n'est pas un défaut de chiffrement mais un poste de travail compromis après une manipulation. Pour une TPE ou une PME, cela ramène aux mesures de base : vérifier l'identité des recruteurs et prestataires qui prennent contact, limiter les droits des postes sensibles et exiger une validation hors ligne pour tout mouvement de fonds important.