Le 29 octobre 2026, Binance a perdu environ 6,3 milliards de dollars en une vingtaine de minutes. La première plateforme d’échange de cryptomonnaies au monde s’est fait vider une partie de ses portefeuilles après la compromission de l’ordinateur portable d’un ingénieur. Dans les semaines qui viennent, ses clients vont recevoir de faux messages bâtis sur l’affaire, et certains les liront sur un téléphone ou une messagerie professionnels.
Ce que l’on sait du piratage
D’après les premiers éléments publiés par Binance, l’attaquant est passé par le poste d’un ingénieur pour atteindre un conteneur de service, d’où il a lancé des ordres de retrait. TRM et Elliptic, deux sociétés d’analyse des blockchains, désignent des pirates nord-coréens. Près de 2,7 milliards de dollars ont pu être gelés avec l’aide de partenaires.
Dépôts et retraits ont été coupés le soir même. Les dépôts fonctionnent de nouveau depuis le 30 octobre et Binance parle d’une reprise progressive des retraits sous 48 heures. Aucune fuite de données personnelles n’a été annoncée pour l’instant ; la société assure que les fonds de ses clients sont couverts.
Pourquoi l’hameçonnage va suivre
Binance a pris les devants dès sa première déclaration, en demandant à ses utilisateurs de se méfier des liens, des messages et des demandes d’informations de compte qui ne passent pas par ses canaux officiels. Elle a de bonnes raisons de le faire. En février 2025, quelques jours après le piratage de Bybit, des clients de Binance avaient reçu des SMS leur annonçant une connexion à leur compte depuis la Corée du Nord, avec un numéro de « support » à rappeler. Une victime a raconté avoir composé ce numéro sans réfléchir, épuisée par plusieurs jours passés à suivre l’affaire Bybit.
Cette fois, les retraits sont restés bloqués pendant deux jours et toute la presse parle d’une attaque nord-coréenne. Je m’attends à voir circuler des messages du genre « votre compte fait partie des comptes touchés, confirmez votre identité pour être remboursé ». Ils trouveront preneur.
Les fraudeurs ont en plus des listes à exploiter. En mars 2026, le service de veille VECERT a signalé la mise en vente d’une base présentée comme celle de 1,5 million d’utilisateurs de Binance, avec noms, adresses électroniques, numéros de téléphone et statut de vérification d’identité. Les données auraient été récupérées par bourrage d’identifiants et aspiration de pages, sans intrusion dans les serveurs de la plateforme. Binance avait déjà mis en garde contre de faux conseillers sur WhatsApp, avec des tentatives repérées en France et en Italie.
À quoi ressembleront les messages
Les campagnes précédentes suivent souvent le même scénario. Un SMS ou un courriel signé « Binance Security » signale une connexion suspecte et renvoie vers une fausse page de connexion. D’autres fraudeurs se présentent comme conseillers sur WhatsApp ou Telegram, ou glissent un QR code censé « sécuriser » le compte. Après un piratage de cette ampleur, la promesse d’un remboursement fera sans doute l’appât le plus efficace.
Binance précise que son support n’engage jamais de démarche par messagerie instantanée sans ticket ouvert par le client. Le plus sûr reste d’ouvrir l’application ou de taper l’adresse du site soi-même, sans suivre de lien reçu, et de ne communiquer à personne un code de double authentification. Un SMS douteux peut être transféré gratuitement au 33700.
Et les établissements de santé dans tout ça ?
Un SPST, un hôpital ou un EHPAD ne détient pas de cryptomonnaies, mais une partie de ses salariés en possède. Le faux message tombe sur le téléphone professionnel ou dans la messagerie du service, et un clic depuis un poste de travail suffit parfois à installer un logiciel espion ou à livrer un mot de passe utilisé ailleurs.
L’affaire Binance montre jusqu’où peut mener un seul ordinateur portable. TechCrunch relève que ce genre d’intrusion part souvent d’un logiciel piégé installé sur le poste d’un salarié. Dans un service de santé au travail, le poste d’un administrateur système ou du prestataire infogérant ouvre la porte aux dossiers médicaux en santé au travail de milliers de salariés suivis.
Côté RGPD, le responsable de traitement doit assurer une sécurité adaptée au risque (article 32). Si un clic débouche sur un accès non autorisé à des données personnelles, il faut documenter la violation, la notifier à la CNIL sous 72 heures lorsqu’elle présente un risque pour les personnes (article 33), puis informer les personnes concernées si ce risque est élevé (article 34). Avec des données de santé, l’analyse aboutit le plus souvent à un risque élevé.
Ce que le DPO peut faire cette semaine
Une alerte courte aux équipes, envoyée maintenant, couvre l’essentiel : l’affaire Binance sert d’appât, et aucun service officiel ne réclame un code par SMS ou par WhatsApp. Profitez-en pour rappeler à qui transférer un message suspect, et dans quel délai.
Avec la DSI, le sujet à regarder concerne les comptes à privilèges : authentification forte, et aucune navigation personnelle depuis les postes d’administration. Gardez aussi une trace de l’alerte dans votre documentation de sensibilisation, car elle servira lors d’un contrôle ou d’une démarche de certification.
Ces messages arriveront chez vous aussi. Mieux vaut que vos équipes en aient entendu parler avant.
