Le 29 octobre 2026, des attaquants ont vidé des portefeuilles de Binance en une vingtaine de minutes. Le rapport préliminaire publié par la plateforme le 3 novembre décrit cinq mois de préparation, deux ingénieurs piégés et des autorisations qu’aucune suspension des retraits ne pouvait couper. Pour un DPO, l’intérêt de l’affaire tient aux postes de travail des ingénieurs et à la façon dont des droits d’accès ordinaires ont fini par ouvrir le coffre.
| 6,34 Md$actifs détournés selon le rapport de Binance | 20 minpour l’essentiel des transferts, sur dix blockchains | 2,85 Md$gelés ou interceptés selon Binance | 5 moisentre la première intrusion et le vol |
La soirée du 29 octobre
Les premiers transferts suspects partent vers 20 h 05, heure UTC. D’après TRM Labs, l’essentiel des fonds quitte les portefeuilles de Binance en une vingtaine de minutes, sur dix blockchains différentes, Ethereum et Bitcoin en tête. La plateforme suspend dépôts et retraits pendant la nuit, puis annonce un impact estimé à environ 6,3 milliards de dollars. Son rapport du 3 novembre retient 6,34 milliards.
Les sociétés d’analyse blockchain arrivent à des montants voisins. Les écarts viennent surtout de la date retenue pour valoriser les actifs. Personne ne conteste l’ordre de grandeur : le précédent record, le piratage de Bybit en février 2025, portait sur environ 1,5 milliard de dollars. Elliptic estime même que l’affaire constitue probablement le plus gros vol connu, toutes catégories confondues, loin devant le milliard de dollars retiré de la Banque centrale d’Irak en 2003.
Montant détourné selon les estimations (en milliards de dollars)
| Binance | 6,34 | |
| TRM Labs | 6,36 | |
| Chainalysis | 6,4 | |
| Elliptic | 6,43 | |
| Gelé (Elliptic) | 2,84 | |
| Bybit 2025 | 1,46 |
Estimations publiées entre le 29 octobre et le 3 novembre 2026. Bybit (février 2025) figure en gris pour comparaison.
Qui est derrière l’attaque ?
TRM Labs a été la première à désigner un responsable : TraderTraitor, une unité nord-coréenne spécialisée dans le vol de cryptoactifs, que la firme rattache au groupe Lazarus. Elle dit fonder son jugement sur des renseignements recueillis sur la blockchain et en dehors, et relève des points communs avec Bybit et avec le piratage de KelpDAO en avril 2026 : des retraits modestes depuis Tornado Cash pour alimenter un portefeuille opérateur, une mise en place commencée au moins 36 heures avant le vol, des signatures obtenues à l’avance puis exécutées d’un seul coup.
Chainalysis s’est rangée à la même conclusion. Elliptic juge l’hypothèse probable et en signale les limites : le lien avec un autre vol récent repose sur une adresse commune par laquelle n’ont transité qu’environ 39 000 dollars issus de Binance, ce qui prouve un réseau de blanchiment partagé plus qu’un auteur unique.
Le 31 octobre, le FBI a publié une alerte qui attribue l’opération à la Corée du Nord, sous le nom TraderTraitor. Avec le Secret Service et la division d’enquêtes criminelles du fisc américain (IRS-CI), le bureau dit observer la conversion des fonds, principalement en ether, et demande aux opérateurs de nœuds, services DeFi et plateformes d’échange de bloquer les adresses qu’il publie.
Cinq mois de préparation, étape par étape
Le rapport de Binance décrit une progression lente, poste par poste. Cliquez sur chaque date pour dérouler la chaîne d’attaque.
Juin 2026 · Un installateur piégé
Un ingénieur DevOps chargé des portefeuilles cherche à installer un outil de programmation assisté par IA. Via une campagne publicitaire, il télécharge un installateur Homebrew modifié. Binance détecte le logiciel et le supprime de sa machine. Les attaquants ont eu le temps d’apprendre son rôle et d’identifier d’autres personnes qui gèrent les portefeuilles.
Septembre 2026 · Le faux recrutement
Un deuxième ingénieur, dont le profil sur une plateforme d’emploi légitime mentionne son expérience chez Binance, est contacté par un prétendu directeur de projet. Un second entretien, sur une messagerie, se tient avec le soi-disant PDG d’une entreprise fictive. Il se conclut par un exercice : un dépôt de code à installer sur son ordinateur de travail. Le code est malveillant.
20 octobre 2026 · Le rebond par l’IA interne
Depuis le poste compromis en septembre, les attaquants utilisent un outil d’IA interne pour prendre la main sur les ordinateurs de deux ingénieurs portefeuilles, dont celui de juin. Sur l’un d’eux se trouve un jeton autorisant le déploiement de conteneurs.
29 octobre 2026 · Le passage à l’acte
Avec les identifiants volés, ils déploient un conteneur, lancent un script malveillant et atteignent le service de signature des portefeuilles chauds. Ils s’en servent pour activer une délégation EIP-7702 au profit d’un contrat qu’ils contrôlent. Les fonds commencent à sortir à 20 h 05 UTC ; l’essentiel part en une vingtaine de minutes, sur dix blockchains.
30 octobre 2026 · Quatre heures pour confiner
Binance suspend dépôts et retraits, mais la délégation inscrite sur la blockchain échappe à son circuit de retrait. Avec des portefeuilles en calcul multipartite, aucune clé isolée ne peut la révoquer. Le confinement n’aboutit qu’à 0 h 10 UTC. Environ 3 milliards de dollars sont gelés avec l’aide des émetteurs de stablecoins.
31 octobre 2026 · L’alerte du FBI
Le FBI attribue l’opération à la Corée du Nord sous le nom TraderTraitor, observe la conversion des fonds en ether et publie des adresses à bloquer. Binance annonce avoir reconstitué l’essentiel des actifs avec ses fonds propres.
3 novembre 2026 · Le rapport préliminaire
Binance publie un premier récit de l’attaque, rédigé par ses équipes. La revue indépendante annoncée n’a pas encore été rendue et certains détails techniques resteront confidentiels.
Le 27 octobre, deux jours avant le vol, Binance annonçait avoir bloqué pendant une semaine des tentatives liées à la campagne « Contagious Interview », une série de faux recrutements attribuée à la Corée du Nord, sans aucune perte. L’intrus de septembre était pourtant déjà installé. Bloquer les attaques que l’on voit ne renseigne pas sur celle qui a réussi un mois plus tôt.
Le faux recrutement, une porte parmi d’autres
L’histoire de l’entretien d’embauche a fait les gros titres, et on comprend pourquoi. Un développeur reçoit une proposition crédible, sur une vraie plateforme, de la part d’une personne qui connaît son parcours. Après deux échanges, on lui demande de faire tourner un projet de test. Dans le métier, la démarche paraît banale. Elle revient pourtant à exécuter sur son poste un programme écrit par un inconnu. Quand ce poste donne accès à l’infrastructure de l’entreprise, le candidat ouvre la porte à l’attaquant sans le savoir.
La première intrusion date pourtant de juin, et elle ne doit rien à un recruteur : un ingénieur cherchait un outil d’IA pour coder et a téléchargé, via une publicité, un installateur modifié. Binance l’a repéré et retiré. Entre-temps, les attaquants avaient appris le rôle de cet ingénieur et identifié d’autres personnes qui gèrent les portefeuilles.
Réduire l’incident à l’imprudence d’un salarié passerait à côté du problème. Richard Teng, co-PDG de Binance, l’a dit dès le 30 octobre : l’attaquant ne s’est pas contenté des droits d’un ingénieur, l’opération n’a rien eu d’une action en un clic, et l’enquête n’impute la responsabilité à aucune personne. La question porte sur ce qu’un poste compromis permettait d’atteindre.
L’outil d’IA interne, un relais
Le 20 octobre, depuis le poste infecté en septembre, les attaquants se servent d’un outil d’intelligence artificielle interne à Binance pour prendre la main sur les ordinateurs de deux ingénieurs portefeuilles. Sur l’un d’eux, ils trouvent un jeton qui autorise le déploiement de conteneurs.
Le rapport n’explique pas comment l’assistant a servi de relais, et Binance indique que certains détails techniques resteront confidentiels. Rien ne montre que l’IA ait agi de façon autonome ni qu’une faille du modèle soit en cause. Les éléments publiés décrivent un outil légitime, détourné par quelqu’un qui contrôlait déjà un poste de l’entreprise. Un assistant branché sur les ressources de l’entreprise hérite des droits qu’on lui accorde ; il mérite la même surveillance qu’un compte d’administration.
EIP-7702 : pourquoi couper les retraits ne suffisait pas
Le 29 octobre, les identifiants volés permettent de déployer un conteneur, d’exécuter un script et d’atteindre le service qui signe les opérations des portefeuilles chauds de la plateforme. Les attaquants l’utilisent pour activer une délégation EIP-7702.
Ce mécanisme, arrivé sur Ethereum avec la mise à jour de mai 2025, permet à un compte classique de déléguer des droits d’exécution à un contrat intelligent sans révéler sa clé privée. Ici, un contrat contrôlé par les attaquants a obtenu un contrôle partiel d’un portefeuille chaud. Une fois signée, la délégation est inscrite sur la blockchain. Binance écrit que ces permissions fonctionnaient en dehors de son circuit normal de retrait : suspendre les retraits dans ses propres systèmes ne les supprimait pas.
Restait à révoquer l’autorisation. Les portefeuilles chauds de Binance reposent sur le calcul multipartite (MPC), qui répartit la signature entre plusieurs parties ; aucune clé ne pouvait à elle seule annuler la délégation. Le confinement n’a abouti qu’à 0 h 10 UTC le 30 octobre, un peu plus de quatre heures après les premiers transferts. Binance précise n’avoir trouvé aucune trace de fuite de clés privées.
Dans un système d’information classique, les équivalents s’appellent jetons OAuth, clés d’API, règles de transfert de messagerie, tâches planifiées ou comptes de service. Désactiver un compte humain ne les éteint pas toujours.
Gel des fonds et prise en charge des pertes
Dès le 30 octobre, Binance annonçait environ 3 milliards de dollars gelés avec ses partenaires. Tether a bloqué plus de 1,5 milliard en USDT, Circle plus de 800 millions en USDC. Elliptic a vérifié 2,84 milliards gelés ou saisis sur la blockchain, soit 44 % du total, dont 94 % en stablecoins. Le rapport de Binance retient 2,85 milliards gelés ou interceptés. Ces fonds ne sont pas encore revenus à la plateforme.
Une bonne partie du reste a été convertie vers des actifs qu’aucun émetteur ne peut geler. Binance a mis de côté plus de 6,34 milliards de dollars de fonds propres, dont 5 milliards déjà détenus dans les jetons concernés, et affirme que les clients ne perdront rien. Les retraits ont repris progressivement. La plateforme paie donc de sa poche, en attendant d’éventuelles restitutions des fonds gelés.
Ce que les organisations peuvent en retenir
Inutile de gérer des cryptoactifs pour se sentir concerné. La chaîne d’attaque passe par des objets que toute entreprise possède : des postes de développeurs, des profils publics de salariés, des jetons d’accès, un assistant interne.
Isoler le code reçu de l’extérieur
Un exercice de recrutement, un projet de démonstration ou un outil trouvé via une publicité ne s’exécute pas sur un poste qui a accès à la production. Une machine virtuelle ou un poste dédié coûte peu.
Réserver les droits critiques
Les droits de déploiement et d’administration se demandent pour une tâche et une durée. Un jeton de déploiement qui dort sur un portable est un objectif tout trouvé.
Cloisonner
La compromission d’un poste ne devrait jamais suffire à atteindre la signature d’opérations ou les données les plus sensibles. Les actions critiques gagnent à exiger plusieurs validations, sur des canaux séparés.
Gouverner les assistants d’IA
Un outil d’IA interne entre dans la revue des accès, les journaux et les alertes. Il doit aussi apparaître dans l’inventaire des systèmes d’IA de l’organisation.
Préparer la révocation
La procédure d’incident doit lister comptes, appareils, sessions, jetons, automatisations et autorisations persistantes, avec la personne capable de couper chacun d’eux en pleine nuit.
Former sans culpabiliser
Les faux recrutements exploitent des situations de travail ordinaires. Un salarié qui signale vite une approche douteuse rend plus de services qu’un salarié qui se tait par peur d’être blâmé.
Autodiagnostic : votre organisation résisterait-elle à ce scénario ?
Comptez les affirmations vraies chez vous, puis ouvrez le résultat.
- Les postes qui détiennent des droits d’administration ou de déploiement servent uniquement à cet usage.
- Les salariés savent qu’aucun code reçu d’un tiers (exercice de recrutement, démonstration, outil téléchargé) ne s’exécute sur un poste professionnel.
- Les jetons d’accès et de déploiement ont une durée de vie courte et ne restent pas stockés sur les postes.
- Les droits des comptes techniques et des outils d’IA internes sont revus à intervalle régulier.
- Les outils d’IA internes figurent dans l’inventaire des systèmes d’IA et leurs actions sont journalisées.
- Une opération critique exige la validation de plusieurs personnes, sur des canaux distincts.
- La procédure d’incident prévoit la révocation des sessions, jetons, automatisations et autorisations persistantes.
- Le DPO est prévenu dès la détection d’un incident, sans attendre la fin de l’enquête technique.
- Toutes les violations de données, même non notifiées, sont consignées dans un registre interne.
- Un salarié peut signaler une approche suspecte simplement, sans crainte d’être blâmé.
Voir l’interprétation de votre score
0 à 4 : un scénario comparable aurait de bonnes chances d’aboutir chez vous. Priorité aux droits d’accès, au cloisonnement des postes sensibles et à la procédure d’incident.
5 à 7 : des bases solides, avec des angles morts. Vérifiez en particulier la révocation des autorisations persistantes et la gouvernance des outils d’IA internes.
8 à 9 : un bon niveau de maturité. Un exercice de crise sur ce scénario dira si les procédures tiennent à 2 heures du matin.
10 : reste à le prouver par un exercice et des revues documentées, sur pièces.
Le DPO dans la boucle
Les informations publiées sur Binance concernent des actifs et des accès. Elles ne permettent pas d’affirmer qu’une violation de données personnelles a eu lieu, ni qu’une notification au titre du RGPD était due. Transposé dans une organisation européenne, le même scénario poserait pourtant la question très vite.
Un poste de travail compromis contient rarement zéro donnée personnelle : messagerie, carnet d’adresses, documents RH, extractions clients, sessions ouvertes sur des applications métier. Le RGPD définit la violation de données comme une atteinte à la sécurité qui entraîne, de façon accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données ou l’accès non autorisé à celles-ci (article 4, point 12). Un attaquant qui prend la main sur l’ordinateur d’un ingénieur pendant des semaines y a eu accès, sauf preuve contraire tirée des journaux.
Plusieurs horloges peuvent tourner en même temps
Au titre du RGPD, le responsable du traitement notifie la violation à la CNIL dans les 72 heures après en avoir pris connaissance, sauf si elle ne présente probablement aucun risque pour les personnes (article 33). Le délai court à partir de la prise de connaissance et non de la fin de l’enquête ; la notification peut se faire par étapes. Quand le risque est élevé, les personnes concernées doivent aussi être informées (article 34). Toute violation, notifiée ou non, est documentée en interne (article 33, paragraphe 5).
Une entité soumise à la directive NIS2 adresse en parallèle une alerte précoce à l’autorité compétente dans les 24 heures suivant la prise de connaissance d’un incident important, une notification dans les 72 heures, puis un rapport final sous un mois. Pour les entités financières, prestataires de services sur cryptoactifs agréés au titre de MiCA compris, le règlement DORA impose une notification initiale des incidents majeurs liés aux technologies de l’information dans les 4 heures suivant leur classification, et au plus tard 24 heures après leur détection. Les trois régimes n’ont ni les mêmes destinataires ni les mêmes critères : mieux vaut les avoir alignés dans une seule procédure avant l’incident.
Les questions à poser dès la détection
Quelles données personnelles étaient accessibles depuis les comptes et postes compromis ? Ont-elles été consultées, copiées, modifiées, supprimées ou rendues indisponibles ? Les journaux permettent-ils de l’exclure ? Quels risques en découlent pour les personnes ? Le DPO n’a pas à attendre que l’équipe sécurité ait tout compris pour ouvrir le dossier ; son rôle est d’aider le responsable du traitement à documenter l’analyse et à tenir les délais.
Faut-il notifier ? Un premier repère
Ouvrez la réponse qui correspond à votre situation. Outil indicatif, qui ne remplace pas l’appréciation au cas par cas avec votre DPO.
Des données personnelles étaient-elles accessibles depuis les comptes, postes ou services compromis ?
Non, aucune
Pas de violation de données personnelles. Consignez quand même l’analyse et ses éléments de preuve. Les obligations propres à NIS2 ou à DORA peuvent s’appliquer indépendamment du RGPD.
Oui, ou je ne sais pas encore
Peut-on exclure, preuves à l’appui (journaux, analyse forensique), tout accès, copie, modification ou perte de ces données ?
Oui, c’est exclu
Incident de sécurité sans violation avérée. Conservez les journaux et l’analyse qui permettent d’exclure tout accès aux données. Une découverte ultérieure ferait courir le délai de 72 heures à partir de ce moment.
Non, ou pas encore
Quel niveau de risque pour les personnes concernées ?
Risque improbable
Violation à inscrire au registre interne (article 33, paragraphe 5). Pas de notification à la CNIL, à condition de motiver ce choix par écrit.
Risque réel
Notification à la CNIL dans les 72 heures après la prise de connaissance (article 33), éventuellement en plusieurs temps si l’enquête se poursuit. Inscription au registre des violations.
Risque élevé
Notification à la CNIL dans les 72 heures et information des personnes concernées dans les meilleurs délais (articles 33 et 34), avec des conseils concrets pour se protéger. Inscription au registre des violations.
Questions fréquentes
Les clients de Binance ont-ils perdu de l’argent ?
Binance affirme que non : elle a réservé plus de 6,34 milliards de dollars de fonds propres pour couvrir les pertes et a rouvert les retraits par étapes. Les fonds volés n’ont été que partiellement gelés, et la plateforme supporte la différence.
Qu’est-ce que TraderTraitor ?
Le nom donné par les autorités américaines à une activité de piratage nord-coréenne tournée vers le secteur des cryptoactifs. Le FBI l’avait déjà mise en cause pour le vol de 1,5 milliard de dollars chez Bybit en février 2025. L’agence américaine de cybersécurité (CISA) signale qu’elle cible les entreprises du secteur depuis 2020, souvent par des approches de recrutement.
EIP-7702 est-il une faille d’Ethereum ?
Non. EIP-7702 est une fonctionnalité prévue pour permettre à un compte de déléguer son exécution à un contrat intelligent. Le problème vient de la signature obtenue par les attaquants via le service compromis : la délégation, une fois inscrite sur la blockchain, a continué de produire ses effets après la suspension des retraits.
Une notification RGPD était-elle nécessaire dans l’affaire Binance ?
Les éléments publics ne permettent pas de le dire. Ils décrivent un vol d’actifs et la compromission de postes et de services internes, sans préciser quelles données personnelles étaient accessibles. Dans une organisation européenne, la compromission prolongée de postes de salariés obligerait au minimum à analyser et documenter l’incident au titre de l’article 33 du RGPD.
Le rapport de Binance est-il définitif ?
Non. Il s’agit d’un rapport préliminaire rédigé par Binance elle-même. La revue indépendante annoncée n’a pas encore été rendue, et certains détails techniques ne seront pas publiés. Les montants et la chronologie peuvent encore évoluer ; cet article sera mis à jour.
Sources
- FBI, North Korea Responsible for $6 Billion+ Binance Attack (alerte, 31 octobre 2026)
- Elliptic, analyse du vol chez Binance (30 octobre 2026, mises à jour)
- CoinDesk, Binance’s $6.3 billion hack began with a fake job interview (3 novembre 2026)
- Bitcoin Magazine, Binance Says $6.34B Hack Began With Fake Job Interview (3 novembre 2026)
- Fortune, North Korea used LinkedIn, fake job interviews to trick Binance engineer (3 novembre 2026)
- Bloomberg, Binance Hackers Used Fake Job Interviews in Record Heist (3 novembre 2026)
- SecurityOnline, Binance Hack Report Details Fake Job Interview, AI Tool Abuse and EIP-7702 Wallet Drain (3 novembre 2026)