Piratage de Binance : qui a volé 6,3 milliards de dollars ? La piste nord-coréenne se précise

Qui se cache derrière le piratage géant de Binance ? Depuis le 29 octobre 2026, les enquêteurs suivent la trace de plusieurs milliards de dollars de cryptomonnaies détournées de portefeuilles de la plateforme. Un nom revient avec insistance : TraderTraitor, un groupe de pirates informatiques lié à la Corée du Nord. La société américaine TRM Labs l’accuse avec un degré de confiance élevé. D’autres spécialistes de la blockchain, dont Elliptic et Chainalysis, ont révélé des indices convergents. Pourtant, Binance n’a pas officiellement identifié les auteurs et aucune confirmation publique définitive des autorités judiciaires concernant ce vol précis n’a encore été annoncée.

Ce qui est établi est déjà spectaculaire. Binance évalue l’impact de l’incident à environ 6,3 milliards de dollars et indique avoir obtenu le gel d’environ 3 milliards de dollars d’actifs avec l’aide de partenaires. Selon TRM Labs, 6,36 milliards de dollars auraient quitté des portefeuilles associés à la plateforme, l’essentiel en une vingtaine de minutes. Au-delà du montant, une interrogation domine : quels éléments permettent de soupçonner les hackers nord-coréens, et que manque-t-il encore pour les désigner formellement ?

Binance : pourquoi les enquêteurs soupçonnent la Corée du Nord

Le 30 octobre 2026, l’entreprise de renseignement blockchain TRM Labs a publié une enquête attribuant explicitement le piratage à TraderTraitor. Dans son rapport consacré à l’attaque de Binance, TRM explique que cette conclusion repose sur une combinaison d’éléments observables sur les blockchains et de renseignements recueillis en dehors des transactions publiques.

Cette attribution est qualifiée de « haute confiance » par TRM. Ce niveau de certitude est celui de la société d’analyse : il ne constitue ni une inculpation, ni une reconnaissance officielle par Binance, ni une décision de justice. Reuters a confirmé que TRM désignait les hackers nord-coréens comme responsables présumés de l’attaque.

La piste est également examinée par Chainalysis, dont les responsables ont évoqué des liens avec les vols précédemment attribués à TraderTraitor. L’enquêteur indépendant ZachXBT a, lui, repéré un rapprochement entre certains fonds détournés de Binance et ceux d’une précédente attaque contre Bitget. Enfin, Elliptic a confirmé indépendamment un lien observable entre ces flux, tout en rappelant qu’une attribution ne peut pas reposer sur ce seul élément.

En résumé : la piste nord-coréenne repose sur plusieurs indices techniques concordants, mais l’identité des responsables de l’attaque n’est pas encore officiellement établie.

Premier indice : des cryptomonnaies de Binance retrouvent une adresse liée au vol de Bitget

Dans les heures qui ont suivi le vol, l’analyse des transferts a révélé un rapprochement troublant. Selon Elliptic, dans son enquête du 30 octobre, certains actifs issus du piratage de Binance ont été acheminés, après plusieurs opérations de transfert, vers une adresse Ethereum ayant également reçu des fonds associés au piratage de Bitget.

Ce précédent avait eu lieu le 24 septembre 2026. Chainalysis attribue cette attaque, estimée à environ 387 millions de dollars, à des acteurs liés à la Corée du Nord. L’apparition d’une même adresse dans les chaînes de transfert est donc un signal intéressant pour les enquêteurs.

Il existe toutefois une limite importante. Elliptic estime qu’environ 39 000 dollars des fonds associés à Binance et quelque 510 000 dollars liés à Bitget ont rejoint cette adresse partagée lors du suivi considéré. Cela suggère une infrastructure de blanchiment commune, mais ne prouve pas nécessairement que les personnes ayant réalisé les deux intrusions sont identiques. Des réseaux de blanchiment peuvent en effet travailler pour plusieurs groupes.

C’est l’un des indices les plus précis rendus publics, mais ce n’est pas, à lui seul, une preuve définitive de l’identité des pirates.

Deuxième indice : une attaque préparée longtemps à l’avance et exécutée en 20 minutes

Le déroulement de l’opération évoque les méthodes déjà observées dans des piratages très organisés. TRM Labs indique que les préparatifs étaient visibles au moins 36 heures avant les retraits massifs, avec de petits mouvements destinés à approvisionner des portefeuilles de l’attaquant et des tests préalables à l’opération principale.

Le 29 octobre, vers 20 h 05 UTC — soit 21 h 05 à Paris —, une première vague de transferts a touché des portefeuilles sur le réseau XRP Ledger. Les mouvements se sont ensuite enchaînés sur d’autres blockchains, notamment Ethereum, Bitcoin, Solana et Tron. Selon TRM, l’essentiel des 6,36 milliards de dollars s’est déplacé en une vingtaine de minutes. Une autre série de transactions a été observée plus tard.

Cette coordination est particulièrement notable car les systèmes de signature diffèrent d’une blockchain à l’autre. Pour les spécialistes, la capacité à provoquer des retraits sur plusieurs réseaux presque simultanément évoque une préparation technique poussée, au-delà d’un simple vol opportuniste de mot de passe.

Les experts relèvent aussi des ressemblances avec le piratage de Bybit de février 2025, notamment la préparation des opérations et l’utilisation de mécanismes permettant de faire accepter des transactions malveillantes. Ces similitudes renforcent la piste TraderTraitor sans la prouver à elles seules : des techniques peuvent être réutilisées ou imitées par d’autres acteurs.

Qui est TraderTraitor, le groupe de hackers nord-coréens déjà accusé du piratage de Bybit ?

TraderTraitor est le nom donné par les autorités américaines à certaines activités de cybercriminalité associées à la République populaire démocratique de Corée. Selon les enquêtes et les nomenclatures des entreprises de cybersécurité, ses opérations peuvent également être rapprochées de groupes ou campagnes associés à Lazarus, sans que tous ces noms soient parfaitement interchangeables.

Ce groupe ne se limite pas à la recherche de vulnérabilités informatiques. Les autorités ont documenté des campagnes de manipulation d’employés, de faux recrutements et de compromission de postes de travail afin d’atteindre des systèmes financiers sensibles.

Deux précédents particulièrement importants sont confirmés par le FBI :

• Mai 2024 — DMM Bitcoin : le FBI et les autorités japonaises ont attribué à TraderTraitor le détournement d’environ 308 millions de dollars de cryptomonnaies. L’enquête a décrit la compromission d’un employé d’un fournisseur de services de portefeuilles après un faux exercice de recrutement.
• Février 2025 — Bybit : le FBI a officiellement attribué à la Corée du Nord le vol d’environ 1,5 milliard de dollars sur cette plateforme, en associant cette campagne à TraderTraitor.

Ces deux attributions sont étayées par des communications officielles du FBI. En revanche, l’affaire Binance d’octobre 2026 n’a pas encore fait l’objet, au moment de la rédaction, d’une annonce équivalente établissant officiellement l’identité des auteurs.

Sources : FBI — DMM Bitcoin et TraderTraitor, 23 décembre 2024 ; FBI — attribution du vol Bybit, 26 février 2025.

L’ordinateur d’un ingénieur Binance au cœur de l’enquête, mais plusieurs failles sont désormais suspectées

Dans sa communication du 30 octobre, Binance a d’abord évoqué un ordinateur portable compromis appartenant à un ingénieur DevOps. Cet accès aurait permis d’atteindre un conteneur de service et de transmettre des instructions de retrait non autorisées.

Mais l’explication s’est enrichie au cours de la journée. Binance a ensuite annoncé la découverte de points de compromission supplémentaires et décrit l’intrusion comme une attaque complexe. Il serait donc trompeur de présenter le PC d’un seul employé comme la cause unique, définitivement établie, du détournement.

L’entreprise précise n’avoir trouvé aucune preuve d’une fuite des clés privées de ses portefeuilles. Cela n’exclut pas un détournement des mécanismes par lesquels les systèmes de la plateforme autorisent et signent des transactions. Des sociétés d’analyse, dont TRM et Elliptic, estiment que les indices publics sont compatibles avec une compromission des infrastructures de validation et de signature.

Ces observations doivent être distinguées du rapport technique définitif promis par Binance, qui reste à publier. Elles ne permettent pas non plus d’affirmer que l’ingénieur concerné aurait agi volontairement. Aucun élément public fiable ne justifie de le désigner comme complice.

Sur SpaceXFrance, un article complémentaire détaille le scénario de l’ordinateur DevOps compromis et les questions techniques qu’il soulève.

Comment les enquêteurs ont-ils retrouvé la trace des milliards volés ?

Les transactions réalisées sur des blockchains publiques sont enregistrées dans des registres consultables. Cela permet aux entreprises spécialisées de suivre les mouvements d’actifs de portefeuille en portefeuille, de repérer des schémas de circulation et de rapprocher certaines adresses d’incidents déjà documentés.

Dans l’enquête Binance, les spécialistes analysent notamment des transferts entre différentes blockchains, des échanges de jetons et les mouvements vers des services susceptibles de compliquer la traçabilité. Les actifs volés ne sont toutefois pas tous aussi faciles à immobiliser.

Les émetteurs de certains stablecoins peuvent bloquer les jetons sur des adresses identifiées. À l’inverse, il n’existe pas d’émetteur central capable de geler directement un bitcoin ou un ether natif dans une adresse privée. C’est pourquoi les investigations portent simultanément sur le suivi des fonds, les possibilités de gel et les endroits où les détenteurs pourraient tenter de les convertir.

La principale difficulté de l’attribution reste le passage des adresses blockchain à de véritables individus ou organisations. Une adresse peut être associée à des opérations antérieures sans dévoiler automatiquement le nom de celui qui la contrôle. Les informations de comptes, les infrastructures de réseau, les enquêtes judiciaires et les renseignements non publics peuvent aider à compléter l’analyse.

6,3 milliards chez Binance, 6,36 milliards selon TRM et 6,43 milliards selon Elliptic : pourquoi ces écarts ?

Les différentes sources ne donnent pas exactement le même montant :

Source	Évaluation	Portée du chiffre
Binance	Environ 6,3 Md$	Impact global estimé dans sa communication officielle
TRM Labs	Environ 6,36 Md$	Valeur des mouvements attribués à l’attaquant au moment des transferts
Elliptic	Environ 6,43 Md$	Somme estimée des actifs détournés selon son propre périmètre de suivi

Ces chiffres ne doivent pas être additionnés. Ils désignent le même incident, mais les entreprises peuvent utiliser des périmètres différents, des cotations à des instants distincts ou des méthodes de classement différentes. TRM suit les transferts de portefeuilles Binance sur dix blockchains ; Elliptic présente un périmètre d’onze blockchains, ce qui aide à comprendre les écarts.

Ces montants indiquent une opération d’une ampleur exceptionnelle. Pour mesurer son impact financier définitif, il faudra toutefois distinguer les actifs détournés, ceux qui ont été immobilisés et les montants effectivement récupérés.

Près de 3 milliards de dollars gelés : où est passé le reste ?

Binance indique avoir obtenu, avec ses partenaires, le gel d’environ 3 milliards de dollars d’actifs associés à l’incident. La société promet de couvrir toutes les pertes de ses utilisateurs à l’aide de son fonds de protection SAFU et de ses ressources propres.

À titre de comparaison, Elliptic a vérifié environ 2,84 milliards de dollars immobilisés lors de son point de situation du 30 octobre à 8 h UTC. Les différences entre ces relevés peuvent tenir au moment de l’observation ou aux catégories d’actifs comptabilisées.

Une partie des fonds a été déplacée ou convertie en bitcoin, ether et autres actifs qui ne peuvent pas être gelés directement par un émetteur de stablecoin. Leur circulation peut toujours être suivie sur les registres publics, mais le fait de les identifier ne suffit pas à les saisir.

Un gel n’est pas un remboursement. Les actifs immobilisés peuvent nécessiter des procédures techniques et juridiques supplémentaires avant d’être restitués. Quant à la différence entre les 6,3 milliards estimés et les 3 milliards gelés, elle ne permet pas à elle seule de calculer le préjudice irréversible final.

Retrouvez notre article sur le nouveau bilan de 6,3 milliards de dollars et les 3 milliards déjà gelés.

Pourquoi les hackers nord-coréens voleraient-ils autant de cryptomonnaies ?

Les autorités américaines et des enquêtes internationales accusent depuis plusieurs années des réseaux associés à la Corée du Nord d’utiliser la cybercriminalité pour obtenir des ressources financières malgré les sanctions internationales. Certains rapports relient les recettes issues de ces opérations au financement des programmes militaires et balistiques du régime.

Dans son bilan annuel publié fin 2025, Chainalysis estimait que des acteurs liés à la Corée du Nord avaient détourné plus de 2 milliards de dollars de cryptomonnaies en 2025. La même société décrit les faux recrutements, l’ingénierie sociale et l’accès aux processus sensibles comme des méthodes récurrentes dans les attaques visant les entreprises crypto.

Cependant, l’hypothèse selon laquelle les fonds de Binance seraient destinés aux programmes militaires nord-coréens n’est pas démontrée pour cette affaire précise. Elle s’inscrit dans un contexte documenté d’activités criminelles attribuées à des acteurs liés au régime, sans permettre de connaître à ce stade la destination finale de l’argent détourné.

Pourquoi la piste nord-coréenne n’est-elle pas encore une certitude ?

Malgré la concordance de plusieurs analyses, Elliptic souligne elle-même plusieurs raisons de rester prudent.

• Le lien avec Bitget reste limité : les fonds observés sur une adresse commune représentent une petite fraction de ceux détournés. Le même intermédiaire de blanchiment peut servir plusieurs acteurs.
• Le rythme de conversion est inhabituel : une partie importante des stablecoins est restée immobilisable suffisamment longtemps pour être gelée, alors que les campagnes nord-coréennes documentées cherchent souvent à convertir très rapidement les actifs exposés.
• Les méthodes de blanchiment varient : certaines opérations de conversion et d’emprunt observées ici diffèrent de celles étudiées lors du vol Bybit.
• La cause technique complète est inconnue : l’accès initial à l’infrastructure de Binance et les autres points de compromission ne sont pas encore décrits dans un rapport public définitif.
• L’attribution officielle manque : ni Binance ni les autorités judiciaires n’ont, à ce stade, publiquement confirmé que TraderTraitor avait réalisé ce piratage précis.

En cybersécurité, les analystes distinguent la ressemblance d’un mode opératoire, le partage d’infrastructures criminelles et l’identification des responsables. Les deux premières observations peuvent justifier de fortes suspicions, sans remplacer automatiquement la troisième.

C’est la raison pour laquelle l’expression « la piste nord-coréenne se précise » est aujourd’hui plus rigoureuse que l’affirmation « la Corée du Nord a volé Binance » présentée sans attribution ni réserve.

Quelles preuves permettraient de confirmer l’identité des pirates de Binance ?

Plusieurs éléments pourraient faire évoluer l’enquête : la publication par Binance d’une chronologie technique détaillée, la découverte d’autres intersections entre les adresses de blanchiment, l’identification d’outils ou d’infrastructures déjà utilisés dans des attaques précédentes, et les résultats d’investigations menées par les forces de l’ordre.

Un communiqué d’autorité nationale, une inculpation ou la publication d’éléments techniques indépendamment vérifiables apporteraient un degré de confirmation supérieur aux premières hypothèses privées. L’enquête pourrait aussi révéler la participation de plusieurs acteurs : ceux qui ont pénétré dans les systèmes, ceux qui ont réalisé les retraits et ceux qui se chargent ensuite de blanchir les fonds ne sont pas nécessairement les mêmes personnes.

Dans l’immédiat, Binance a annoncé poursuivre sa collaboration avec les forces de l’ordre et les spécialistes de l’analyse blockchain pour retrouver les avoirs et identifier les responsables. La plateforme doit également publier un rapport technique après la fin des investigations.

Qui est derrière le piratage de Binance ? L’essentiel à retenir

Le 30 octobre 2026, les indices les plus solides rendus publics pointent vers TraderTraitor, un groupe de pirates associé à la Corée du Nord. TRM Labs attribue l’attaque avec une confiance élevée ; Elliptic confirme un lien entre certains flux de Binance et ceux du vol de Bitget, déjà attribué à des acteurs nord-coréens ; et les spécialistes relèvent des similitudes avec le piratage de Bybit en 2025, attribué par le FBI à la Corée du Nord.

Mais ce faisceau d’indices ne remplace pas une confirmation officielle. Binance reconnaît un incident d’environ 6,3 milliards de dollars, évoque un ordinateur d’ingénieur compromis et plusieurs autres points d’accès, tout en indiquant avoir gelé environ 3 milliards de dollars. Le groupe promet de compenser les pertes des utilisateurs. L’identité des auteurs, le mécanisme intégral de l’intrusion et la destination finale des actifs restent à préciser.

FAQ : la Corée du Nord et le piratage de Binance

La Corée du Nord est-elle responsable du piratage de Binance ?

Elle est fortement soupçonnée par plusieurs sociétés spécialisées, dont TRM Labs, qui désigne TraderTraitor. Mais aucune attribution publique définitive des autorités pour cette attaque n’a été identifiée au 30 octobre 2026, et Binance n’a pas officiellement nommé les responsables.

Qui est TraderTraitor ?

C’est un ensemble d’activités cybercriminelles attribuées à des acteurs nord-coréens. Le FBI l’a déjà associé à des vols de cryptomonnaies chez DMM Bitcoin en 2024 et Bybit en 2025.

Pourquoi les enquêteurs parlent-ils de 6,3 milliards de dollars ?

C’est l’impact total estimé par Binance. Des analyses indépendantes évaluent le volume des actifs détournés à environ 6,36 à 6,43 milliards de dollars, selon leur méthode et leur périmètre.

Comment des fonds de Binance ont-ils été reliés à Bitget ?

Des spécialistes ont repéré des transferts issus des deux incidents qui ont rejoint une même adresse Ethereum. Cette convergence suggère un réseau de blanchiment partagé, mais ne prouve pas à elle seule l’identité des auteurs.

Les pirates ont-ils volé des clés privées de Binance ?

Binance indique n’avoir trouvé aucune preuve de fuite de clés privées. L’enquête examine des accès à des services internes et plusieurs points de compromission.

Les 3 milliards de dollars gelés ont-ils déjà été remboursés ?

Pas nécessairement. Gelé signifie que des actifs ont été immobilisés ; leur restitution est une étape distincte. Binance affirme qu’elle couvrira les pertes grâce au fonds SAFU et à ses propres ressources.

Pourquoi les hackers nord-coréens ciblent-ils les plateformes crypto ?

Les autorités américaines décrivent des campagnes de cybercriminalité destinées à générer des ressources pour la Corée du Nord, notamment en contournant les sanctions. La destination finale des fonds de Binance n’est toutefois pas établie.

Sources : documents officiels et enquêtes indépendantes

• Binance, 30 octobre 2026 — communiqué officiel sur l’incident, les 6,3 milliards de dollars, le gel de fonds et l’enquête technique.
• Binance News, 30 octobre 2026 — points de compromission supplémentaires découverts.
• TRM Labs, 29-30 octobre 2026 — attribution à TraderTraitor, traçage des transferts et analyse de l’attaque.
• Elliptic, 30 octobre 2026 — enquête sur les 6,43 milliards, indice lié à Bitget et limites de l’attribution.
• Reuters, 30 octobre 2026 — déclaration de TRM Labs concernant la piste nord-coréenne.
• FBI, 23 décembre 2024 — attribution du piratage de DMM Bitcoin à TraderTraitor.
• FBI, 26 février 2025 — attribution du piratage de Bybit à la Corée du Nord.
• Chainalysis, 1er octobre 2026 — analyse du piratage de Bitget, attribué à des acteurs nord-coréens.
• Chainalysis — historique des détournements de cryptomonnaies attribués à la Corée du Nord.

Article préparé le 30 octobre 2026. L’enquête est en cours ; les montants, les gels et les conclusions d’attribution peuvent évoluer. La piste nord-coréenne est une évaluation d’experts, pas une culpabilité officiellement établie dans ce dossier.