Une délégation d’autorisation qui contourne les contrôles… et des milliards qui s’envolent. Binance a subi ce scénario la semaine passée. Les grandes lignes en sont désormais connues.

Une fonctionnalité d’Ethereum détournée pour déléguer des droits à un smart contract malveillant L’attaque a compromis un des hot wallets de Binance – c’est-à-dire un portefeuille connecté au réseau pour pouvoir effectuer des transactions, par opposition aux cold wallets conservés hors ligne. Ce wallet a délégué ses droits de gestion et de transfert à un smart contract malveillant. Vecteur : l’EIP-7702, fonctionnalité introduite dans Ethereum en mai 2025.

Avec elle, un portefeuille standard peut signer une autorisation qui pointe vers un contrat, puis en exécuter le code avec ses propres actifs. Parmi ses usages potentiels : Regroupement d’opérations en une seule transaction (exemple : approuver un token puis l’échanger) Paiement des frais de gaz par un tiers Délégation temporaire ou restreinte de droits à des clés secondaires (jeu Web3, bot de trading…) Les autorisations EIP-7702 restent actives jusqu’à révocation explicite par signature vers une adresse vide ou vers un autre contrat. La vulnérabilité que cela suppose est connue.

Une étude présentée au dernier USENIX Security Symposium (août 2026) en a témoigné. Binance nie une fuite de clés, mais admet la compromission d'un laptop Binance affirme que l'autorisation qu'a accordée son hot wallet n'est « pas passée par les contrôles habituels ». On ignore comment elle a pu être signée.

Jusque-là, l'entreprise maintient ne pas avoir de preuve que des clés aient fuité. Elle évoque néanmoins la compromission du laptop d'un employé... en plus d'« autres points d'intrusion ». Une fois qu'il a eu récupéré la signature, l'attaquant l'a soumise au réseau Ethereum depuis une adresse approvisionnée via Tornado Cash.

Trois minutes plus tard, il a enclenché le smart contract, conçu pour transférer l'intégralité des devises du portefeuille. Il était environ 21 heures en France, le 29 octobre. TraiderTraitor ou la piste nord-coréenne Le FBI attribue l'attaque au mode opératoire dit TraderTraitor, étroitement lié au groupe Lazarus et donc à la Corée du Nord.

Il fournit une liste d'environ 600 adresses Ethereum, 20 adresses Bitcoin et une adresse Solana par lesquelles les fonds dérobés ont transité. Il existe effectivement des indices qui invitent à rattacher l'attaque à TraderTraitor. Parmi eux, l'utilisation d'une adresse de transit déjà exploitée fin septembre après le hack de Bitget (388 M$), attribué au même mode opératoire.

Binance active trois leviers pour couvrir les 6,3 Md$ de pertes annoncées Binance s'est engagé à couvrir les pertes sur ses fonds propres. Il a provisionné un peu plus de 6,3 Md$ en mobilisant trois instruments. Son SAFU (Secure Asset Fund for Users), ses Futures Insurance Funds et sa trésorerie.

Le SAFU est une réserve d'urgence financée par des prélèvements sur les frais de transaction. Il a déjà servi, par exemple, à couvrir le vol de 7000 bitcoins en 2019. Le 31 octobre, Binance l'a amputé de la moitié de son solde (7500 bitcoins, soit environ 600 M$).

Il entend en ramener le montant à 1 Md$. Les Futures Insurance Funds constituent une autre réserve de sécurité, dédiée quant à elle au marché des produits dérivés à effet de levier. Ses principaux rôles, dans les grandes lignes : Payer les gagnants au cas où Binance ne parvient pas à récupérer l'argent des perdants Éviter le désendettement automatique (fermeture forcée des positions des traders les plus rentables afin d'équilibrer les comptes) Protéger les perdants d'une dette en absorbant le déficit résiduel Binance estime ne pas avoir, en l'état, à renflouer ces Futures Insurance Funds.

Si c'était nécessaire, il le ferait sur ses fonds propres, comme il l'a fait par le passé. Une preuve cryptographique de couverture Binance a immédiatement annoncé avoir couvert l'équivalent de 5 Md$ de pertes dans les devises concernées. Il a entrepris d'acquérir le reste sur le marché ou de gré à gré.

Une étape susceptible de prendre du temps, a-t-il prévenu, tant en raison de la faible liquidité de certains tokens que du délai de règlement de certaines opérations. Aux dernières nouvelles, l'entreprise est parvenue à couvrir 95 % des pertes annoncées. Pour confirmer ses dires, elle a réalisé, le 31 octobre, un « instantané de preuve de réserves ».

Ce mécanisme utilise une structure en arbres de Merkle couplée à une forme de preuve à divulgation nulle de connaissance. Il permet à chacun de vérifier que les actifs de son compte sont bien comptabilités dans l'instantané. Et que les réserves sont bien couvertes au minimum à 1:1, sans jamais révéler le solde d'un utilisateur en particulier.

La génération cryptographique de la preuve prend toutefois 40 à 50 heures. Binance prévoit un nouveau snapshot le 4 novembre. Les retraits rétablis, Binance voit fuir 2 % de ses actifs sous gestion Suspendus, les retraits ont repris le 1er novembre à 7 heures en France.

La première phase a concerné 15 devises sur autant de blockchains. En 9 heures et demie, Binance a traité 4,649 Md$ de retraits, contre 1,01 Md$ de dépôts. Une sortie nette de 3,64 Md$ qui, tempère-t-il, représente tout juste 2 % de ses actifs totaux sous gestion (171 Md$).

Et d'ajouter que les volumes de retraits se sont vite stabilisés. Ce fut effectivement le cas à partir de la fin de matinée, après un pic entre 8 h 30 et 10 heures. L'impact sur le cours de bitcoin a été relativement modéré (moins de 5 % de baisse).

Changpeng Zhao, cofondateur de Binance, le souligne. L'intéressé donne plusieurs pistes... en jouant notamment la comparaison avec Mt. Gox.

D'une part, il constate que bien plus d'utilisateurs et d'avoirs de la plate-forme avaient été concernés. De l'autre, il note que si en dollars, le hack de Binance est sans précédent, en devises virtuelles, Mt. Gox s'était fait dérober davantage.

En l'occurrence, 650 000 à 850 000 bitcoins - qui valaient, à l'époque, entre 450 et 500 M$. Dans le cas de Binance, on parle d'un mix de cryptomonnaies parmi lesquelles environ 18 270 BTC et 420 000 ETH, assure Changpeng Zhao. Environ 3 milliards $ gelés La perte annoncée ne tient pas compte des avoirs gelés.

Au dernier pointage, il y en a pour plus de 3 Md$. En tête de liste, des stablecoins, plus simples à bloquer que les devises décentralisées. Tether et Circle ont respectivement gelé pour environ 1,57 Md$ et 823 M$ en USDT.

Ripple a bloqué pour 200 M$ en actifs émis (pas en XRP, son token natif, impossible à geler). Entre autres techniques, les pirates sont passés par des plates-formes de prêts. Parmi elles, Aave.

Ils y ont déposé près de 60 millions d'USDT en collatéral et ont emprunté en contrepartie près de 19 800 ETH (44 M$). Les USDT se sont alors retrouvés dans la réserve d'Aave plutôt que sur une adresse que Tether & Cie auraient pu bloquer. Les ETH, en revanche, appartenaient bien aux attaquants, qui ont suivi un schéma similaire sur la plate-forme JustLend.

Aave n'a semble-t-il aucun mécanisme de récupération des ETH en question. Il a pour le moment bloqué les nouveaux dépôts et emprunts. Sa communauté s'accordera peut-être sur une annulation de transactions, à l'instar de ce qui avait été fait en réponse au piratage de The DAO il y a 10 ans.

Illustration générée par IA