Le hack de Binance du 29 octobre 2026 entre dans une nouvelle phase. Les retraits de bitcoins, d’ethers et de plusieurs stablecoins ont recommencé le 1ᵉʳ novembre, mais la réouverture reste progressive selon les réseaux. Binance affirme parallèlement avoir reconstitué environ 95 % des actifs touchés. Ce chiffre demeure une déclaration de l’exchange, tandis que le FBI attribue désormais officiellement le vol de plus de 6 milliards de dollars à l’activité nord-coréenne TraderTraitor. Par son ampleur, l’attaque dépasse à elle seule le bilan des piratages crypto du troisième trimestre 2026.
Le hack de Binance en quatre points
- Retraits par phases : les premières opérations ont repris le 1er novembre après 06 h 00 UTC, sans réouverture simultanée de tous les actifs et réseaux.
- 95 % reconstitués : Binance affirme avoir remplacé cette proportion des actifs affectés, contre 90 % dans sa précédente mise à jour.
- Environ 3 milliards gelés : ces actifs immobilisés ne doivent toujours pas être présentés comme récupérés.
- Attribution officielle : le FBI accuse l’activité nord-coréenne TraderTraitor d’avoir mené le vol.
Quels retraits Binance ont réellement repris ?
Dans sa quatrième mise à jour sur l’incident, publiée le 1er novembre à 04 h 08 UTC, Binance annonçait une première phase entre 06 h 00 et 09 h 00 UTC. Reuters a ensuite constaté la reprise des retraits de bitcoins, d’ethers et de certains stablecoins peu après 06 h 00 UTC.
La phase initiale couvre quinze réseaux, dont Bitcoin, Ethereum, BNB Smart Chain, Tron, Solana, XRP Ledger, Dogecoin, Polygon, Arbitrum, Base, Optimism et Sui. La disponibilité varie toutefois selon le couple actif-réseau. Un USDT peut, par exemple, être ouvert sur un réseau et rester indisponible sur un autre. La liste publiée ne signifie donc pas que tous les retraits Binance sont revenus à la normale.
L’exchange demande de vérifier chaque combinaison sur la page de retrait ou son statut réseau. Il prévient aussi que le trafic peut provoquer des délais temporaires. Aucune heure ferme n’a été communiquée pour les réseaux encore absents.
Que signifie le chiffre de 95 % annoncé par Binance ?
Binance dit avoir reconstitué environ 95 % du montant affecté, contre 90 % la veille. La plateforme affirme que les soldes en BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD et ZEC sont désormais couverts à 100 %. Les 5 % restants correspondent, selon elle, à des tokens moins liquides qu’elle continue d’acquérir sur les marchés publics et de gré à gré.
Il s’agit d’une reconstitution par Binance, pas d’une récupération équivalente auprès des attaquants. Dans sa troisième mise à jour, l’exchange indiquait avoir puisé dans une partie du SAFU, dans son fonds d’assurance pour les contrats à terme et dans sa trésorerie. La plateforme promet d’absorber l’impact financier plutôt que de le transférer aux utilisateurs.
Le pourcentage de 95 % n’a pas été certifié par un auditeur indépendant dans les documents consultés. Il ne prouve ni que 95 % des fonds volés ont été saisis, ni que le coût final est déjà connu.
La Proof of Reserves n’est pas un audit complet.
Binance indique avoir pris un nouvel instantané de sa preuve de réserves le 31 octobre à 00 h 00 UTC et l’avoir ajouté à son site. L’exchange prévoit la preuve cryptographique complète associée à cet instantané d’ici le 3 novembre UTC. Cette échéance est une projection de l’entreprise et devra être recontrôlée.
Une Proof of Reserves peut aider à comparer certains actifs contrôlés par une plateforme avec des soldes clients à une heure précise. Elle ne remplace pas à elle seule un audit financier complet. Elle ne documente pas nécessairement l’ensemble des passifs, des engagements hors bilan, des risques de contrepartie ou des mouvements intervenus après l’instantané.
Les 3 milliards gelés ne sont toujours pas récupérés.
Binance estime qu’environ 3 milliards de dollars d’actifs liés au vol ont été gelés. TRM Labs en comptabilisait environ 2,7 milliards à son heure de coupure, avant de possibles immobilisations supplémentaires. Cette différence de calendrier explique pourquoi les deux montants peuvent coexister sans être additionnés.
Un actif gelé ne peut plus circuler normalement, mais il n’est pas automatiquement revenu sous le contrôle de Binance. La restitution peut dépendre de l’émetteur du token, de la plateforme destinataire, des autorités et de la procédure applicable. Le précédent Bitget et THORChain illustre la complexité de ces coordinations.
Une restitution réduirait la perte nette de Binance. D’ici là, qualifier ces actifs de « récupérés » gonflerait artificiellement le résultat du traçage.
Le FBI attribue officiellement le vol à la Corée du Nord.
Le 31 octobre, le FBI a déclaré que la Corée du Nord était responsable du vol de plus de 6 milliards de dollars survenu autour du 29 octobre. L’agence rattache l’opération à TraderTraitor, le nom qu’elle utilise pour cette activité cybermalveillante nord-coréenne.
Le FBI, le Secret Service et l’IRS-CI disent avoir observé une conversion des actifs volés principalement vers l’ether. Ils demandent aux opérateurs de nœuds, services DeFi, plateformes d’échange et sociétés d’analyse de bloquer les transactions associées aux adresses publiées par l’agence.
Cette déclaration transforme l’attribution privée des analystes en attribution publique par une autorité fédérale. Elle ne constitue toutefois pas un jugement rendu au terme d’une procédure contradictoire.
La cause technique du hack reste à documenter
L’hypothèse initiale de Binance visait l’ordinateur portable compromis d’un ingénieur DevOps, qui aurait permis à l’attaquant d’atteindre un conteneur de service et de soumettre des retraits non autorisés. Cette explication préliminaire ne suffit plus à décrire toute l’enquête.
Dans sa mise à jour du 30 octobre, Binance a indiqué avoir découvert des points de compromission supplémentaires. La chaîne complète entre l’intrusion, les autorisations, les signatures et les contrôles défaillants n’est donc pas encore publique.
L’exchange promet un rapport post-incident. Celui-ci devra expliquer les accès, les validations multiréseaux et les correctifs appliqués. La reprise des services ne remplace pas ce travail de transparence.
Ce que les utilisateurs européens doivent vérifier
Pour un client en France, en Belgique ou en Suisse, la priorité pratique est de vérifier l’actif, le réseau et l’état du service directement dans l’application ou sur le site officiel. Il faut aussi comparer soigneusement l’adresse et le réseau de destination. Un retrait disponible sur Ethereum ne signifie pas que le même token soit ouvert sur Polygon, Tron ou BNB Smart Chain.
Les messages privés promettant un déblocage prioritaire, un remboursement ou une adresse de migration doivent être considérés comme suspects. Binance n’a annoncé aucun canal spécial nécessitant l’envoi préalable de fonds. En cas de délai, la consigne officielle est d’attendre puis de réessayer, pas de passer par un intermédiaire.
Les autorités européennes rappellent que MiCA offre différents mécanismes d’indemnisation que certains produits financiers traditionnels. L’incident peut relancer le débat sur la conservation autonome en Europe. Celle-ci réduit la dépendance à une plateforme, mais transfère à l’utilisateur la responsabilité des clés, des sauvegardes et du choix du bon réseau.
La reprise par phases est une avancée vérifiable. Elle ne clôt ni la reconstitution des 5 % restants, ni la récupération des actifs gelés, ni l’enquête technique. Les prochains jalons seront la réouverture complète des réseaux, la preuve cryptographique annoncée pour le 3 novembre et la publication du post-mortem.
⚠️ Cet article est publié à titre informatif et éducatif uniquement. Il ne constitue pas un conseil financier. Aucune recommandation d’achat ou de vente n’est exprimée. Les marchés crypto sont volatils. Les performances passées ne préjugent pas des résultats futurs. Effectuez toujours vos propres recherches. Ne misez que ce que vous pouvez vous permettre de perdre.
