Vol record chez Binance : le FBI désigne Pyongyang, les retraits reprennent
Le FBI a attribué samedi 31 octobre 2026 à la Corée du Nord, et plus précisément au groupe TraderTraitor, le vol subi jeudi 29 octobre par Binance : environ 6,3 milliards de dollars selon la plateforme, probablement le plus gros vol de l'histoire selon Elliptic. Binance, qui dit avoir déjà couvert 90 % des actifs volés, a commencé dimanche 1er novembre à rouvrir les retraits par phases.
Selon CoinDesk, le FBI désigne TraderTraitor, que le site spécialisé présente comme une sous-unité du groupe Lazarus. La déclaration est cosignée par le Secret Service et la division d'enquêtes criminelles du fisc américain (IRS-CI). Elle confirme, selon l'AFP, les soupçons d'enquêteurs privés et d'analystes. Notre article du 30 octobre racontait l'attaque et la suspension des retraits ; voici la suite.
La société d'analyse de blockchains Elliptic avait déjà désigné la Corée du Nord comme auteur probable. Elle avance d'abord que les fonds volés ont été blanchis avec ceux du piratage de la plateforme Bitget, qu'elle attribue à Pyongyang. Elle relève aussi l'usage de services déjà employés lors de trois vols antérieurs de TraderTraitor : BigONE, WOO X et AFX.
La méthode rappelle celle du vol de Bybit, en février 2025, lui aussi imputé à TraderTraitor : longue préparation, ciblage apparent du personnel, utilisation des propres systèmes de signature de la plateforme. Peu d'acteurs peuvent coordonner une attaque sur 11 blockchains en trois heures environ. Binance avait d'abord indiqué que l'attaque « pourrait impliquer l'ordinateur portable compromis d'un ingénieur DevOps », avant de signaler d'autres points d'intrusion. Son co-directeur général, Richard Teng, assure que l'attaque « n'a pas été menée par une seule personne » et qu'elle effaçait elle-même ses outils et ses traces.
Interrogé samedi à la Maison-Blanche, Donald Trump a répondu que son équipe était en train de s'informer (« we're learning about it »), ajoutant que son administration « en parlera à la Corée du Nord ». Aucune réaction de Pyongyang n'avait été rapportée.
Un blanchiment déjà en cours, des centaines d'adresses visées
Le FBI affirme que des acteurs nord-coréens « ont été observés en train de blanchir les actifs volés », en les convertissant « principalement en Ethereum ». Ces actifs devraient être « blanchis davantage » par étapes, d'après la déclaration relayée par Reuters.
L'agence demande aux acteurs privés de bloquer les transactions avec les adresses utilisées : opérateurs de nœuds, plateformes d'échange instantané, services de finance décentralisée. La liste compte plus de 600 adresses sur Ethereum, un peu moins de 20 sur Bitcoin et une sur Solana.
Côté gels, Elliptic indique que Tether a bloqué 1,18 milliard d'USDT, 37 minutes après leur arrivée dans le principal portefeuille de l'attaquant. Circle a gelé environ 823 millions d'USDC trois minutes plus tard. Elliptic a vérifié 2,85 milliards de dollars gelés ou saisis, soit 44 % du vol.
Il reste environ 3,21 milliards de dollars d'actifs non gelables, dont 18 270 bitcoins. Ceux-ci ont été répartis sur 19 adresses, sans passage par un service au 31 octobre. Le principal portefeuille de blanchiment sur Tron a effectué 546 transferts depuis le 30 octobre, avec un intervalle médian de 96 secondes.
Le PDG de Chainalysis, Jonathan Levin, dit que les pirates ont déjà utilisé « des milliers d'adresses » et en utiliseront « des dizaines de milliers » dans les semaines à venir.
Remboursement et reprise des retraits : où en est Binance
Binance estime le vol à environ 6,3 milliards de dollars, Elliptic le chiffre à 6,43 milliards. C'est plus de quatre fois le vol de Bybit (1,46 milliard) et plus de six fois le milliard de dollars retiré de la Banque centrale d'Irak sur ordre de Saddam Hussein en 2003, selon Elliptic. L'entreprise dit avoir remplacé environ 90 % des actifs volés en rachetant des jetons avec ses propres fonds. Les 10 % restants sont des jetons hors du top 10, « moins liquides », plus longs à racheter.
Attention au vocabulaire : CNBC précise que « couvert à 90 % » ne signifie pas que 90 % des fonds ont été récupérés auprès de l'attaquant.
Le financement vient du fonds de protection des utilisateurs SAFU, d'une partie du fonds d'assurance des contrats à terme et de la trésorerie. Selon l'AFP, Binance dit avoir mis de côté plus de 6,34 milliards de dollars de fonds propres. Sur X, elle affirme : « Binance absorbera l'impact financier de ces fonds volés, pas nos utilisateurs. »
Dimanche 1er novembre, les retraits ont repris par phases. Le réseau bitcoin passe en premier, Binance comptant ouvrir la phase 1 entre 6 h et 9 h GMT. Les jetons suivront selon la demande des utilisateurs sur la semaine écoulée, après contrôles de stabilité et de sécurité.
Pour les utilisateurs, notre guide explique comment vérifier qu'une plateforme crypto est agréée MiCA. Nous avions aussi détaillé en juin Binance quitte la France : ce qu'il faut faire avant le 1er juillet.
