Binance frappée par un piratage historique, 5,8 milliards de dollars sortis et une partie gelée

Un simple signal on-chain a suffi pour faire basculer la soirée du 29 octobre. À 22 h 32, le chercheur Spreek détecte une anomalie sur Ethereum. Quatre minutes plus tôt, un contrat venait de vider un portefeuille de Binance de 167 464 ETH. En quelques heures, plusieurs émetteurs de stablecoins ont gelé 2,54 milliards de dollars, tandis que l’exchange confirmait l’un des plus grands piratages de l’histoire des cryptos.

En bref

• Un portefeuille de Binance a perdu 167 464 ETH et 63 tokens après une délégation EIP-7702 installée quatre minutes auparavant.
• Tether, Circle, Ripple, World Liberty Financial et Aave ont bloqué des fonds pour un total vérifié de 2,54 milliards de dollars.
• Arkham Intelligence suit environ 5,84 milliards de dollars ayant transité par les portefeuilles liés à l’incident, alors que l’origine de la signature reste inconnue.

Une attaque préparée bien avant le transfert

Les incidents Ledger, Coldcard et Keystone avaient déjà fragilisé la confiance envers les portefeuilles crypto. Cette fois, le scénario diffère : l’attaque ne vise pas un portefeuille froid.

Tout commence le 28 octobre. Une adresse, 0x7C86, reçoit 0,1 ETH depuis Tornado Cash, un mélangeur utilisé pour brouiller la traçabilité des fonds. Cette faible somme suffit à couvrir les frais de transaction.

Le lendemain après-midi, cette même adresse déploie son propre contrat.

À 22 h 20 min 59 s, une transaction relie le portefeuille Binance 14 à ce contrat grâce à EIP-7702, un mécanisme qui permet à un portefeuille contrôlé par une clé d’exécuter du code de contrat.

Puis tout s’accélère.

À 22 h 24 min 23 s, une transaction retire 167 464 ETH, soit environ 388 millions de dollars selon Etherscan, ainsi que 63 tokens, dont 1,615 milliard de dollars d’USDT.

Vingt-quatre secondes plus tard, Binance 16 envoie encore 28 005 ETH vers cette même adresse, jusque-là inexistante.

En moins d’un quart d’heure, 195 460 ETH, soit près de 450 millions de dollars, repartent vers une troisième adresse fraîchement créée, tandis qu’environ 1,5 milliard de dollars de tokens restent sur le premier portefeuille.

Au total, Arkham Intelligence estime à environ 5,84 milliards de dollars les fonds ayant transité par les portefeuilles liés à l’incident. Ce montant englobe les différents mouvements entre adresses et ne correspond donc pas uniquement aux actifs dérobés.

L’alerte de Spreek change tout

Le premier avertissement ne vient ni de Binance ni d’un régulateur.

À 22 h 32, le chercheur on-chain pseudonyme Spreek publie un message sur X : « Unconfirmed, but possibly massive Binance hack. Entire Binance wallet drained into new EOA. Contract call was funded by Tornado Cash. »

Son intuition repose sur un détail révélateur. Un exchange ne finance jamais ses frais de transaction via Tornado Cash. Pour lui, ce comportement distingue immédiatement un piratage d’une opération de maintenance.

Cinq minutes plus tard, il renforce son analyse. L’adresse qui a déclenché la transaction provient bien de Tornado Cash, tandis que le portefeuille destinataire se rattache désormais aux mouvements liés à Binance.

Les alertes s’enchaînent rapidement. À 22 h 41, Tree News évoque un possible vol touchant les portefeuilles chauds. Deux minutes plus tard, un autre compte estime déjà les pertes sur Ethereum à plus de 2,5 milliards de dollars.

Odysseas Lamtzidis, fondateur de Phylax Systems, explique le mécanisme : selon lui, EIP-7702 peut transformer le portefeuille lui-même en « aspirateur » dès qu’une délégation signée entre en jeu. Un autre développeur remarque également que le contrat n’accepte que les appels provenant de l’adresse financée par Tornado Cash.

Les émetteurs réagissent en quelques heures

Face à l’ampleur de l’incident, les principaux acteurs du secteur interviennent rapidement.

Tether gèle 975,1 millions d’USDT. À 23 h 04, Circle bloque 823 millions d’USDC, une décision que son directeur général Jeremy Allaire confirme sur X, en coordination avec les forces de l’ordre.

Ensuite, à 00 h 32, Aave suspend temporairement ses marchés de prêt v3 et v4 après qu’un portefeuille lié au piratage y a déposé 60 millions d’USDT avant d’emprunter 19 762 ETH.

Quatre minutes plus tard, World Liberty Financial immobilise 27 millions d’USD1 et 2 millions de WLFI avec l’aide de BitGo.

Enfin, à 01 h 35, Binance revoit son bilan à la hausse et annonce 2,54 milliards de dollars gelés, contre 1,8 milliard évoqué auparavant. Peu après, Ripple confirme avoir bloqué des RLUSD, sans révéler le montant concerné.

Une enquête encore loin d’être terminée

Arkham Intelligence suit désormais environ 5,84 milliards de dollars ayant circulé entre les portefeuilles associés à l’incident, même si d’autres estimations tournent plutôt autour de 2,4 milliards.

Rapporté aux 693 000 bitcoins détenus par Binance en septembre, ce drain représente environ 2,64 % des réserves de la plateforme. Il s’agit donc d’un portefeuille compromis, et non d’un effondrement de l’ensemble de l’exchange.

Les marchés ont immédiatement réagi : le bitcoin est passé sous 79 000 dollars (-2,6 % sur 24 heures), le BNB a reculé de 7 % à 699 dollars, tandis que le Monero a progressé de 6 %.

Le précédent record remontait au piratage de Bybit, estimé à 1,5 milliard de dollars en février 2025. Cette fois, une question demeure : comment l’attaquant a-t-il obtenu la signature indispensable pour activer la délégation EIP-7702 ? Binance n’a pas encore apporté de réponse, et l’enquête devra déterminer s’il s’agit d’une faille de signature, d’une erreur opérationnelle ou d’un accès plus profond aux systèmes.