« Le plus gros vol de cryptomonnaies de l’histoire » : Binance assure que l’argent des clients est en sécurité

Un portefeuille de Binance, la plus grande plateforme d’échange de cryptomonnaies au monde, s’est vidé en une seule transaction ce jeudi 29 octobre, vers 21 h 24 heure de Paris. Jusqu’à 5,8 milliards de dollars d’actifs (environ 5,2 milliards d’euros) ont quitté les portefeuilles de la plateforme sur plusieurs blockchains, d’après l’estimation de Conor Grogan, cadre de Coinbase, relayée par The Block. Si tout a bien été volé, ce serait près de quatre fois le record de Bybit, qui avait perdu 1,5 milliard de dollars (environ 1,3 milliard d’euros) en février 2025.

Changpeng Zhao, fondateur de Binance, a été le premier à parler de piratage vers 22 h 15. « Ça ressemble bien à un piratage », a-t-il écrit sur X, quand The Wall Street Journal évoque déjà ce qui serait « le plus gros vol de cryptomonnaies de l’histoire ». Les clients français sont moins exposés, puisque Binance a coupé tous ses services en France le 1er juillet, faute d’agrément européen.

Le portefeuille visé s’appelle « Binance 14 ». C’est un portefeuille « chaud », c’est-à-dire connecté en permanence à Internet pour traiter les retraits des clients. Il a envoyé 167 464 ethers et 63 autres jetons vers une adresse toute neuve. Dans le lot, il y avait 1,6 milliard de dollars en USDT (environ 1,4 milliard d’euros), la cryptomonnaie de Tether qui suit le cours du dollar. Les données publiques d’Ethereum, visibles sur le site Etherscan, montrent que l’attaquant avait reçu ses premiers fonds la veille par Tornado Cash, un service qui mélange les cryptomonnaies pour cacher leur origine. Il a ensuite relié Binance 14 à son propre programme avec EIP-7702. Cette fonction d’Ethereum permet à un portefeuille classique de confier ses opérations à un contrat intelligent. L’attaquant n’a eu ensuite qu’à vider le portefeuille d’un coup. Au total, la société de sécurité Blockaid enquête sur environ 3,3 milliards de dollars sortis des portefeuilles de Binance, soit 3 milliards d’euros. Le montant réellement volé n’est pas encore connu.

Environ un milliard de dollars de perte sur 144 milliards en dépôt

Une bonne partie du butin est pourtant bloquée. Tether et Circle émettent les deux principaux stablecoins. Ces deux entreprises peuvent geler leurs jetons sur une adresse précise, et elles l’ont fait dans l’heure. Paolo Ardoino, CEO de Tether, annonce plus de 1,56 milliard d’USDT gelés. Circle en a bloqué environ 823 millions d’USDC. Par contre, les ethers ne peuvent pas être gelés, car aucune entreprise ne contrôle cette cryptomonnaie.

Le fondateur de DefiLlama, un site qui suit les fonds déposés sur les plateformes crypto, a fait le calcul sur X sous le pseudo 0xngmi. Une fois les USDT et les USDC gelés, la perte tournerait autour d’un milliard de dollars, soit environ 900 millions d’euros. Or Binance garde environ 144 milliards de dollars d’actifs pour ses clients, ce qui ramène la perte à 0,69 % du total. La perte pourrait être « un peu plus élevée », a répondu Changpeng Zhao, « mais elle sera couverte ». L’ancien patron ne dirige plus Binance depuis 2023 et parle ici en tant qu’actionnaire. La plateforme a toutefois un fonds d’urgence, le SAFU (Secure Asset Fund for Users), prévu pour rembourser les clients après un incident de sécurité. Depuis février, il ne contient plus que du bitcoin, soit 15 000 bitcoins achetés pour environ 1 milliard de dollars. Au cours de ce jeudi soir, autour de 79 000 dollars le bitcoin, la réserve vaut près de 1,2 milliard de dollars, soit environ 1,06 milliard d’euros. Sur le papier, elle suffit à couvrir la perte estimée par 0xngmi, mais avec peu de marge si la facture grimpe comme l’annonce Changpeng Zhao.

Binance a déjà puisé dans ce fonds. En mai 2019, des pirates lui avaient dérobé 7 000 bitcoins, environ 40 millions de dollars à l’époque, et la plateforme avait remboursé ses clients grâce au SAFU. Binance s’est aussi engagée à renflouer le fonds si sa valeur passe sous les 800 millions de dollars (environ 720 millions d’euros). Comme la réserve est entièrement en bitcoin, ce seuil dépend directement du cours. Il serait atteint si le bitcoin tombait sous les 53 000 dollars environ (près de 47 500 euros), soit une baisse d’un tiers par rapport à ce jeudi soir.

Binance n’a toujours pas écrit le mot « piratage »

De son côté, Binance parle seulement d’un « possible problème de sécurité » dans son communiqué publié sur X. Elle assure que les fonds des utilisateurs sont « totalement en sécurité ». Pourtant, le site spécialisé FinanceFeeds a consulté l’historique des modifications du message. Binance l’a réécrit deux fois en 13 minutes. Au départ, il n’y avait « aucun impact confirmé » sur les fonds des clients. Dans la version finale, ces fonds sont « totalement en sécurité ». Surtout, la plateforme a ensuite suspendu les retraits, le temps de s’assurer que ses systèmes sont sûrs. C’est Yi He, cofondatrice et co-CEO de Binance, qui l’a précisé.

Tant que les retraits restent bloqués, les clients doivent croire Binance sur parole quand elle dit que leurs fonds sont intacts. Dans la soirée, Coinbase, la grande rivale américaine, a fait savoir qu’elle n’était pas touchée. Elle a aussi proposé son aide aux équipes de Binance. Binance.US, la branche américaine qui fonctionne de façon indépendante, a elle aussi assuré que ses services marchaient normalement.

L’attaque a aussi secoué tout le marché. Dans l’heure qui a suivi, le bitcoin et l’ether ont perdu entre 2 et 4 %, et le BNB, le jeton lié à Binance, jusqu’à 6 %. Les ventes forcées de positions à effet de levier ont atteint 627,7 millions de dollars (environ 563 millions d’euros). Même sans compte chez Binance, un détenteur de cryptos a donc vu la valeur de son portefeuille baisser ce jeudi soir.

Ce qu’il faut faire si vos cryptos sont sur une plateforme

Binance elle-même demande à ses clients de se méfier des liens, des messages et des demandes d’informations qui ne viennent pas de ses canaux officiels. Les escrocs profitent toujours de ce genre d’affaire. Ils envoient de faux e-mails ou de faux SMS qui proposent de « sécuriser » votre compte. Ne donnez jamais votre phrase de récupération, la suite de mots qui donne accès à un portefeuille. Aucun service sérieux ne vous la demandera. Passez uniquement par l’application ou le site officiel de votre plateforme.

Avec un portefeuille physique, c’est vous qui gardez les clés de vos cryptos, et vous ne dépendez plus de la sécurité d’une plateforme. Dans ce cas, achetez-le directement chez le fabricant. Le 10 octobre, Ledger a confirmé avoir trouvé un implant espion dans un portefeuille vendu par son propre revendeur agréé en Asie du Sud-Est. Cinq jours plus tard, l’entreprise française a présenté l’Atom, un appareil Android qui ne passe ni appels ni SMS. Son édition Founder’s est vendue 849 dollars, soit environ 760 euros hors taxes, et sera livrée à l’été 2027. Le prix passera ensuite à 899 dollars (environ 805 euros).

Binance n’a encore donné ni la cause de l’attaque, ni le montant final de la perte, ni la date de reprise des retraits. Elle n’a pas dit non plus si elle puiserait dans le SAFU ou dans sa trésorerie pour couvrir la perte.