Dans sa mise à jour initiale publiée le 3 novembre, Binance a décrit une intrusion qui, partie d’appareils compromis, a atteint un service interne de signature et conduit à des transferts non autorisés le 29 octobre 2026. L’entreprise dit que les délégations EIP-7702 sur la chaîne ont ensuite exigé une procédure distincte pour être révoquées.
De l’appareil compromis au service de signature
Selon Binance, la séquence a commencé en juin 2026, lorsqu’Engineer A a installé une version manipulée de Homebrew. Binance dit avoir repéré l’anomalie, remplacé l’appareil et renouvelé les identifiants associés. En septembre, Engineer B a été approché sur une plateforme d’emploi légitime, puis invité à télécharger un dépôt malveillant présenté comme un exercice de recrutement. Binance affirme que le logiciel remplaçait un composant d’un outil de développement, exécutait des commandes et communiquait avec un serveur contrôlé par les attaquants.
Le 20 octobre, les attaquants auraient utilisé l’ordinateur compromis d’Engineer B et un outil interne d’IA pour prendre le contrôle des accès d’Engineer A et de Wallet Software Engineer C, selon Binance. Le 29 octobre, ils se seraient connectés à l’ordinateur de ce dernier, auraient utilisé des identifiants dérobés à Engineer A et déployé un conteneur avant de lancer un script malveillant. Binance dit que cet accès a atteint son service interne de signature de portefeuilles, qui permettait d’initier des transactions hors du processus normal de retrait.
Nous avions déjà détaillé le lien on-chain entre Binance et Bitget évoqué par Chainalysis. La mise à jour de Binance apporte un éclairage différent : le chemin d’accès au service de signature.
Pourquoi les délégations EIP-7702 ont compliqué la réponse
Binance affirme que les attaquants ont utilisé EIP-7702 pour accorder à un contrat intelligent qu’ils contrôlaient des droits d’exécution partiels sur un portefeuille chaud. L’entreprise dit que 50 transactions de signature ont servi à modifier le compteur de transactions du compte, appelé nonce, et à établir des délégations malveillantes.
Ces autorisations sur la chaîne fonctionnaient indépendamment du système ordinaire de retrait. Suspendre les retraits ne suffisait donc pas à les révoquer. Binance explique que son portefeuille reposait sur le calcul multipartite (MPC) et ne disposait pas d’une clé privée unique permettant d’annuler immédiatement les délégations ; leur révocation a nécessité une procédure spécialisée.
Binance indique que le dernier transfert non autorisé, de 2 961,9 ETH, a été finalisé à 23 h 56 UTC le 29 octobre. L’entreprise dit avoir supprimé la délégation Binance14 à 00 h 10 UTC le 30 octobre.
Les chiffres annoncés par Binance et l’attribution du FBI
Binance a estimé à environ 6,34 milliards de dollars les actifs touchés. Elle a aussi évalué à environ 2,85 milliards de dollars les actifs gelés ou interceptés, un montant soumis à rapprochement et à la volatilité des cours. Ces chiffres décrivent deux mesures différentes.
L’entreprise a déclaré avoir mis de côté plus de 100 % des fonds nécessaires à la couverture de la perte et avoir réapprovisionné 98 % des actifs en jetons touchés au 31 octobre 2026. Le 3 novembre, Binance qualifiait son compte rendu d’initial et indiquait que son enquête et l’examen indépendant de ses conclusions se poursuivaient.
Dans une alerte publiée le 31 octobre, le FBI a attribué à la Corée du Nord le vol de plus de 6 milliards de dollars d’actifs virtuels et a désigné l’activité sous le nom de TraderTraitor. Il s’agit de l’attribution de l’agence, pas d’une décision de justice. Binance a renvoyé à cette attribution dans sa mise à jour sans formuler sa propre attribution directe.
