Binance affirme avoir reconstitué 95% des actifs dérobés lors de l'attaque du 29 octobre, soit environ 6,3 milliards de dollars selon l'estimation initiale de la plateforme. Cette mise à jour du 1er novembre dépasse les 90% annoncés la veille et s'accompagne d'une reprise progressive des retraits. La couverture de ce piratage de Binance provient toutefois de l'achat de tokens de remplacement avec des ressources propres et des fonds internes: cela ne prouve pas que les attaquants aient restitué cette part.
Nous avons consulté les mises à jour officielles de Binance des 30 et 31 octobre et du 1er novembre, ainsi que l'avis du FBI qui attribue l'attaque à TraderTraitor, groupe lié à la Corée du Nord. Les rapports de Reuters sont cités uniquement via les résultats de recherche et la republication accessible sur Euronext.
De 90% à 95% en une nouvelle mise à jour
Le 31 octobre, Binance indiquait avoir couvert 90% de la valeur des actifs concernés. La société précisait que Bitcoin, Ether, USDT, BNB, Solana, USDC, XRP, USD1, RLUSD et Zcash étaient couverts à 100%. L'écart résiduel portait sur des tokens moins liquides, hors du top dix, que la plateforme achetait sur les marchés et via des opérations de gré à gré.
Dans sa quatrième mise à jour, publiée le 1er novembre, Binance a porté sa couverture déclarée à 95%. Le communiqué rappelle d'abord le passage de 80% à 90%, puis précise que la quote-part est montée à 95% et qu'il reste 5% à acquérir. Ce chiffre est donc le plus récent à retenir, sans effacer la progression communiquée par la société.
Cette donnée décrit la quantité d'actifs de substitution que Binance affirme avoir procurés, et non un pourcentage des fonds dérobés retrouvés ou restitués. La plateforme indique que la couverture est financée par des fonds propres, une partie du fonds SAFU destiné aux utilisateurs et une partie du fonds d'assurance Futures. Dans sa mise à jour du 30 octobre, Binance avait déclaré avoir réservé plus de 6,34 milliards de dollars, dont environ 5 milliards déjà détenus dans les mêmes tokens concernés.
«Couvert» ne signifie pas «récupéré»
La distinction est décisive. Un achat sur le marché peut rétablir la correspondance entre les actifs détenus par la plateforme et ses engagements envers les clients, mais ne restitue pas le contrôle des tokens passés aux attaquants. Binance promet d'absorber l'impact économique du vol sans le répercuter sur les clients. La soustraction des fonds reste, elle, l'objet d'un suivi et d'une enquête.
C'est pourquoi les chiffres relatifs aux gels doivent être traités séparément. Dans sa mise à jour du 30 octobre, Binance indiquait qu'environ 3 milliards de dollars avaient été gelés on-chain grâce à la collaboration avec les forces de l'ordre, des sociétés d'analyse, des émetteurs et des partenaires du secteur. Reuters, dans son compte rendu du 1er novembre, évoquait quant à lui environ 3 milliards de dollars localisés à vendredi. Un actif localisé n'est pas nécessairement gelé, et aucun de ces deux termes n'équivaut à un recouvrement effectif.
Cette affaire s'inscrit dans la problématique plus large des attaques contre les plateformes d'échange et des procédures de conservation des actifs. Sur SpazioCrypto, nous avons retracé l'annonce initiale de l'attaque contre Binance et rassemblé d'autres cas dans la section dédiée aux hacks crypto. La différence entre détenir des actifs auprès d'un intermédiaire et gérer un portefeuille personnel est expliquée dans notre guide sur la conservation des cryptomonnaies.
Le FBI attribue l'attaque à TraderTraitor
Le 31 octobre, le FBI a attribué à la Corée du Nord le vol de plus de 6 milliards de dollars en actifs virtuels depuis Binance, survenu vers le 29 octobre. L'agence identifie cette activité informatique spécifique sous le nom TraderTraitor. Il s'agit d'une attribution officielle du FBI, et non d'un verdict judiciaire ni d'un rapport technique complet sur l'intrusion.
Selon l'avis du FBI, l'agence et ses partenaires américains ont observé les opérateurs convertir les actifs dérobés principalement en Ethereum. L'agence avertit que d'autres conversions pourraient suivre via des services DeFi et des échanges instantanés, dans le cadre du blanchiment. Le communiqué ne quantifie pas la part déjà convertie en ETH. Binance, de son côté, a déclaré collaborer avec les autorités et les partenaires du secteur pour tracer les fonds.
Le FBI a également demandé aux opérateurs de nœuds, aux services DeFi, aux échanges instantanés et aux prestataires de services sur actifs virtuels de bloquer les transactions associées aux adresses publiées dans l'avis. Cette mesure vise à entraver les mouvements ultérieurs, sans pour autant prouver à elle seule que les fonds aient été recouvrés. Les détails sur la façon dont la compromission s'est produite restent incomplets: Binance avait évoqué plusieurs points d'accès et une enquête toujours en cours. En France, l'AMF et l'ACPR suivent de près ce type d'incident touchant des plateformes opérant sous le régime PSAN ou MiCA.
Le tableau d'ensemble des incidents de sécurité est disponible dans l'archive Sécurité de SpazioCrypto. Un cas récent avec une perte déclarée et des adresses inactives est celui de CoinDCX. Pour les aspects spécifiques aux portefeuilles, l'analyse des violations de données liées aux wallets est également disponible.
Retraits: une reprise par phases annoncée
La quatrième mise à jour de Binance fixe le démarrage de la première phase entre 06h00 et 09h00 UTC le 1er novembre, soit entre 07h00 et 10h00 en France métropolitaine. La société liste 15 réseaux, dont Bitcoin, Ethereum, BNB Chain, Tron, Solana, XRP, Dogecoin, Polygon, Avalanche, Arbitrum, Base, Optimism et Sui. Les disponibilités varient selon la paire réseau et actif, et peuvent être réactivées à des moments différents.
Binance invite les utilisateurs à consulter la page de retrait ou l'état du réseau pour vérifier la disponibilité effective. L'annonce prévoit des retards possibles durant la phase initiale et précise que les autres actifs seront réactivés progressivement, après des vérifications de stabilité et de sécurité. La fenêtre annoncée est désormais passée au moment de la rédaction de cet article, mais le communiqué consulté ne certifie pas que chaque réseau ait complété sa réouverture.
La suspension avait été présentée comme une mesure de précaution pour contenir l'incident, en évaluer la portée et vérifier l'infrastructure des retraits. La reprise progressive du service est donc un indicateur opérationnel distinct de la restauration des réserves: une plateforme peut reprendre certains transferts tout en continuant d'acheter les actifs manquants et de rechercher ceux qui ont été volés.
Binance
Ce qui est confirmé, ce qui ne l'est pas
- Confirmé: Binance déclare une couverture de 95%. Le FBI attribue l'attaque à TraderTraitor.
- Non précisé: les 95% ne représentent pas une quote-part récupérée auprès des attaquants. L'avis du FBI ne quantifie pas les ETH déjà convertis.
- À surveiller: disponibilité effective des retraits pour chaque réseau, acquisition des 5% restants et rapport technique sur l'incident.
Analyse d'ensemble
Notre lecture, assumée comme telle, est que Binance cherche à résoudre deux problèmes en parallèle: maintenir les soldes des clients couverts et endiguer les mouvements des fonds dérobés. Le premier dépend de la capacité financière de la plateforme à acheter des actifs de substitution. Le second repose sur la collaboration entre autorités, émetteurs et opérateurs capables d'identifier ou de bloquer des transactions. Les progrès sur le premier front ne mesurent pas automatiquement le succès du second.
Les signaux concrets à surveiller sont la publication de preuves de réserves actualisées et vérifiables, la réouverture effective des paires réseau et actif concernées, la quote-part des tokens encore à acquérir et les mises à jour des autorités sur les fonds tracés ou gelés. Binance a promis un rapport post-incident à l'issue de l'enquête. En attendant, les 95% restent une déclaration de la plateforme sur son niveau de couverture, tandis que l'attribution à TraderTraitor demeure celle formulée par le FBI.
