Des attaquants ont transféré environ 6,34 milliards de dollars de cryptomonnaies depuis au moins 11 portefeuilles Binance le 29 octobre, en utilisant des autorisations qui sont restées actives après que la plateforme a suspendu les retraits et fermé ses services de portefeuilles chauds. Dark Reading rapporte que Binance a détecté une activité suspecte en quelques minutes, mais que pour arrêter les transferts, il a fallu révoquer des autorisations enregistrées sur la blockchain.
Cet incident a des conséquences concrètes pour les plateformes et les autres entreprises qui traitent des transactions en cryptomonnaies en temps réel : la suspension des retraits peut laisser intacte l'autorité déjà accordée à un attaquant. Le bilan post-mortem de Binance, publié le 3 novembre et cité par Dark Reading, indique que ces autorisations permettaient aux attaquants de déplacer des actifs indépendamment de l'infrastructure de retrait habituelle de la plateforme.
L'attaque s'est déroulée de 20 h 05 UTC jusqu'à la dernière transaction enregistrée à 23 h 56 UTC, soit près de quatre heures plus tard. Dark Reading rapporte que Binance a ensuite gelé et récupéré environ 2,85 milliards de dollars d'actifs dont le vol avait été tenté.
Comment l'autorisation a survécu à la suspension
Les attaquants ont exploité le mécanisme EIP-7702 d'Ethereum, introduit en 2025, qui permet à un compte de déléguer l'exécution à du code de contrat intelligent, c'est-à-dire à un logiciel qui s'exécute sur la blockchain. Ils ont utilisé cette autorité pour installer un « sweeper », un code qui transfère automatiquement les fonds vers une adresse contrôlée par les attaquants.
L'analyse de la société de sécurité blockchain BlockAid a montré qu'un portefeuille de trésorerie principal de Binance détenait plus de soixante cryptomonnaies, d'une valeur d'environ 2,5 milliards de dollars. Le sweeper a transféré ces actifs vers une adresse créée quelques minutes plus tôt, ne laissant au portefeuille qu'une seule pièce d'ETH.
Ido Ben-Natan, cofondateur et PDG de BlockAid, a expliqué qu'une autorisation EIP-7702 crée une délégation permanente. Une fois enregistré sur la blockchain, le code de l'attaquant peut déplacer aussi bien les fonds existants que les dépôts ultérieurs, tant que le portefeuille n'a pas révoqué cette autorité. L'autorisation elle-même ne précise ni montant ni destination, ce qui la place en dehors des données de transaction que les contrôles de retrait examinent habituellement.
Des transferts importants provenant d'autres portefeuilles vers la même adresse ont déclenché les alertes internes de Binance. La plateforme a pris des contre-mesures, mais son bilan indique que des transactions supplémentaires sur la blockchain étaient nécessaires pour révoquer les autorisations : l'arrêt de ses propres services de retrait ne les a pas invalidées.
Des développeurs compromis ont donné accès à la signature
Le bilan post-mortem de Binance décrit deux voies d'entrée dans les systèmes de développeurs. Un développeur a téléchargé une version compromise de Homebrew, un gestionnaire de paquets open source pour Mac. Un autre a réalisé un exercice de programmation lors d'un faux entretien d'embauche, ce qui a compromis sa machine.
Les attaquants ont utilisé l'accès à ces deux systèmes, ainsi qu'à celui d'un troisième développeur, pour obtenir des privilèges de signature, c'est-à-dire l'autorité nécessaire pour approuver des actions sur la blockchain. Ils ont préparé 50 autorisations signées visant le portefeuille que les analystes de la blockchain appellent « Binance 14 ».
Les attaquants ont soumis les 50 autorisations ensemble pour s'adapter au nonce du portefeuille, un compteur séquentiel utilisé pour valider les transactions. En préparant une plage de valeurs possibles pour ce compteur, ils n'avaient besoin que d'une seule autorisation correspondante.
Dark Reading rapporte que le FBI attribue l'attaque à des opérateurs nord-coréens associés à TraderTraitor. Le bureau a publié plus de 600 adresses Ethereum, 19 adresses Bitcoin et une adresse SOL liées à ce groupe.
Avi Sambira, vice-président de Sygnia pour l'Amérique du Nord, a comparé le ciblage des développeurs au vol visant ByBit du 21 février 2025. Sygnia a constaté que, dans ce cas, des attaquants avaient compromis le Mac d'un développeur de Safe{Wallet} près de trois semaines avant le vol, puis utilisé un jeton AWS pour opérer dans son environnement cloud pendant environ deux semaines avant de modifier l'interface de signature.
Sambira a déclaré que la divulgation de Binance semblait cohérente avec une progression similaire, depuis des terminaux et des outils internes compromis jusqu'à des identifiants, des jetons ou un accès à des conteneurs servant à la signature des portefeuilles. Son avertissement plus général est que les identités des développeurs, les dépôts de code, les chaînes de compilation et de déploiement logiciel, les systèmes d'administration cloud et les intégrations tierces peuvent ne se trouver qu'à une ou deux frontières de confiance de l'autorité de retrait.
Une technique connue, aux conséquences plus lourdes
Les attaques de type sweeper exploitant l'EIP-7702 avaient déjà causé des pertes documentées. Des travaux présentés à USENIX Security en août 2026 par des chercheurs de l'Université des sciences et technologies de Hong Kong et de deux autres établissements chinois ont identifié au moins 924 contrats intelligents malveillants rendus possibles par ce mécanisme, pour des pertes d'au moins 2,3 millions de dollars.
BlockAid a de son côté signalé au moins 1,1 million de dollars de pertes sur quatre incidents, et avait prédit une attaque d'un milliard de dollars avant la fin de 2026.
Des experts cités par Dark Reading se sont interrogés sur la question de savoir si Binance disposait de contrôles suffisants pour repérer les autorisations malveillantes et les désactiver rapidement. Dans son compte rendu de l'incident, la plateforme a mis l'accent sur la surveillance et la détection d'anomalies ; elle n'a pas répondu aux demandes de commentaires de Dark Reading.
Ce que les entreprises de cryptomonnaies doivent préparer
Ben-Natan recommande aux entreprises qui traitent des transactions en cryptomonnaies d'utiliser des simulations pour détecter les règles malveillantes, d'appliquer des limites sur les montants et les destinations des transactions, et de déclencher des alertes en cas de rafales de transferts importants. Il recommande également un interrupteur d'urgence préconfiguré et testé, qui suspend la signature et arrête les réapprovisionnements des portefeuilles, afin de limiter ce qu'un sweeper peut emporter pendant que les intervenants révoquent son autorisation.
Sambira recommande une visibilité sur les identités et leurs permissions, l'intégrité de l'infrastructure, la garde des actifs et l'approbation des transactions, ainsi que la détection à la fois on-chain et hors chaîne. Selon lui, la surveillance des seules transactions sur la blockchain ne permet de détecter l'attaque que trop tard dans sa progression.
Les entreprises doivent recenser chaque identité et chaque système capables d'initier, d'approuver, de modifier ou d'exécuter des transactions, et se préparer à suspendre ces privilèges. Les capacités de réponse doivent comprendre la révocation des identités et des jetons, la suspension des transferts, l'isolement des portefeuilles et la reconstruction de l'infrastructure compromise en quelques minutes, les pouvoirs d'intervention ayant été définis au préalable.
Ari Redbord, responsable mondial des politiques chez TRM Labs, a déclaré qu'une surveillance rapide et des relations avec les acteurs concernés peuvent aider les intervenants à limiter les pertes. Les transferts de cryptomonnaies permettent aux voleurs de déplacer les fonds en temps réel, ce qui rend la rapidité de réaction particulièrement déterminante. Les entreprises doivent tester leurs contrôles de confinement avant un incident et les répéter régulièrement, afin que les intervenants puissent les utiliser dès les premières minutes d'une attaque.
