Piratages crypto 2026, la brèche de Binance à 6,3 milliards de dollars, des attaques record et la place de l'IA

Le piratage de Binance, le plus grand vol de cryptomonnaies de l'histoire

Le piratage de Binance du 29 octobre 2026 a drainé environ 6,3 milliards de dollars, un record absolu pour les piratages crypto. Les émetteurs de stablecoins ont gelé 42 à 45 % du butin. Binance rembourse sur ses fonds propres, et l'argent gelé n'a pas bougé au 3 novembre.

Comment Binance s'est fait pirater

Binance évalue sa perte à environ 6,34 milliards de dollars, TRM Labs à 6,36, Chainalysis à environ 6,4 et Elliptic à 6,43 milliards répartis sur 11 blockchains. Le cœur du drain a duré une vingtaine de minutes à partir de 20 h 05 UTC selon TRM Labs, mais le code de l'attaquant est resté aux commandes du portefeuille Ethereum principal de Binance jusqu'à 23 h 56 UTC.

TRM Labs, Fireblocks et Blockaid classent la brèche comme une compromission de l'infrastructure de signature, sans faille de contrat intelligent. À 20 h 20 UTC, une transaction unique a injecté 50 autorisations EIP-7702 pré-signées par un portefeuille chaud de Binance, «pour qu'au moins une soit valide au moment du traitement», selon la lecture de Fireblocks. EIP-7702, active depuis mai 2025, laisse une seule signature confier le code d'un portefeuille à un contrat.

Le lot a confié le portefeuille à un contrat aspirateur de l'attaquant, qui a emporté 167 464 ETH et 1,615 milliard de dollars d'USDT en une transaction, puis 780 millions d'USDC depuis un second portefeuille. TRM Labs fait remonter la préparation à au moins 36 heures, financée via Tornado Cash.

Le récit de Binance sur le point d'entrée a changé deux fois. Sa première publication désignait une seule machine compromise.

L'enquête initiale de Binance suggère que l'incident de sécurité pourrait impliquer l'ordinateur portable d'un ingénieur DevOps compromis, qui a permis à un attaquant d'accéder à un conteneur de services et de soumettre des transactions de retrait non autorisées. Nous n'avons trouvé aucune preuve d'une fuite de clé privée de portefeuille.

La mise à jour publiée par Binance le même jour faisait état d'autres points de brèche.

Mise à jour de l'enquête : notre enquête initiale suggérait que l'incident de sécurité pouvait impliquer un ordinateur portable compromis, mais notre enquête ultérieure a mis au jour des points de brèche supplémentaires. … Les sorties de fonds ont cessé lorsque nous avons suspendu plus tôt le service de retrait. Nous travaillons toujours avec nos partenaires pour geler une grande partie des actifs touchés, et avons gelé environ 3 milliards de dollars jusqu'ici.

Les premières conclusions de Binance, publiées le 3 novembre sur son compte X, décrivent une campagne de plusieurs mois :

• Juin 2026, un installeur piégé. Un ingénieur DevOps de l'équipe portefeuilles a cherché un outil de codage IA populaire et téléchargé une installation Homebrew falsifiée. Binance l'a repéré, a remplacé l'appareil et renouvelé les identifiants, mais les attaquants savaient déjà qui travaillait dans l'équipe portefeuilles.
• Septembre, un faux entretien d'embauche. Un deuxième ingénieur a été approché sur une plateforme de recherche d'emploi, a passé deux tours d'entretiens avec une entreprise fictive et téléchargé un «exercice» de test sur son ordinateur professionnel. Selon Binance, sa protection des terminaux n'a pas détecté le malware zero-day qu'il contenait.
• 20 octobre, un outil d'IA interne comme tremplin. Depuis cet ordinateur, les attaquants ont utilisé un outil d'IA interne de Binance pour compromettre le premier ingénieur et un troisième, et ont trouvé un jeton de déploiement de conteneur sur la machine de l'ingénieur DevOps.
• 29 octobre, le service de signature. Entre 17 h 15 et 19 h 56 UTC, ils se sont connectés à l'ordinateur du troisième ingénieur, ont déployé un conteneur avec les identifiants volés et lancé le script qui a atteint le service de signature des portefeuilles.

Le rapport corrige aussi la déclaration du 30 octobre selon laquelle les sorties avaient cessé avec la suspension des retraits. Les délégations EIP-7702 vivaient sur chaîne et continuaient de fonctionner hors du système de retrait de Binance, et avec un portefeuille chaud MPC (calcul multipartite), il n'existait aucune clé unique pour les révoquer d'un coup. Ces conclusions sont celles de Binance, préliminaires, en attendant un examen indépendant.

Pourquoi l'attaquant a échangé ses stablecoins contre de l'ETH

L'attaquant a couru pour échanger ses stablecoins avant les gels des émetteurs. Selon Bitquery, 729 millions d'USDT volés ont échappé aux gels. 495 millions ont été convertis en ETH via UniswapX et 1inch avec environ 16 % de surcoût, et 234 millions en TRX sur SunSwap, une précipitation qui a coûté à l'attaquant environ 119 millions de dollars par rapport aux prix du marché.

Aave a permis à l'attaquant de transformer de l'USDT gelable en ETH. Il y a déposé 60 millions d'USDT et emprunté 19 762 WETH, environ 44,6 millions de dollars, selon le registre de gouvernance d'Aave. Une liste noire ne peut pas atteindre un collatéral logé dans la réserve commune d'Aave, et la position était encore ouverte le 3 novembre.

Chainalysis suivait la manœuvre en direct.

Les attaquants de Binance se précipitent pour garder une longueur d'avance sur les gels de stablecoins. Une méthode que nous suivons consiste à entreposer leurs stablecoins dans des protocoles DeFi, puis à les réclamer depuis des adresses neuves et propres. … Circle et Tether ont déjà contribué à 2,8 milliards de dollars de gels. … échanger des stablecoins gelables d'un côté contre de l'ETH non gelable de l'autre.

Sur Tron, le butin atteint environ 628 millions de dollars, dont environ 613 millions d'USDT et 46 millions de TRX selon TRM Labs, et Tether y a gelé environ 379 millions d'USDT selon Bitquery. Elliptic y a mesuré des paiements de 7 à 11 millions de dollars par heure pendant 31 heures, sur environ 200 portefeuilles, un rythme selon elle piloté par logiciel.

Où est l'argent gelé et qui l'a bloqué

Chaque émetteur disposant d'un bouton de gel l'a pressé dans la première heure. Le PDG de Tether, Paolo Ardoino, a publié le premier décompte à 21 h 25 UTC le 29 octobre.

Tether a gelé plus de 1,567 milliard d'USDT liés à un piratage potentiel de l'exchange Binance. Protéger l'industrie et nos partenaires est notre priorité absolue.

Ce premier décompte couvrait toutes les chaînes et a grimpé jusqu'à environ 1,76 milliard d'USDT. Circle a gelé 823 millions d'USDC, WLFI 27,8 millions de son USD1, le conseil de sécurité d'Arbitrum environ 30 millions de dollars, et Ripple 40,5 millions de RLUSD. Au total, les gels atteignent environ 2,7 milliards de dollars, soit 42 % du butin, selon TRM Labs, et 2,85 milliards, soit 44 à 45 %, selon Elliptic et Binance.

Deux mois avant Binance, Cronos est allé plus loin que n'importe quel émetteur : ses validateurs ont arrêté le réseau et l'ont ramené 10 961 blocs en arrière, près de deux heures d'historique, pour annuler l'exploit de Tectonic. Ce retour en arrière a inversé environ 111,2 millions de dollars, effacé des transactions sans lien dans la même fenêtre, et manqué environ 9,19 millions déjà partis par des bridges.

L'équipe DropsTab a recensé 15 interventions de ce type, du fork de The DAO en 2016 à l'action du conseil de sécurité d'Arbitrum sur les fonds du pirate de Binance.

Pas vos clés, pas vos cryptos. Sauf si la chaîne en décide autrement. Cette semaine, Arbitrum a déplacé les 30 M$ du pirate de Binance. Sans clé, sans signature. Deuxième fois cette année.

Rien de ce qui a été gelé n'avait été libéré au 3 novembre. Le relevé de Bitquery de ce jour place environ 3,0 milliards de dollars encore aux mains de l'attaquant, 1,40 milliard en BTC, 1,22 milliard en ETH, 292 millions en XRP et 75 millions en SOL. La pile d'ETH, environ 540 000 jetons, inclut l'ETH acheté avec les stablecoins convertis.

Si vous détenez de l'USDT ou de l'USDC, son émetteur peut geler votre solde de la même façon.

Le 3 novembre, nous avons relevé sur DefiLlama les portefeuilles publics connus de Binance à 128,1 milliards de dollars, en baisse de 24,5 % sur sept jours, soit environ 41,6 milliards. Face à une référence de −4,4 %, la moyenne de Bybit et Robinhood, environ 20,1 points de cette chute, quelque 34 milliards, sont propres à Binance, et le vol n'en explique qu'environ 3,8 points. Une part de l'écart peut venir du prix du BNB. OKX a gagné 59,8 %, environ 10,8 milliards, à peu près un quart de ce qui a quitté Binance, sur une semaine où le marché baissait.

Qui a attaqué Binance et comment les clients sont remboursés

L'attribution reste une évaluation, et nous la traitons comme telle. TRM Labs attribue le vol avec un haut degré de confiance au TraderTraitor nord-coréen. Une alerte du FBI du 31 octobre désigne la Corée du Nord pour un vol de plus de 6 milliards de dollars et publie les adresses des attaquants.

Le rapport de Binance du 3 novembre reprend la conclusion du FBI sur la responsabilité de la Corée du Nord, qui nie en bloc.

Binance a promis de couvrir toutes les pertes via son fonds SAFU et sa trésorerie, et affirme que 98 % des actifs en jetons touchés étaient reconstitués au 31 octobre, ce que montre sa page de preuve de réserves. Ce sont les déclarations de Binance, sans aucun audit indépendant derrière elles.

Les retraits ont rouvert par étapes dès le 1er novembre, Bitcoin et Ethereum d'abord, et plus de 3,6 milliards de dollars sont sortis le premier jour. Selon L'Usine Digitale, la plateforme avait déjà été piratée en mai 2019, avec 7 000 bitcoins volés après le contournement de contrôles de retrait.

Faut-il s'inquiéter pour ses cryptos en France ?

Selon Le Parisien, Binance a suspendu ses services crypto régulés en France à partir du 1er juillet 2026, après l'échéance MiCA manquée du 30 juin, les utilisateurs existants gardant l'accès aux retraits. Le piratage vise la plateforme mondiale, donc les comptes français suivent le même calendrier de reprise et les mêmes garanties annoncées. Les outils de suivi et le contrôle EIP-7702 de la dernière section valent pour tout détenteur, en France comme ailleurs.

Piratages crypto en 2026, un bilan record de 8,7 milliards de dollars

Les piratages crypto de 2026 atteignent 8,7 milliards de dollars au 30 octobre selon TRM Labs, un record dont Binance porte la plus grande part. Hors Binance, l'année reste modeste, et le premier semestre avait déjà battu le record de fréquence, avec 207 incidents.

Le premier semestre 2026 a battu le record de fréquence. TRM Labs a compté 207 incidents, contre environ 83 un an plus tôt, pour 972 millions de dollars volés contre 2,3 milliards au premier semestre 2025, et prévenait que la baisse tenait seulement à l'absence d'un vol d'ampleur 2025.

Le piratage de Binance porte le cumul 2026 de TRM Labs à un record de 8,7 milliards de dollars, environ 31 % des quelque 28 milliards jamais volés dans la crypto. En soustrayant les 6,36 milliards de Binance selon TRM Labs, un chiffre qu'aucun prestataire ne publie, 2026 se situe près de 2,3 milliards.

Les deux chiffres du premier semestre diffèrent par la méthode. TRM Labs garde le vol de 1,5 milliard de Bybit dans sa base 2025 et lit −57 %, quand CertiK le retire et lit +28 %. Le tableau de bord de CertiK, mis à jour avant Binance, ajoute 1,28 milliard sur 255 incidents au troisième trimestre. Nous ne comparons jamais deux prestataires entre eux.

Notre propre décompte, établi à partir de rapports d'incidents publics et publié le 3 novembre, est proche de celui de TRM Labs : 8,78 milliards de dollars volés en 328 piratages, dont 72 % pour Binance.

2026 est déjà la pire année jamais enregistrée : 8,78 Md$ volés en 328 piratages. Plus que 2021-2023 réunies. Binance pèse à lui seul 72 % du total.

Les piratages crypto liés à la Corée du Nord pèsent 85 % de la valeur volée en 2026 avec Binance, environ 45 % sans, selon TRM Labs, soit 7,4 milliards cette année et 12,8 milliards sur toute l'histoire. TRM Labs note que seuls 13 de ses 100 vols nord-coréens recensés depuis 2017 exploitaient du code de contrat.

TRM Labs a compté des exploits de contrats intelligents dans 125 des 207 incidents, pour une part bien plus faible de l'argent, et le rapport S1 2026 de Blockaid attribue à des attaques de sécurité opérationnelle 74 % des 1,1 milliard de dollars volés sur 212 incidents. Les incidents de Polymarket en 2026 suivent ce partage : les utilisateurs ont perdu de l'argent via le site, pas via les contrats, comme nous le détaillons dans notre analyse des piratages de Polymarket.

Les plus gros piratages crypto de 2026 et leurs vecteurs d'attaque

Quatre des cinq plus gros vols de 2026 n'ont eu besoin d'aucun bug de contrat intelligent. Binance, Bitget, KelpDAO et Drift sont passés par des clés volées, des signatures détournées ou un opérateur manipulé. Le bug de code de Liquid Network est la seule grande exception.

Classé par perte, Binance dépasse le record de Bybit par plus de quatre contre un, et chaque autre vol de 2026 reste sous les 625 millions de dollars de Ronin en 2022.

Depuis 2010, l'équipe DropsTab compte plus de 1 200 projets piratés et environ 27,6 milliards de dollars volés, et cartographie les plus gros d'entre eux dans un seul graphique.

Presque toute la crypto a été piratée au moins une fois. Plus de 1 200 projets. 27,6 Md$ volés.

Bitget est l'autre piratage de plateforme de l'année, cinq semaines avant Binance, et sa taille reste contestée. Sa PDG chiffre le vol du 24 septembre à 351,6 millions de dollars, Halborn et CertiK à 387,5 millions et ZachXBT à 388 millions. Halborn fait remonter l'entrée à une faille d'un produit de sécurité tiers qui exposait des identifiants internes.

ZachXBT a ensuite relié les deux vols sur chaîne.

Mise à jour - les fonds volés lors du piratage de Binance (6,3 Md$) et de Bitget (388 M$) ont été mélangés sur une même adresse il y a 45 minutes, après être arrivés via THORChain. Cela indique que le même acteur est probablement derrière les deux incidents.

Liquid est la seule grande perte de 2026 causée par un bug de code. Le post-mortem de Blockstream décrit un bug de cache des preuves d'intervalle dans le logiciel Elements, qui a créé environ 4 000 L-BTC sans contrepartie, sans aucune clé compromise. Des white hats autoproclamés ont rendu 3 400 BTC après négociation, et environ 602 BTC manquent encore.

Le bridge de KelpDAO se fiait à un seul vérificateur LayerZero nourri de fausses données, et les attaquants de Drift avaient pré-signé un transfert d'administration que Solana leur a laissé exécuter plus tard. Aucune des deux failles ne vivait dans du code de contrat.

Tectonic, un protocole de prêt sur Cronos, a été vidé par son collatéral. Le 30 août, l'attaquant a gonflé le prix du jeton peu liquide TONIC, l'a déposé en collatéral et a emprunté 120,4 millions de dollars sur neuf marchés, selon le post-mortem de Cronos. La chaîne elle-même a ensuite annulé l'essentiel de la perte.

Le piratage de Bybit, environ 1,5 milliard de dollars en février 2025, a tenu le record jusqu'à Binance. Sa plainte américaine a obtenu une injonction préliminaire en août 2026, avec 48,4 millions récupérés et 30,5 millions gelés, ce qui reste largement symbolique face à un attaquant souverain.

Tether occupe les deux bouts de l'histoire du gel, autorité et investisseur. Son profil investisseur DropsTab liste 41 pièces en portefeuille, et seuls Drift, et peut-être LayerZero, se rattachent aux exploits de l'année.

Nos relevés de financement DropsTab montrent que Drift a levé environ 52 millions de dollars auprès de Multicoin, Polychain, Jump et Alameda, perdu environ 285 millions, puis eu besoin d'une ligne de sauvetage de Tether, l'entreprise qui a gelé l'USDT volé de Binance. Nos relevés indiquent environ 145 millions pour cette ligne, et environ 147,5 millions ont été annoncés au lancement du jeton de recouvrement.

Ce qui arrive au token après un piratage

Un piratage de plateforme laisse l'offre du token intacte, et l'offre de BNB égale toujours son plafond de 131,5 millions. Une émission non autorisée change l'offre, elle. Son issue dépend de la destruction des jetons, du refinancement, de la réémission ou d'une migration.

Une émission non autorisée crée de l'offre, qui soit se défait, soit pèse sur le marché, et octobre a ajouté deux cas, Cysic et Initia. Le tableau suit chaque émission de 2026 vérifiée, avec l'issue sur l'offre et sans prix. BNB n'y figure pas, car un vol de plateforme ne fait que déplacer des soldes.

Un bug du moteur de contrats d'Initia, exploité le jour du lancement, a permis de créer 2 millions d'AUSD bridgés le 23 octobre et d'encaisser environ 2,7 millions de dollars, et Agora affirme n'avoir aucun contrat AUSD sur Initia, donc l'émetteur n'a rien pu geler.

Pour un jeton sans plafond, comparez avec un relevé d'offre daté. Environ 4 milliards de ONE ont été créés en août, environ 26 % de l'offre de l'époque selon Harmony, ce que la page Harmony permet de vérifier, et Syscoin a brûlé son émission.

Drift reste hors du tableau par construction. Le protocole a perdu environ 285 millions de dollars à cause d'un faux collatéral, et aucun DRIFT n'a été émis.

Immunefi a suivi 82 jetons piratés sur 2024 et 2025. Environ 84 % négociaient sous leur prix d'avant-vol six mois plus tard, chute médiane de 61 %.

Sur les chaînes à confidentialité, l'intégrité de l'offre peut être invérifiable, comme les détenteurs de Zcash l'ont appris de 2022 à 2026, un cas détaillé dans notre comparatif Zcash face à Bitcoin.

L'IA a-t-elle vraiment facilité les piratages crypto en 2026 ?

Le propre rapport de Binance place des outils d'IA sur le chemin de l'attaque. La brèche a commencé par un faux installeur d'un outil de codage IA, et les attaquants sont passés par un outil d'IA interne. L'IA n'a pas signé le vol, et aucun prestataire ne chiffre sa part des pertes. Elle rend les arnaques mesurablement plus rentables.

Les conclusions de Binance du 3 novembre sont la première source primaire à placer l'IA sur le chemin d'un vol record, à deux endroits. Le premier point d'appui est venu quand un ingénieur a cherché un outil de codage IA populaire et installé un paquet Homebrew falsifié, et le 20 octobre les attaquants ont utilisé l'outil d'IA interne de Binance pour atteindre deux autres ingénieurs. Aucune de ces étapes n'a signé le vol. Les outils d'IA étaient simplement une surface de confiance que les attaquants pouvaient traverser, comme le faux entretien d'embauche. Avant ce rapport, TRM Labs, Fireblocks et le forum d'Aave ne nommaient aucun rôle de l'IA.

Chainalysis trouve les organisations d'arnaque assistées par IA à 3,2 millions de dollars chacune, contre 719 000 dollars sans IA, environ 4,5 fois plus. L'indice IA-dans-le-crime de TRM Labs est monté à 54 sur 100, contre environ 28 en 2024, et les arnaques par usurpation d'identité ont bondi d'environ 1 400 % sur un an, une tendance décortiquée dans notre article sur les arnaques d'usurpation.

Les pertes d'agents IA nommées restent faibles. Blockaid a relié la perte d'environ 216 000 dollars de Bankr à une injection de prompt en mai, et CertiK rattache les 100 000 dollars de Zerion à de l'ingénierie sociale par IA liée à la Corée du Nord, seuls vols d'agents IA chiffrés en dollars.

Le plus gros piratage de 2026 visant un projet IA est passé par des clés compromises, pas par l'IA. Le mint d'ASI Alliance de septembre a créé environ 2,3 milliards de FET non autorisés, sans destruction ni refinancement confirmés au 3 novembre, et une partie a été convertie en environ 523 ETH selon la trace de Bitquery.

Si vous laissez un agent IA comme Bankr dépenser depuis votre portefeuille, cette permission est une délégation du même type que celle qui a drainé Binance, donc le contrôle EIP-7702 de la dernière section la concerne. Les catégories gratuites écosystème x402 et agents IA de DropsTab listent les agents qui manipulent des fonds via le standard de paiement x402.

Suivre un token piraté et les adresses des attaquants sur DropsTab

L'onglet Hacked and Exploited Tokens de DropsTab aligne l'offre d'un token piraté, sa note CertiK et son nombre de plateformes, les alertes Drops Bot montrent où part la partie non gelée d'un butin, et le portefeuille Lazarus recense les butins attribués à la Corée du Nord. Aucun ne rend l'argent, et les trois sont gratuits.

Trois outils gratuits permettent de garder un œil sur la suite après un piratage.

Vérifiez l'offre et les plateformes dans l'onglet Hacked and Exploited Tokens. L'onglet de DropsTab Research liste les jetons encore échangés après un exploit de 2026, avec l'offre en circulation et sa part du total, le nombre de plateformes et la note CertiK, gratuit à trier ou à cloner dans Tab Builder. Comparez l'offre à un chiffre d'avant le piratage, car une émission non autorisée la change et un piratage de plateforme non. Dans l'onglet actuel, SAND et FET affichent une note CertiK AA, DRIFT BBB, CYS BB, et WEMIX n'a aucune couverture CertiK.

Surveillez les adresses d'attaquants publiées avec Drops Bot. Drops Bot suit toute adresse publique dans Telegram, 20 portefeuilles en plan gratuit sur 30 réseaux dont Tron, avec filtres de direction IN et OUT, filtres de valeur, étiquettes personnalisées et aucune clé privée. Le guide de configuration des alertes détaille les réglages. N'utilisez que des adresses publiées par le FBI, TRM Labs, Chainalysis ou Binance. Notre guide du suivi des baleines crypto explique comment vérifier à qui appartient un portefeuille, et les listes vieillissent vite.

Suivez le portefeuille Lazarus. Le portefeuille public Lazarus Group de DropsTab Research recense les butins attribués au groupe lors de vols antérieurs, Bybit en tête. Les adresses des attaquants de Binance figurent dans l'alerte du FBI du 31 octobre, et des alertes de portefeuille sur ces adresses permettent de voir bouger le butin de Binance.

Vérifier ses délégations EIP-7702

EIP-7702, active depuis la mise à jour Pectra d'Ethereum le 7 mai 2025, permet à une signature de déléguer le code d'un portefeuille à un contrat. La délégation persiste jusqu'à sa remise à zéro vers l'adresse nulle, et une signature sans chaîne nommée vaut sur toutes les chaînes compatibles Ethereum.

La liste d'autorisations EIP-7702 d'Etherscan et Revoke.cash affichent les délégations sans toucher aux fonds, et Etherscan signale les délégataires de phishing. La révocation se fait dans le portefeuille, dans MetaMask sous Détails du compte puis Compte intelligent, réseau par réseau, et coûte du gaz.

Une étude publiée sur arXiv en décembre 2025 a scanné sur chaîne les autorisations EIP-7702 d'Ethereum et compté plus de 26 000 adresses victimes, les délégataires liés au crime détenant près de la moitié des autorisations, et sa plus grande victime isolée a perdu plus de 3 300 ETH.