Le piratage de Binance de 6,4 milliards de dollars : RPDC, gels de stablecoins et implications comptables
Le 29 octobre 2026, 6,43 milliards de dollars de cryptoactifs ont été siphonnés de Binance, la plus grande plateforme d'échange de cryptomonnaies au monde, sur 11 blockchains en quelques heures. Elliptic a attribué l'attaque au groupe TraderTraitor de Corée du Nord, lié au groupe Lazarus, ce qui en fait non seulement le plus grand vol de cryptomonnaies jamais enregistré, mais aussi, presque certainement, le plus grand vol connu, toutes catégories confondues. Pour les cabinets comptables, les directeurs financiers et les professionnels de la conformité exposés aux plateformes d'échange ou détenant des actifs numériques, cet événement soulève immédiatement des questions sur la récupérabilité des actifs, le risque de contrepartie lié aux stablecoins et l'adéquation des informations relatives à la garde des actifs détenus par les plateformes.
Ampleur et chronologie de l'attaque
Le vol s'est déroulé en deux vagues. La première a débuté vers 20h05 UTC le 29 octobre, lorsque cinq portefeuilles Binance sur le XRP Ledger ont envoyé 233 millions de XRP vers une adresse unique contrôlée par l'attaquant. Au cours des 30 minutes suivantes, les portefeuilles chauds sur Solana, NEAR, Base, Optimism, Bitcoin, Tron, Ethereum, Arbitrum et Avalanche ont également été vidés. Une seconde vague a frappé les portefeuilles sur Avalanche et Polygon peu après 23h00 UTC.
Répartition par blockchain et par actif
Ethereum a représenté la part la plus importante des pertes. L'attaquant y a pris 3,80 milliards de dollars sur 186 jetons différents, dont 1,9 milliard d'USDT et 823 millions d'USDC. Une seule transaction à 20h24 UTC a déplacé 2,53 milliards de dollars, soit deux tiers du total sur Ethereum. Sur Bitcoin, 18 270 BTC d'une valeur d'environ 1,48 milliard de dollars ont été volés. Tron a ajouté 612,7 millions d'USDT au total. Quatre actifs, à savoir l'USDT sur Ethereum, le BTC, l'USDC et l'USDT sur Tron, représentaient 74 % du vol en valeur.
Le chiffre d'Elliptic de 6,43 milliards de dollars exclut 169 millions de dollars supplémentaires qui ont quitté Binance après la suspension des retraits. L'analyse on-chain suggère que Binance déplaçait ses propres fonds et non l'attaquant, les adresses de destination étant établies de longue date et sans lien avec le vol.
Comment l'attaque a été exécutée
L'enquête initiale de Binance pointe vers l'ordinateur portable d'un ingénieur DevOps compromis comme point d'entrée. La plateforme affirme qu'aucune clé privée n'a été divulguée. L'attaquant semble plutôt avoir manipulé l'infrastructure de signature de Binance elle-même pour autoriser des transactions en son nom.
Exploitation d'EIP-7702 sur Ethereum
Sur Ethereum, l'attaquant a exploité EIP-7702, une fonctionnalité introduite lors de la mise à niveau Pectra de 2025 qui permet à un portefeuille standard de déléguer son comportement à un contrat intelligent. L'attaquant a soumis 50 autorisations pré-signées, chacune couvrant un nonce différent, garantissant qu'au moins une serait valide au moment de l'exécution. Cela a délégué le contrôle d'un portefeuille chaud Binance à un contrat « sweeper », qui a ensuite vidé le portefeuille de 167 464 ETH et 1,6 milliard d'USDT. Fait déterminant, la délégation est restée en place après le prélèvement initial, permettant à l'attaquant de balayer les nouveaux dépôts vers le même portefeuille au moins six fois de plus au cours des trois heures et demie suivantes.
Préparation et répétition
L'analyse d'Elliptic montre que l'attaque a été méthodiquement préparée. Le 28 octobre, un portefeuille contrôlé par l'attaquant a reçu de petits retraits du mixeur Tornado Cash. Le lendemain, le code d'attaque a été testé sur deux portefeuilles et répété sur un troisième, environ quatre heures avant le déploiement contre Binance. Un second portefeuille chaud Binance sur Ethereum a également signé neuf transferts d'une valeur de 174 millions de dollars directement au profit de l'attaquant, ce qui suggère que celui-ci avait un accès direct à l'infrastructure de signature de la plateforme, au-delà d'une simple manipulation des autorisations d'un seul portefeuille.
Le schéma rappelle de près le vol de Bybit de février 2025, lors duquel des pirates nord-coréens ont compromis la machine d'un développeur chez le fournisseur de portefeuilles Safe{Wallet} et manipulé la transaction approuvée par les signataires de Bybit. Dans les deux cas, les clés cryptographiques elles-mêmes n'ont pas été volées. La surface d'attaque était la couche humaine et infrastructurelle qui les entoure.
Gels de stablecoins : ce qui a été récupéré et ce qui ne l'a pas été
Les stablecoins représentaient 3,46 milliards de dollars du total volé, et l'attaquant a tardé à les convertir, ce qui a créé une courte fenêtre d'action pour les émetteurs. Tether a gelé le portefeuille Ethereum principal de l'attaquant 37 minutes après l'arrivée des USDT volés, bloquant 1,18 milliard d'USDT. Dans les 17 minutes suivant cette action, Tether avait suivi les fonds et gelé quatre autres adresses de l'attaquant. Circle a gelé les 823 millions d'USDC détenus dans le même portefeuille trois minutes après l'action initiale de Tether. Ripple, World Liberty Financial, Paxos et First Digital ont gelé d'autres stablecoins. Tether a également gelé l'or tokenisé détenu par l'attaquant. Binance a gelé les WBETH qu'elle émet, et le Conseil de sécurité d'Arbitrum a pris des mesures d'urgence pour mettre les actifs hors de portée de l'attaquant.
Montants gelés vérifiés par blockchain
Elliptic a vérifié 2,84 milliards de dollars de fonds gelés on-chain, proche de l'estimation de Binance d'environ 3 milliards de dollars. Les stablecoins représentent 94 % du total gelé, concentré presque entièrement sur Ethereum et Tron. Arbitrum est la seule blockchain où la quasi-totalité des actifs volés a été sécurisée. Rien de ce qui a été volé sur Bitcoin, le XRP Ledger, Solana ou NEAR n'a été gelé, car les actifs natifs de ces blockchains n'ont pas d'émetteur disposant d'un pouvoir de gel. Ripple, par exemple, peut geler le RLUSD mais pas le XRP. Aave a gelé ses marchés en réaction, mais cela a restreint les nouvelles activités plutôt que saisi les positions existantes de l'attaquant. L'analyse d'Elliptic identifie également une position Aave détenant 59,9 millions de dollars de garanties contre 44,4 millions de dollars de dette, qui se situe hors du total gelé vérifié.
Activité de blanchiment déjà en cours
Avant que les gels des émetteurs ne prennent effet, l'attaquant avait déjà converti environ 786 millions de dollars de stablecoins en ETH et en TRX. L'activité on-chain ultérieure montre 434 millions d'USDT supplémentaires échangés contre environ 160 451 ETH via Uniswap, 1inch et des teneurs de marché de type request-for-quote. La stratégie de conversion est cohérente avec les méthodes de blanchiment nord-coréennes : déplacer les stablecoins vers des actifs natifs qu'aucune partie centrale ne peut geler, puis superposer des couches via des protocoles décentralisés.
Attribution à la RPDC et contexte élargi
Elliptic attribue le vol à la RPDC sur la base de preuves on-chain, notamment le flux confirmé de certains fonds volés vers des adresses précédemment liées à une exploitation présumée de Bitget par la RPDC. La méthodologie de l'attaque correspond à celle de TraderTraitor, un groupe de pirates associé au groupe Lazarus et suivi par les autorités américaines. Le gouvernement américain a publiquement établi un lien entre les vols de cryptomonnaies de la RPDC et le financement des programmes d'armement du régime. Si l'attribution se confirme, cet incident unique ferait presque doubler le total des cryptoactifs que le régime est soupçonné d'avoir volés ces dernières années.
Pour situer la menace plus large que représente la RPDC pour le secteur, le Trésor américain et l'OFAC ont déjà sanctionné des individus et des réseaux liés aux programmes de travailleurs informatiques nord-coréens qui acheminent les produits des cryptomonnaies vers Pyongyang. Notre précédente couverture des sanctions du Trésor visant le programme de travailleurs informatiques de la RPDC expose le paysage des sanctions qui s'étend désormais à cet incident.
Implications comptables et de conformité
Pour les cabinets comptables et les directeurs financiers exposés aux plateformes d'échange
La question la plus immédiate pour toute entité détenant des actifs sur Binance est de savoir si ces actifs doivent être dépréciés ou faire l'objet d'une perte de valeur en attendant l'engagement de couverture des pertes de la plateforme. Binance a déclaré qu'elle couvrirait toutes les pertes au moyen de son fonds SAFU et de fonds propres, et qu'aucun fonds des utilisateurs ne serait affecté. Toutefois, tant que cet engagement n'est pas formellement documenté et que la capacité financière de la plateforme à l'honorer n'est pas vérifiée de manière indépendante, les auditeurs sont confrontés à une décision de communication. Les entreprises doivent demander à Binance une confirmation écrite de l'engagement de couverture et évaluer si cela constitue un passif éventuel ou un événement postérieur à la date de clôture nécessitant une information en annexe selon les IFRS ou les US GAAP.
Les montants de stablecoins gelés sont également significatifs. Si un client détient des USDT, des USDC ou d'autres stablecoins via Binance, l'existence de mécanismes de gel au niveau des émetteurs constitue désormais un risque démontré, et non théorique. Les avoirs en stablecoins qui pourraient en principe être gelés par un émetteur tiers peuvent nécessiter un reclassement hors des équivalents de trésorerie, selon les faits et la norme applicable. Il vaut la peine de procéder à cet examen de manière proactive plutôt que d'attendre qu'un auditeur le soulève.
Pour les entreprises qui utilisent un logiciel de comptabilité crypto pour enregistrer les soldes des plateformes d'échange, l'écart entre les soldes déclarés sur la plateforme et les avoirs on-chain vérifiables est devenu une véritable préoccupation d'audit. Les soldes qui ne peuvent être confirmés par rapport aux explorateurs de blockchain ou aux instantanés d'API de la plateforme doivent être signalés comme non confirmés jusqu'à ce que Binance rétablisse ses opérations normales.
Pour les équipes de conformité et les responsables AML
Elliptic a attribué des adresses blockchain associées au vol, et le filtrage par rapport à ces adresses est déjà possible pour les plateformes qui souscrivent à des services d'analyse blockchain. Toute transaction touchant ces adresses, que ce soit directement ou via des sauts ultérieurs, présente désormais un risque élevé d'exposition aux sanctions compte tenu de l'attribution à la RPDC. Les entreprises opérant sous la juridiction de l'OFAC en particulier doivent s'assurer que leur surveillance des transactions intègre les derniers ensembles d'adresses de l'attaquant.
Le mécanisme de délégation EIP-7702 utilisé dans cette attaque est techniquement nouveau et pourrait ne pas encore être couvert par les modèles de risque de portefeuille existants. Les équipes de conformité doivent en informer leurs fournisseurs d'analyse blockchain afin de confirmer si le contrôle délégué par contrat intelligent est reflété dans la notation du risque des adresses.
La suspension des retraits a également des implications directes en matière de déclaration AML. Lorsqu'une entité réglementée avait des retraits en attente depuis Binance au moment de la suspension, l'impossibilité de déplacer ou de vérifier ces fonds peut déclencher des obligations d'escalade interne selon la juridiction. Il convient d'en discuter avec votre MLRO.
Notre analyse détaillée de la précédente suspension des retraits de Binance et de ses conséquences en matière de conformité est disponible dans notre article sur les implications comptables du piratage de Binance et de la suspension des retraits, qui aborde plus en profondeur les questions structurelles de conformité.
L'angle OFAC se rattache également directement à l'application continue des sanctions nord-coréennes. Notre analyse précédente des sanctions OFAC visant le réseau de fraude crypto des travailleurs informatiques de la RPDC fournit un contexte utile sur la manière dont les autorités américaines construisent le dispositif répressif autour des activités crypto liées au régime.
Questions fréquentes
Binance couvre-t-elle les pertes, et cela affecte-t-il mon traitement comptable ?
Binance s'est publiquement engagée à couvrir toutes les pertes au moyen de son fonds SAFU et de fonds propres, en affirmant que les fonds des utilisateurs ne seront pas affectés. Du point de vue comptable, il s'agit d'une déclaration de la direction. Les auditeurs doivent obtenir une documentation écrite de cet engagement et évaluer s'il existe un actif ou un passif éventuel. Si la plateforme est auditée, demandez à consulter le solde actuel du fonds SAFU et toute confirmation tierce de son adéquation. Tant que cette vérification n'est pas achevée, une information en annexe peut être appropriée.
Que signifie le gel des stablecoins pour la classification de nos avoirs en stablecoins ?
Les gels confirmés d'USDT et d'USDC démontrent que les émetteurs de stablecoins peuvent geler, et gèlent effectivement, des adresses individuelles, y compris des portefeuilles chauds de plateformes d'échange, avec rapidité. Si votre entité détient des stablecoins sur une plateforme d'échange, cet événement renforce la nécessité d'examiner si ces avoirs répondent à la définition des équivalents de trésorerie selon votre norme applicable. Le risque de gel, s'il est significatif, peut également justifier une information en annexe même si aucun gel n'a directement affecté vos propres avoirs.
Comment les entreprises doivent-elles gérer le filtrage des transactions compte tenu de l'attribution à la RPDC ?
Elliptic a attribué des adresses on-chain à l'attaquant, et ces attributions sont disponibles pour le filtrage. Les entreprises relevant de la juridiction de l'OFAC doivent traiter toute transaction touchant ces adresses comme une exposition potentielle aux sanctions et suivre leurs procédures d'escalade OFAC standard. Compte tenu de l'attribution à la RPDC, les entrées pertinentes de la liste SDN et les décrets exécutifs régissant les transactions liées à la Corée du Nord s'appliquent. Contactez votre fournisseur d'analyse blockchain pour confirmer la couverture des adresses.
EIP-7702 crée-t-il un nouveau risque d'audit pour les entreprises détenant des portefeuilles en auto-conservation ?
EIP-7702 permet à un portefeuille Ethereum standard de déléguer l'autorité de signature des transactions à un contrat intelligent. Dans cette attaque, l'attaquant a utilisé ce mécanisme pour prendre le contrôle d'un portefeuille chaud Binance sans voler sa clé privée. Pour les entreprises utilisant une infrastructure d'auto-conservation ou de portefeuille chaud basée sur Ethereum, cela incite à vérifier si les délégations EIP-7702 sont surveillées dans le cadre de vos contrôles de gestion des clés. Votre fournisseur de conservation ou votre équipe de sécurité interne doit confirmer si les événements de délégation d'autorité sont journalisés et font l'objet d'alertes.
Quelles sont les implications fiscales si des fonds détenus sur Binance sont temporairement inaccessibles ?
Le traitement fiscal des fonds inaccessibles sur une plateforme d'échange varie selon la juridiction et dépend de la question de savoir si une perte est considérée comme réalisée. Aux États-Unis, une perte n'est généralement pas déductible tant qu'elle n'est pas fixée et déterminable avec une certitude raisonnable. Si Binance indemnise les utilisateurs, aucune perte déductible ne survient. Si une partie est finalement irrécupérable, le moment de la déductibilité dépendra du moment où cela deviendra clair. Au Royaume-Uni, les indications du HMRC sur les réclamations pour valeur négligeable peuvent être pertinentes pour tout jeton devenant définitivement inaccessible. Conservez tous les enregistrements des soldes, l'engagement de couverture de la plateforme et toute communication ultérieure.
Source : Elliptic