Binance : TRM Labs estime le vol à 6,36 milliards de dollars et l’attribue à TraderTraitor

Dix blockchains dans la reconstitution du vol

TRM Labs estime à environ 6,36 milliards de dollars les actifs sortis de portefeuilles attribués à Binance lors de l’attaque du 29 octobre 2026. Dans son analyse, arrêtée au 30 octobre à 0 h 30 UTC, l’entreprise de renseignement blockchain décrit une opération principalement exécutée en une vingtaine de minutes à partir de 20 h 05 UTC. Elle attribue l’attaque avec un niveau de confiance élevé à TraderTraitor, un groupe nord-coréen. Cette attribution appartient à TRM : elle ne constitue pas, à elle seule, une conclusion judiciaire ou une annonce des autorités.

Le calcul couvre dix réseaux et valorise les transferts au moment de leur exécution. TRM distingue ainsi le montant volé de la valeur ultérieure des mêmes jetons, qui change avec leurs cours. Ethereum représente la plus grande partie des sorties identifiées, devant Bitcoin et Tron. Cette méthode explique pourquoi les premières estimations publiées pendant l’incident ont pu diverger. Additionner chaque estimation successive donnerait un bilan artificiellement gonflé : elles décrivent généralement des périmètres et des horaires différents du même vol.

Une délégation Ethereum utilisée contre un portefeuille

Sur Ethereum, l’enquête décrit l’emploi d’EIP-7702 pour déléguer le comportement d’un portefeuille à un contrat contrôlé par l’attaquant. Le mécanisme permet normalement à un compte de recevoir des fonctions programmables après signature d’une autorisation. Ici, TRM relève cinquante autorisations préparées pour des compteurs de transactions consécutifs. Une seule autorisation correspondant au compteur effectif suffisait à installer le programme malveillant. L’analyse porte donc sur l’usage de signatures valides obtenues par le pirate, sans démontrer une rupture du consensus d’Ethereum.

Sur les autres réseaux, les sorties observées reposent sur des transferts signés ordinaires. Pour TRM, leur coordination suggère une compromission de l’infrastructure de signature des portefeuilles opérationnels de Binance. Un portefeuille opérationnel sert notamment aux retraits et reste plus directement connecté aux systèmes d’une plateforme qu’une réserve conservée hors ligne. L’enquête devra encore préciser comment les autorisations ont été obtenues et quels contrôles ont échoué. La seule lecture des transactions ne permet pas de reconstituer tous les accès internes d’un échange.

Le gel d’actifs ne vaut pas remboursement

TRM rapporte qu’environ 2,7 milliards de dollars ont été immobilisés par des émetteurs de stablecoins et par le conseil de sécurité d’Arbitrum. Le gel limite les mouvements de certains actifs ; il ne signifie pas que Binance les détient de nouveau ni que les clients ont déjà reçu un remboursement. Des bitcoins et des ethers restent, selon l’analyse, sous le contrôle de l’attaquant. Tous les actifs numériques ne disposent pas du même mécanisme d’interruption ou du même acteur capable d’intervenir.

Le rapport décrit également des échanges et des emprunts destinés à transformer les actifs avant leur immobilisation. Ces mouvements rendent le suivi plus complexe, sans faire disparaître automatiquement les traces publiques. Le prochain bilan utile devra rapprocher les fonds volés, gelés, restitués et éventuellement indemnisés, avec une date pour chaque chiffre. À ce stade, l’analyse de TRM apporte une reconstitution technique et une attribution argumentée ; elle ne permet pas d’annoncer la récupération intégrale du vol ni une date certaine de retour à la normale.