Des retraits encore soumis à des délais
Les premiers retraits ont été rétablis sur le réseau bitcoin, a indiqué Binance sur X. La plus grande plateforme d'échange de cryptomonnaies avait interrompu ces opérations en urgence après l'attaque du jeudi 29 octobre. Elle avertit que l'affluence peut encore allonger les délais de traitement.
"Les fonds des utilisateurs sont en sécurité. Binance assumera l'impact financier des fonds volés, et non nos utilisateurs", assure l'entreprise. Pour financer cet engagement, son codirigeant Richard Teng a annoncé le 30 octobre avoir réservé plus de 6,34 milliards de dollars de fonds propres. Binance détenait déjà 5 milliards de dollars dans les cryptomonnaies concernées et rachetait le solde sur le marché, selon Boursorama/AFP.
La plateforme affirmait également, au 30 octobre, que ses partenaires avaient gelé quelque 3 milliards de dollars, soit environ la moitié des fonds visés. Ces opérations de gel étaient toujours en cours.
Le FBI cherche à bloquer les fonds volés
Selon AP News, le FBI attribue le vol à TraderTraitor. Ce groupe nord-coréen serait en train de convertir les actifs dérobés en Ether, la cryptomonnaie du réseau Ethereum. La police fédérale américaine a publié environ 500 adresses Ethereum qu'elle associe au blanchiment des fonds par le groupe et demande aux plateformes de bloquer les transactions provenant de ces adresses.
Donald Trump a toutefois mis en doute cette attribution samedi 31 octobre. Le président américain, qui affirme régulièrement avoir une relation privilégiée avec Kim Jong-un, a déclaré : "Je ne suis pas inquiet. Nous sommes en train d'en apprendre davantage. Nous ne savons pas si c'est la Corée du Nord".
Sans confirmer qu'une enquête était ouverte, le ministère américain de la Justice a rappelé les obligations de Binance : l'accord de plaider-coupable conclu en 2023 impose à l'entreprise de coopérer avec les forces de l'ordre, rapporte Boursorama/AFP.
France 24 souligne que ce piratage illustre la capacité de Pyongyang à obtenir des revenus par des voies illicites, alors que le pays subit de lourdes sanctions internationales liées à ses programmes nucléaires et de missiles balistiques.
Un portefeuille connecté à internet au coeur de l'attaque
Les premières investigations de Binance ont orienté les enquêteurs vers l'ordinateur portable piraté d'un collaborateur. D'autres points d'intrusion ont ensuite été découverts. Selon Richard Teng, les assaillants ont visé un portefeuille de Binance connecté à internet et plusieurs personnes ont participé à l'opération.
TRM Labs décrit une automatisation des transferts grâce à EIP-7702, une mise à jour d'Ethereum datant de mai 2025. D'après la société d'analyse, une seule transaction réunissait 50 autorisations signées par le portefeuille connecté de Binance. Elle a permis de déplacer 167 464 ETH et 63 jetons, dont 1,615 milliard d'USDT, en 3 minutes et 24 secondes.
Chainalysis évalue pour sa part les transferts non autorisés à environ 6,4 milliards de dollars. La société a aussi observé un mélange entre les fonds dérobés à Binance et des comptes utilisés lors du piratage de Bitget, survenu le mois précédent et portant sur 387 millions de dollars.
Un précédent rapporté par Yahoo Finance/Moneywise montre la rapidité avec laquelle des fonds volés peuvent devenir irrécupérables : après le piratage de Bybit en février 2025, les pirates avaient converti 300 millions de dollars en espèces en deux semaines.
TraderTraitor, des attaques financières aux faux recrutements
Apparu en 2022, TraderTraitor est également désigné sous les noms Jade Sleet, Slow Pisces et UNC4899. Selon Yahoo Finance/Moneywise, il appartient au collectif nord-coréen Lazarus Group, qui serait dirigé depuis le Reconnaissance General Bureau, l'agence de renseignement de Pyongyang.
Le FBI, le département de la Défense américain et la police japonaise lui attribuent déjà le vol de 308 millions de dollars subi en mars 2024 par la société japonaise de cryptomonnaies DMM. Des membres de TraderTraitor auraient auparavant appartenu à APT38, le groupe qui a visé le système SWIFT en 2016 pour tenter de dérober 1 milliard de dollars à la banque centrale du Bangladesh.
Ses méthodes comprennent aussi de faux recrutements. Dans un rapport publié le 29 octobre 2026, Microsoft indique qu'en juin, le groupe, sous le nom Jade Sleet, s'est présenté comme une équipe de recruteurs d'une société fictive d'analyse de la blockchain utilisant l'intelligence artificielle. Il approchait ses cibles avec des offres destinées aux ingénieurs logiciels. Selon ce rapport, il utilisait également l'IA pour accélérer ses opérations.
Ces pratiques s'inscrivent dans un contexte d'inquiétude chez de nombreux observateurs, qui craignent que les progrès de l'intelligence artificielle ne fragilisent davantage les protocoles de sécurité informatique.
