Piratage de Binance : 6,3 milliards de dollars sortis sans autorisation. Qui peut déplacer l'argent de votre entreprise sans votre signature ?

Si vous pensez qu'aucun virement ne quitte le compte de votre entreprise sans votre signature, le piratage de Binance est une bonne raison de vérifier cette certitude dès aujourd'hui. Le soir du 29 octobre 2026, environ 6,3 milliards de dollars ont quitté les portefeuilles de Binance, première plateforme d'échange de cryptomonnaies au monde, par des retraits non autorisés, l'essentiel en 20 minutes environ. Le codirigeant de la plateforme a indiqué qu'une partie de l'opération n'était pas passée par les contrôles d'approbation habituels. La leçon pour votre entreprise n'a rien à voir avec les cryptomonnaies : recensez chaque chemin capable de déplacer de l'argent ou de modifier le compte d'un bénéficiaire, et exigez pour chacun deux personnes, deux appareils et un journal que personne ne peut effacer.

Ce qui s'est passé chez Binance, en chiffres

Selon la deuxième mise à jour officielle publiée par Binance le 30 octobre, ses portefeuilles chauds, c'est-à-dire les portefeuilles connectés à internet qui servent aux retraits des clients, ont été compromis vers 20 h 05 UTC, pour une perte d'environ 6,3 milliards de dollars. La plateforme a suspendu les retraits, indiqué qu'environ 3 milliards de dollars avaient été gelés sur la blockchain avec l'aide de ses partenaires, et réservé plus de 6,34 milliards de dollars de fonds propres pour couvrir les pertes, dont 5 milliards détenus dans les jetons mêmes qui ont été volés, soit environ 80 % du montant. Elle visait une reprise progressive des retraits dans les 34 heures environ suivant cette mise à jour, avec un rapport de preuve de réserves d'ici le 2 novembre.

L'analyse des données blockchain par TRM Labs apporte des détails importants : les fonds sont sortis sur 10 réseaux, la préparation a commencé au moins 36 heures avant le vol, l'attaquant a répété son outil sur un autre portefeuille avant de s'en servir, et il avait préparé 50 autorisations signées à l'avance pour que l'une d'elles soit valide au moment de l'exécution. TRM chiffre le total à 6,36 milliards de dollars, environ quatre fois le piratage de Bybit, qui avait porté sur 1,5 milliard de dollars en février 2025. TRM et Elliptic attribuent l'attaque à TraderTraitor, un groupe lié à la Corée du Nord, Elliptic précisant qu'aucun gouvernement n'a encore confirmé cette attribution.

Ce que Binance a dit du mode opératoire

L'enquête initiale désignait l'ordinateur portable compromis d'un ingénieur DevOps, qui aurait permis à l'attaquant d'atteindre un conteneur de service et de soumettre des retraits non autorisés. La plateforme a ensuite indiqué que la suite de l'enquête avait révélé d'autres points d'intrusion, et qu'elle n'avait trouvé aucune preuve d'une fuite des clés privées de ses portefeuilles. Son codirigeant a déclaré que l'attaque n'était pas l'œuvre d'une seule personne, que l'attaquant avait utilisé un mécanisme d'autodestruction qui effaçait ses outils et ses traces au fil de l'opération, et que la délégation utilisée sur Ethereum n'était pas passée par les contrôles d'approbation habituels de Binance.

Autrement dit, l'attaquant n'a pas forcé le coffre : il a obtenu que les propres systèmes de Binance signent ses virements. Selon l'analyse de TRM, l'explication la plus probable est une capacité à faire signer au système de signature des transactions choisies par l'attaquant, sur des réseaux et des clés différents, en une demi-heure environ.

Pourquoi cela concerne une entreprise qui ne détient aucune cryptomonnaie

Parce que chaque entreprise fait tourner une version miniature de ce système de signature : le portail bancaire entreprise, le fichier de paiements que le comptable exporte du logiciel comptable puis charge à la banque, l'écran où l'on modifie les coordonnées bancaires d'un fournisseur, le droit de remboursement dans votre passerelle de paiement, le fichier de paie mensuel. En tant que dirigeant, vous voyez le circuit d'approbation officiel, demande puis responsable puis finance, mais l'attaquant cherche le chemin de traverse : un compte système qui charge des fichiers automatiquement, un administrateur informatique capable de changer un IBAN, ou une clé d'intégration chez un prestataire externe capable d'exécuter un virement.

Deux autres leçons s'imposent. La première est la vitesse : l'essentiel de l'argent est sorti en 20 minutes environ, et aucun employé ne peut suivre ce rythme à la main ; la protection doit donc reposer sur des plafonds et des alertes qui fonctionnent seuls. La seconde est la préparation : l'attaquant s'est préparé 36 heures à l'avance et a testé son outil, ce qui veut dire que des signaux précoces existaient pour qui surveillait. Nous avons déjà expliqué comment un seul site de streaming gratuit sur un PC de travail peut livrer les mots de passe de votre entreprise, et l'appareil de la personne qui détient les droits est la cible la plus précieuse de l'entreprise.

Ce qu'il faut vérifier dans votre entreprise cette semaine

• Cartographiez chaque sortie d'argent : notez chaque personne et chaque système capable de lancer un virement, de l'approuver, de modifier le compte d'un bénéficiaire ou d'émettre un remboursement, y compris les comptes système, les clés d'intégration et les prestataires externes.
• Deux personnes et deux appareils pour chaque virement : celui qui saisit un virement ne l'approuve pas, et l'approbation se fait sur un autre appareil. C'est le principe de séparation des tâches des contrôles essentiels de cybersécurité : accomplir une tâche exige plus d'une personne, chacune avec des droits différents. Rattachez-le à une matrice d'approbation qui fixe qui signe quoi.
• Plafonds et alertes instantanées : demandez à votre banque un plafond quotidien de virement et une alerte instantanée sur le téléphone du dirigeant à chaque virement important et à chaque ajout ou modification de bénéficiaire.
• Des droits d'administration à la mesure du besoin : activez l'authentification multifacteur pour chaque connexion à distance et chaque compte à privilèges, révisez régulièrement la liste des détenteurs de ces droits, et supprimez les comptes des anciens employés et des prestataires dont la mission est terminée.
• Un journal que l'attaquant ne peut pas effacer : l'attaquant de Binance a effacé ses traces en cours d'opération. Activez les journaux d'événements pour les comptes à privilèges et les accès à distance, conservez-en une copie hors du système lui-même, pendant au moins 12 mois, comme l'exigent les contrôles.
• Un plan pour les premières minutes : décidez qui appelle la banque pour bloquer un virement, qui désactive le compte suspect, et où se trouvent les numéros d'urgence. Dans le cas de Binance, Tether a gelé le portefeuille principal de l'attaquant 37 minutes après le plus gros transfert, et c'est cette rapidité qui a sauvé une grande partie des fonds.

Que disent les règles saoudiennes ?

Les contrôles essentiels de cybersécurité ECC-2:2024 publiés par l'Autorité nationale de cybersécurité (NCA) s'imposent aux organismes publics et à leurs entités affiliées, ainsi qu'aux entreprises privées qui possèdent, exploitent ou hébergent des infrastructures nationales critiques, et la NCA encourage vivement toutes les autres entités du Royaume à s'en servir. Ils répondent directement aux leçons de Binance : authentification multifacteur pour les accès à distance et les comptes à privilèges (2-2-3-2), principes du besoin d'en connaître, du moindre privilège et de la séparation des tâches (2-2-3-3), gestion des accès à privilèges (2-2-3-4), revue périodique des identités et des droits d'accès (2-2-3-5), et journaux d'événements pour les comptes à privilèges et les accès à distance, surveillés en continu et conservés au moins 12 mois (2-12-3).

Le regard d'Origami

Nous lisons le piratage de Binance comme une leçon sur les circuits d'approbation, pas sur les cryptomonnaies. La plupart des entreprises conçoivent l'approbation pour le circuit officiel et oublient les chemins de traverse : le compte système qui charge le fichier de paiements, l'utilisateur qui peut modifier un IBAN, la clé d'intégration qui peut exécuter. Ces chemins de traverse sont la première chose que cherche un attaquant.

Lorsque nous développons un système sur mesure qui touche à l'argent, comme un système de cycle d'achats ou un portail de paiement des fournisseurs, nous recommandons d'intégrer l'approbation à la conception dès le premier jour : deux personnes différentes pour saisir et approuver, des plafonds de montants, et un journal de chaque modification des données des bénéficiaires. Si vous avez besoin d'un logiciel comptable prêt à l'emploi plutôt que d'un système sur mesure, découvrez Fahim.

En pratique

Nul besoin d'un portefeuille crypto pour tirer les leçons du plus gros vol de cryptomonnaies jamais enregistré. Réservez deux heures cette semaine avec votre comptable et votre responsable informatique : notez chaque chemin par lequel l'argent peut sortir, séparez la saisie de l'approbation sur deux appareils, demandez à la banque des plafonds et des alertes, révisez la liste des administrateurs, et conservez les journaux hors de portée de ceux qui gèrent le système. Pour un examen des circuits d'approbation de vos systèmes, contactez-nous ou découvrez nos services.

Sources

• Binance — Security Incident Update #2, 30 octobre 2026 : heure de l'intrusion, montant, fonds gelés et réservés, objectif de reprise des retraits et rapport de preuve de réserves.
• TRM Labs — North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History, 29 octobre 2026 : les dix réseaux, la durée du vol, la préparation, les 50 autorisations et le gel par Tether.
• Elliptic — The largest theft in history, 30 octobre 2026, mis à jour le 31 octobre : déclarations de Binance sur les contrôles d'approbation et le mécanisme d'autodestruction, et état de l'attribution.
• National Cybersecurity Authority — Essential Cybersecurity Controls ECC-2:2024 : périmètre et contrôles 2-2-3 et 2-12-3.
• BBC News — Crypto giant Binance attempting to recover $6.3bn stolen in hack linked to North Korea, 30 octobre 2026 : déclarations du codirigeant sur les points d'intrusion supplémentaires.