Binance : 6,3 milliards $ volés, ce détail troublant qui relie le casse du siècle aux mêmes pirates que Bybit

Dans la soirée du jeudi 29 octobre, Binance a vu s’évaporer 6,3 milliards de dollars d’actifs, soit environ 5,9 milliards d’euros, en un temps record. La plus grande plateforme d’échange de cryptomonnaies au monde se retrouve au cœur du plus gros braquage de l’histoire des cryptos, loin devant le casse de 1,5 milliard de dollars chez Bybit en février 2025. Retrats suspendus, promesse de remboursement intégral et enquête interne en urgence composent le décor.

Très vite, les regards se tournent vers le même suspect que pour Bybit et pour Bitget : le groupe nord-coréen TraderTraitor, rattaché par plusieurs chercheurs à la nébuleuse Lazarus. Des flux on-chain issus de Binance et de Bitget convergent vers une même adresse Ethereum après un passage par THORChain, tandis que des sociétés spécialisées comme TRM Labs attribuent le vol au même groupe. Une coincidence troublante qui relance une question centrale : les pirates de Bybit ont-ils réellement remis ça chez Binance ?

Hack de Binance, TraderTraitor et Bybit : des attaques qui se répondent

Au petit matin, l’enquêteur on-chain ZachXBT signale qu’il a repéré des fonds issus du hack de Binance et de celui de Bitget, soit 388 millions de dollars environ 360 millions d’euros, arrivant sur la même adresse Ethereum, 0x15104a…feb7. Les deux flux sortent de THORChain, un protocole d’échange entre blockchains où aucun intermédiaire ne peut geler quoi que ce soit. « Le même acteur est probablement derrière les deux incidents », écrit ZachXBT sur X, cité par Journal du Coin. Bitget ayant déjà été attribué à TraderTraitor, ce regroupement renforce l’idée d’un même écosystème d’attaquants ou de blanchisseurs.

Côté Binance, TRM Labs n’a pas attendu les analyses publiques. La société d’analyse blockchain impute le vol au groupe TraderTraitor avec « une confiance élevée », et Blockaid décrit des tactiques « cohérentes » avec les opérations attribuées à Pyongyang. En remontant à Bybit, 1,5 milliard de dollars environ 1,4 milliard d’euros avaient été siphonnés le 21 février 2025 via l’ordinateur infecté d’un développeur de Safe{Wallet} et une interface de signature trafiquée. Cinq jours plus tard, le FBI publiait un avis désignant la Corée du Nord et baptisant l’activité « TraderTraitor ». Bitget, frappée fin septembre 2026 pour 388 millions de dollars, a cédé sur une faille d’un logiciel de sécurité tiers utilisée pour injecter de faux ordres de retrait. Dans les trois cas, les plateformes assurent qu’aucune clé privée n’a fuité : les assaillants compromettent un poste ou un prestataire, puis laissent l’infrastructure signer les transactions à leur place. THORChain revient aussi en filigrane, avec 72 % du butin de Bybit qui y auraient transité selon Ben Zhou, et environ 269 millions de dollars de fonds Bitget passés par ce protocole d’après BlockSec.

Même groupe nord-coréen ou mêmes blanchisseurs : ce que l’on peut vraiment dire

Une adresse commune comme 0x15104a…feb7 ne suffit pas à elle seule à prouver que les « mêmes doigts ont tapé les commandes ». En septembre, BlockSec estimait que les recoupements autour de Bitget désignaient « plus directement des réseaux de blanchiment partagés que les mêmes attaquants ». ZachXBT avait lui-même exposé des blanchisseurs chinois cherchant de l’aide sur Discord et Telegram pour le compte des pirates présumés. Le portefeuille partagé et l’usage répété de THORChain sont donc des indices lourds, mais ils peuvent aussi refléter l’existence de filières de cash-out spécialisées au service de plusieurs équipes nord-coréennes.

Dans le dossier Binance, d’autres éléments tirent tout de même vers TraderTraitor : l’attribution de TRM Labs avec « une confiance élevée », le mode opératoire basé sur un poste ou un prestataire compromis plutôt qu’une fuite de clé privée et le précédent Bybit officiellement relié à ce sous-groupe par le FBI en cinq jours. Pendant que les investigations se poursuivent, Binance affirme avoir déjà gelé environ 3 milliards de dollars d’actifs, dont plus de 1,5 milliard d’USDT bloqués par Tether et plus de 800 millions d’USDC par Circle, alors qu’environ 1,4 milliard de dollars de bitcoins répartis sur 19 portefeuilles échappent à tout gel. Le choc se lit aussi sur le marché : le Bitcoin est passé d’environ 80 300 dollars près de 75 000 euros à un plus bas autour de 76 000 dollars, plus de 1,5 milliard de dollars de positions ont été liquidées en 24 heures et le BNB a perdu plus de 6 %. « Ce n’est qu’une fois les actifs dégelés et davantage de détails sur le piratage connus que nous trouverons un nouveau plancher », a estimé Geoffrey Kendrick, responsable de la recherche crypto chez Standard Chartered, cité par 01net. Pour l’heure, seul un nouvel avis formel du FBI permettrait de trancher si le casse de Binance doit être rattaché, noir sur blanc, aux mêmes pirates que celui de Bybit.