Un coffre-fort forcé qui flotte dans un ciel nocturne nuageux avec le sigle de Binance en fond. Binance : pourquoi le cybercasse du siècle n'a pas encore livré tous ses secrets
Ils ont dérobé 6,3 milliards de dollars (5,3 milliards d'euros) en seulement 20 minutes. Des pirates informatiques ont réussi, jeudi 29 octobre, à orchestrer le plus important vol de cryptomonnaies de l’Histoire en s’attaquant à Binance, la plus célèbre des plateformes d’échange de ces actifs dématérialisés.
"C’est, en valeur, quatre fois plus que les fonds volés lors du précédent record en février 2025", soulignent les experts de TRM Labs, une société américaine de surveillance de l’écosystème des cryptomonnaies, dans un rapport sur l’attaque de Binance publié vendredi. À l’époque, la plateforme d’échange émiratie Bybit avait perdu 1,5 milliard de dollars.
Mais derrière ces tentatives de rassurer, un grand flou demeure sur le scénario de cette attaque sans précédent, sur les auteurs de ce cybercasse à très grande échelle et sur le devenir des fonds dérobés.
Tout commence avec un ordinateur portable piraté
"Si on fait abstraction des montants records, cette attaque paraît être d’une banalité affligeante", note Raghu Nandakumara, expert en cybersécurité chez Illumio.
Les premiers éléments disponibles suggèrent qu’un ingénieur de Binance aurait été dupé. Il a cru participer à un "test", ce qui a permis aux pirates informatiques d’installer un logiciel malveillant sur son ordinateur portable.
Problème : cet ordinateur portable n’était pas n’importe lequel. "Il contenait un petit programme permettant de relier un 'portefeuille froid' à un 'portefeuille chaud', ce qui était nécessaire pour avoir accès aux fonds", explique Matthias Schulze, consultant en sécurité informatique pour le cabinet berlinois Security Research Labs et chercheur associé à l’Institut de recherche sur la paix et la politique de sécurité de l'université de Hambourg.
Dans le jargon des cryptomonnaies, "un 'portefeuille froid' est l’équivalent d’un coffre-fort déconnecté du réseau où les fonds sont à l’abri, tandis qu’un 'portefeuille chaud' pour une plateforme comme Binance serait le guichet où il est possible d’exécuter des transactions telles que le retrait d’argent", précise Matthias Schulze.
Les pirates informatiques semblent donc avoir pu ainsi transférer l’argent qui était à l’abri vers ce "guichet" auquel ils ont ensuite adressé une multitude d’ordres de retrait "préautorisés" concernant plusieurs types de cryptomonnaies, telles que le bitcoin, l’ethereum, le XRP ou encore le solana.
Le fait qu’ils aient déjà préparé à l’avance une série de demandes de retraits "préautorisés" "démontre que les attaquants ont dû passer beaucoup de temps en amont à étudier, probablement de l’intérieur, l’organisation de Binance afin d’avoir une parfaite compréhension de son fonctionnement", estime Benoît Grünemwald, expert en cybersécurité pour la société Eset.
Cette préparation et cette précision dans l’exécution leur ont permis de voler une somme record en un temps qui ne l’est pas moins. "C’est tout de même un peu bizarre qu’il ne semble pas y avoir en place des mécanismes internes à Binance chargés de vérifier que l’exécution d’autant de transactions pour de telles sommes est légitime", juge Matthias Schulze.
Pour Benoît Grünemwald, les pirates informatiques ont clairement pu obtenir "des droits d'accès très élevés qui leur permettaient de ne pas être soumis aux procédures de vérification et d'authentification qui s’imposent à des clients ordinaires".
La Corée du Nord soupçonnée
Qui a pu exécuter une telle opération ? La Corée du Nord a rapidement été accusée. Dans leur rapport, les experts de TRM sont formels : "La Corée du Nord a volé 6,36 milliards de dollars à Binance."
Leur preuve ? "Notre attribution se fonde sur des sources solides dans le renseignement", assurent simplement les auteurs du rapport.
"À ce stade précoce de l’enquête, il convient de rester prudent et les preuves techniques publiques disponibles ne permettent pas de confirmer formellement l’identité de ces pirates", nuance Benoît Grünemwald.
Il n’empêche que la Corée du Nord est le suspect numéro un dès qu’il s’agit de ce type de vols de grande ampleur de cryptomonnaies. "La Corée du Nord détient tous les records des braquages les plus importants de l’Histoire. Ce sont des groupes affiliés à Pyongyang qui étaient responsables de l’attaque contre la banque centrale du Bangladesh en 2020, qui était alors le plus important cybercambriolage. Ils ont ensuite battu leur propre record avec l’attaque contre Bybit qui, d’ailleurs, a suivi un scénario très similaire à celui de l’opération contre Binance, avec un transfert de fonds entre des portefeuilles froids et chauds", détaille Matthias Schulze.
La société TRM ne se contente pas d’accuser la Corée du Nord. Elle assure même connaître l’identité des responsables de ce braquage : il s’agirait de TraderTraitor, un groupe qui n’en est pas à son coup d’essai. Là encore, ce ne serait pas étonnant puisque "ce groupe est chargé des opérations contre les banques et les marchés financiers au sein d’APT38, une unité spécialisée dans les opérations financières du Bureau général de reconnaissance, qui est le principal service de renseignement extérieur nord-coréen", précise Matthias Schulze.
Recherche argent désespérément
"Une course contre la montre est désormais clairement enclenchée pour tenter de récupérer ce qui peut l’être de ce vol", affirme Benoît Grünemwald. En effet, le braquage n’est que le début de l’opération, et "il est probable que les pirates informatiques ne s’attendent pas à mettre la main sur l’intégralité des 6,3 milliards de dollars", poursuit cet expert.
Actuellement, les fonds circulent à vitesse grand V dans les réseaux de blanchiment d’argent de l’écosystème des cryptomonnaies. "Il faut tordre le cou à l’idée que cet univers offre un anonymat complet. Comme dans le monde physique, les attaquants doivent blanchir ces fonds pour effacer leur trace, ce qui prend du temps et de l’argent", assure Benoît Grünemwald.
Tout l’argent ? Non, car "une partie a déjà été gelée par les opérateurs de certaines cryptomonnaies concernées par ce braquage", souligne Matthias Schulze. En tout, plus de 2 milliards de dollars "ne pourront pas être échangés en dollars ou autres monnaies réelles", explique cet expert.
Pour immobiliser ces fonds, il faut que les cryptomonnaies soient gérées par une entité centralisée qui, comme une banque, peut décider unilatéralement de geler toute transaction relative à ces sommes. Mais la plupart des cryptomonnaies, comme le bitcoin, reposent sur un fonctionnement décentralisé qui empêche, justement, qu’un seul organisme puisse tout bloquer.
"ll est très probable que pour une opération aussi minutieusement préparée, des circuits pour blanchir rapidement ces fonds aient été mobilisés", estime Benoît Grünemwald. En outre, si la Corée du Nord est réellement impliquée, elle dispose d’"un réseau de banquiers clandestins et de courtiers, situés notamment en Chine, qui peuvent convertir ces actifs numériques en monnaies comme le dollar", précise Matthias Schulze. Un processus qui prendra du temps, ce qui laisse une chance aux enquêteurs de remonter la trace des fonds manquants.
Nous utilisons des cookies pour vous offrir la meilleure expérience sur notre site web. Lorsque vous utilisez notre site, vous êtes informé que nous utilisons des cookies et que vous pouvez modifier cette utilisation à tout moment. En savoir plus.
