FBI attribue le vol de 6,3 Md$ sur Binance à la Corée du Nord

Ce qui s'est passé

Le 31 octobre 2026, le FBI a publié une alerte publique attribuant formellement le vol de plus de 6 milliards de dollars de cryptomonnaies sur la plateforme Binance à TraderTraitor, un groupe de pirates informatiques lié à la Corée du Nord. L'attaque s'est produite le 29 octobre 2026 et constitue, selon plusieurs analystes, le plus grand vol de cryptomonnaies de l'histoire — dépassant le vol de 620 millions de dollars sur Ronin Network en 2022, lui aussi attribué à TraderTraitor.

L'alerte du FBI, rédigée conjointement avec l'United States Secret Service (USSS) et l'Internal Revenue Service Criminal Investigation (IRS-CI), décrit en détail le comportement post-exploitation des attaquants. Après l'exfiltration initiale, TraderTraitor a converti la majeure partie des actifs en Ether (ETH), probablement pour exploiter la liquidité profonde et la décentralisation des protocoles DeFi comme vecteur de blanchiment. Le FBI a demandé aux opérateurs d'échanges, aux plateformes DeFi et aux fournisseurs d'infrastructure blockchain de bloquer les adresses liées à l'opération.

Chainalysis, la société d'analyse blockchain mandatée par plusieurs parties prenantes, a confirmé de son côté que les fonds volés à Binance ont été commingled — mélangés — on-chain avec les actifs dérobés lors du piratage de Bitget le mois précédent. Cette technique de mélange de fonds issus de sources différentes complique considérablement leur traçabilité et ralentit les procédures de gel d'actifs. Elliptic, autre cabinet spécialisé, a également lié les fonds à des acteurs nord-coréens sur la base de ses propres analyses de graph heuristique.

Du côté de Binance, la plateforme a indiqué publiquement avoir pu reconstituer environ 90 % du montant volé. Les modalités de cette reconstitution n'ont pas été détaillées : il peut s'agir d'une combinaison de fonds propres, de réserves d'urgence, et potentiellement de récupérations partielles via des gels d'actifs sur des exchanges centralisés. Le directeur général de Binance a affirmé que les utilisateurs ne subiraient aucune perte, et que la plateforme disposait de réserves suffisantes pour absorber le choc.

Les modalités techniques de l'attaque n'ont pas été entièrement divulguées par le FBI, mais TraderTraitor est connu pour cibler les employés de plateformes crypto via des campagnes de spear-phishing sophistiquées, souvent sous couverture d'offres d'emploi dans la crypto (technique dite «Dream Job»). Une fois un compte interne compromis, le groupe accède aux clés cryptographiques de signature ou aux portefeuilles de trésorerie institutionnels. La valeur élevée des actifs volés suggère que l'accès obtenu était de niveau très élevé dans l'infrastructure de Binance.

L'enquête internationale se poursuit. La Corée du Nord, via ses médias d'État, a catégoriquement nié toute implication et a qualifié l'attribution du FBI de «grave provocation politique». Cette posture de déni est systématique : Pyongyang a nié toutes les attributions précédentes liées à TraderTraitor, y compris le vol sur Ronin Network, malgré les preuves convergentes des services de renseignement américains, coréens et japonais.

Les enquêteurs suivent désormais le mouvement des fonds à travers une chaîne de protocoles : échanges décentralisés (DEX), mixers, services de cross-chain bridging et plateformes d'échange instantané (instant swaps) qui permettent d'échanger des cryptos sans KYC. Cette architecture de blanchiment est caractéristique de TraderTraitor et avait déjà été documentée après le vol de Ronin. Le FBI et l'OFAC (Office of Foreign Assets Control) ont sanctionné plusieurs adresses liées à ces opérations.

Pourquoi c'est important

Avec plus de 6 milliards de dollars dérobés en une seule opération, ce hack dépasse tous les précédents dans l'industrie crypto. Il illustre de manière dramatique l'ampleur des capacités cyber offensives de la Corée du Nord — un État qui a fait du vol de cryptomonnaies une composante structurelle de son financement d'État, notamment pour son programme balistique et nucléaire. Selon le FBI et l'ONU, TraderTraitor aurait déjà volé plus de 3 milliards de dollars entre 2017 et 2023 avant ce dernier incident.

Pour l'industrie crypto dans son ensemble, cet événement relance le débat sur la sécurité des exchanges centralisés (CEX). Malgré les améliorations de sécurité post-FTX, les grandes plateformes restent des cibles prioritaires en raison de la concentration de liquidités qu'elles représentent. La question des modèles de custody — multi-sig, MPC (Multi-Party Computation), hardware security modules — revient au centre des discussions techniques. Le fait que Binance ait pu absorber 90 % de la perte témoigne de la solidité de ses réserves, mais soulève aussi des questions sur les autres plateformes qui ne disposeraient pas de tels coussins.

Du point de vue réglementaire, cet incident alimentera les débats en cours sur la réglementation des exchanges crypto aux États-Unis, en Europe (MiCA) et dans les juridictions asiatiques. Les régulateurs pourraient exiger des exigences de fonds propres plus élevées, des assurances obligatoires, ou des audits réguliers des wallets de trésorerie. L'implication d'un État-nation dans le vol pose aussi des questions sur les obligations de déclaration aux autorités de surveillance financière.

Pour les entreprises utilisant des cryptomonnaies en trésorerie ou pour des paiements, cet incident est un signal d'alarme. La diversification des plateformes de custody, l'usage de wallets froids (cold storage) pour les grandes réserves, et la mise en place de procédures de validation multi-signatures pour les transactions significatives sont des mesures de base qui méritent d'être revisitées à la lumière de cet événement.

Ce qu'il faut retenir

• TraderTraitor (Corée du Nord) est désormais responsable du plus grand vol de cryptomonnaies de l'histoire avec 6,3+ milliards de dollars dérobés sur Binance en octobre 2026.
• Les fonds sont activement blanchis via DeFi, DEX et instant swaps — les exchanges doivent bloquer les adresses listées par le FBI dans son alerte du 31 octobre.
• Les enterprises détenant des cryptos doivent auditer leur stratégie de custody et s'assurer que les grandes réserves sont en cold storage avec signature multi-parties.