Binance, 6,3 milliards de dollars : ce qu'on sait du laptop d'un ingénieur DevOps
Un laptop d'ingénieur DevOps serait le point d'entrée du plus gros vol de l'histoire des cryptos. Ce qui est établi, ce qui reste une hypothèse, et ce qu'une équipe DevOps doit vérifier dès maintenant.
Le 29 octobre 2026, environ 6,3 milliards de dollars ont quitté les portefeuilles de Binance. Quelques heures plus tard, une phrase a fait le tour du métier : tout serait parti du laptop d’un ingénieur DevOps.
La formule est efficace, et elle est trompeuse. Binance écrit que l’incident « may involve » ce laptop, puis a précisé qu’il y avait d’autres points d’intrusion. Son co-PDG écrit : « Our investigation has not attributed responsibility to any individual. » À ce stade, rien ne dit qu’un DevOps a causé quoi que ce soit. Au mieux, son poste a servi de porte d’entrée.
L'enquête est en cours et Binance n'a pas publié son post-mortem. Cet article distingue ce que Binance affirme, ce que des sociétés d'analyse estiment et ce que j'en déduis. Il sera mis à jour. Les heures sont en UTC.
Ce qui s’est passé, en une chronologie
| Quand (UTC) | Quoi | Source |
|---|---|---|
| 29 oct., vers 20:05 | Début de la compromission des portefeuilles chauds, selon Binance | crypto.news, Bitcoin.com |
| 20:20 | Lot de 50 autorisations EIP-7702 soumis ; le premier gros transfert suit environ 3 minutes plus tard | analyse de Secure Blink |
| 21:01 – 21:14 | Premiers gels de stablecoins par Tether, puis d’autres émetteurs | Secure Blink, Chainalysis |
| 21:29 | Premier message de Binance : elle enquête sur un possible problème de sécurité et dit les fonds « complètement en sécurité » | Euronews |
| 23:22 | Binance annonce pour la première fois des actifs touchés, et 2,54 milliards de dollars gelés | Euronews |
| 23:56 | Fin de la vidange, d’après Bitquery | Euronews |
| 30 oct., 02:25 | Impact estimé à 6,3 milliards de dollars, première mention du laptop | Euronews, Cointelegraph |
| 07:37 | Teng : attaque « plus complexe », pas une action en « un clic » | Cointelegraph |
| 08:37 | Binance évoque des « points d’intrusion supplémentaires » | Cointelegraph |
| 10:55 | Plus de 6,34 milliards de dollars de fonds de l’entreprise mis de côté | Cointelegraph |
| 14:34 | Teng : une délégation EIP-7702 a donné le contrôle d’un portefeuille chaud | Cointelegraph |
| 31 oct., 07:46 | Dernier point lu : reprise des retraits visée sous environ 34 heures, par étapes, après un objectif initial de 48 heures | crypto.news |
Le 31 octobre au matin, aucune des sources lues n’indique que les retraits ont repris. Binance annonce une preuve de réserves pour le lundi 2 novembre.
La chaîne d’attaque : ce qu’on sait vraiment
Ce que dit Binance. Son enquête préliminaire indique que l’incident « may involve a compromised DevOps engineer’s laptop », ce qui aurait permis d’atteindre un conteneur de service et de soumettre des retraits non autorisés. Elle n’a trouvé aucune preuve de fuite de clé privée de portefeuille. Teng ajoute que la délégation EIP-7702 « did not pass through our normal approval controls », et que l’attaquant a utilisé un mécanisme d’autodestruction pour effacer ses outils et ses traces.
Ce que disent les analystes. Blockaid parle à chaud d’une « compromise of signing infrastructure » : la clé n’aurait pas fuité, mais le système qui s’en sert aurait été détourné. Hypernative décrit de même des signatures valides, produites par des clés sous contrôle de Binance.
Ce que personne ne sait encore : comment le laptop a été infecté, quels sont les autres points d’intrusion, et comment l’attaquant a obtenu ces signatures. Secure Blink le rappelle : le chemin qui va du laptop au conteneur reste une hypothèse.
EIP-7702, en deux phrases
Cette fonction d’Ethereum permet à un portefeuille classique de déléguer son exécution à un contrat intelligent, par une autorisation signée. Ici, elle aurait permis de vider d’un seul coup un portefeuille chaud de ses tokens, via un contrat préparé par l’attaquant.
Ce n’est pas une faille d’Ethereum. Selon le patron de Blockaid, les fonds pouvaient être volés sans EIP-7702 ; elle offrait surtout un moyen de tout faire « in one sweep ». Secure Blink résume : le mécanisme a fonctionné comme prévu, c’est la signature qui n’aurait jamais dû exister.
Les chiffres, et pourquoi ils varient
| Qui | Volé | Gelé |
|---|---|---|
| Binance (estimation préliminaire, non auditée) | environ 6,3 Md$ | environ 3 Md$ |
| TRM Labs | environ 6,36 Md$ | environ 2,7 Md$ |
| Chainalysis | environ 6,4 Md$ | environ 2,8 Md$ |
| Elliptic | 6,43 Md$ | 2,84 Md$ |
Les écarts tiennent notamment au périmètre et au moment du calcul : prix retenu pour chaque transfert, nombre de blockchains comptées (de 9 à 11 selon les sources), heure du relevé. Les sources divergent aussi sur la durée : on lit « environ 20 minutes » pour le gros de la vidange et « un peu moins de quatre heures » pour la fenêtre complète. Les deux sont compatibles.
Binance affirme que les utilisateurs ne paieront pas : « Binance will absorb the financial impact of these stolen funds, not our users. »
Qui est derrière ? TRM Labs attribue l’attaque à TraderTraitor, un groupe nord-coréen, avec une « high confidence », et rappelle que le FBI a désigné le même groupe pour le vol de 1,5 milliard de dollars chez Bybit en février 2025. Chainalysis va dans le même sens, et Elliptic juge l’implication nord-coréenne probable. Binance n’a nommé personne, et Secure Blink note qu’aucune agence gouvernementale ne l’a attribuée à ce stade.
Pourquoi « la faute du DevOps » est la mauvaise lecture
Si le laptop est bien le point de départ, ce scénario n’a rien de nouveau : la fuite de LastPass en 2022 a elle aussi commencé par l’ordinateur d’un ingénieur DevOps. Ces postes sont ciblés précisément parce qu’ils ouvrent beaucoup de portes.
Un groupe bien financé finira toujours par compromettre un poste. La vraie question d’architecture est donc : pourquoi un seul poste compromis pourrait-il mener à la signature de 6 milliards de dollars ? Teng va dans ce sens quand il écrit que l’attaquant n’a pas simplement utilisé les droits d’un ingénieur.
Chercher un coupable a aussi un coût pratique : un ingénieur qui craint d’être désigné signale plus tard qu’il a cliqué sur un lien douteux. Or, dans ce type d’attaque, les minutes comptent.
Ce que j’en retiens pour une équipe DevOps
Cette partie est mon analyse, pas un constat sur l’architecture de Binance, qu’on ne connaît pas. Elle vaut pour n’importe quel système où une identité technique peut déclencher une action irréversible : paiements, signature d’images, suppression de données.
| Question à se poser | Pourquoi | Ce qui répond à la question |
|---|---|---|
| Que peut atteindre un seul poste compromis, aujourd’hui, sans autre validation ? | C’est le rayon d’explosion réel, pas celui du schéma d’architecture | Faire l’exercice sur un vrai poste ; supprimer les accès permanents à la production |
| Les identifiants qui traînent sur les postes durent-ils des heures ou des mois ? | Un voleur d’identifiants n’emporte que ce qui est encore valable | Jetons courts, SSO, clés matérielles FIDO2, accès à la demande et limité dans le temps |
| Peut-on ouvrir un shell dans un conteneur de production ? | Le conteneur hérite des droits du service, souvent plus larges que ceux de l’humain | Interdire exec par défaut, accès d’urgence journalisé et validé à deux |
| Le contrôle est-il dans le service qui exécute, ou en amont ? | Un contrôle en amont se contourne en appelant directement le service ; c’est ce que suggère « did not pass through our normal approval controls » | Le signataire vérifie lui-même : politique, liste de destinations, plafonds, double validation |
| Une seule identité peut-elle agir sur tous les périmètres ? | Secure Blink pointe ici « one signing plane serving ten chains » | Isoler par périmètre, plafonner ce qui reste accessible à chaud |
| Vos journaux survivent-ils à l’attaquant ? | Ici, il aurait détruit outils et traces | Envoi immédiat vers un compte séparé, en écriture seule et non modifiable |
| Qui reçoit l’alerte, et en combien de minutes peut-on couper ? | La vidange a commencé vers 20:05, et le premier message public date de 21:29 | Alertes sur les actions rares, bouton d’arrêt testé en exercice |
Deux détections concrètes, proposées par Secure Blink pour qui opère des portefeuilles : alerter sur toute délégation EIP-7702 qui touche une adresse de trésorerie, et sur les requêtes vers le signataire qui ne passent pas par le parcours normal de retrait. Hors crypto, la deuxième se transpose telle quelle : alertez sur tout appel à un service critique qui ne vient pas de son appelant habituel.
Pour un point voisin, la vérification au dernier moment plutôt qu’en amont, voir la signature d’images et l’admission avec Kyverno.
Ce qu’il faudra regarder ensuite
- Le post-mortem technique de Binance, promis une fois les faits vérifiés. C’est lui qui dira si le récit du laptop tient.
- La preuve de réserves du 2 novembre, et la reprise effective des retraits.
- Les fonds restants : Bitquery estimait à environ 3,1 milliards de dollars ce que l’attaquant détenait encore, surtout en Ether et en Bitcoin.
Sources
Lues pour cet article, le 31 octobre 2026 :