Binance a promis de couvrir toutes les pertes des clients après une violation qu'elle estime avoir affecté 6,3 milliards de dollars. Son effort de récupération implique désormais plusieurs processus différents, du gel des stablecoins au traçage des actifs qu'aucun émetteur de jetons ne peut bloquer.
Résumé
- Binance estime que la violation du 29 octobre a affecté environ 6,3 milliards de dollars.
- La plateforme d'échange affirme que ses partenaires ont gelé environ 3 milliards de dollars d'actifs concernés.
- TRM Labs a tracé les transferts sur 10 blockchains et évalue les sorties initiales à 6,36 milliards de dollars.
- Blockaid a identifié 50 autorisations Ethereum dans une transaction ciblant Binance 14.
- Binance s'est engagée à couvrir les pertes via 2 sources, son fonds SAFU et les fonds de l'entreprise.
Binance a estimé que 6,3 milliards de dollars en cryptomonnaies ont été affectés par sa violation du 29 octobre et s'est engagée à couvrir toutes les pertes, tandis que ses partenaires ont gelé environ 3 milliards de dollars.
La mise à jour de sécurité de Binance indique que son enquête préliminaire pointe vers l'ordinateur portable d'un ingénieur DevOps compromis qui aurait pu permettre l'accès à un conteneur de service interne et la soumission de retraits non autorisés.
La plateforme d'échange affirme n'avoir trouvé aucune preuve de fuite des clés privées des portefeuilles. Elle a révoqué l'autorisation de l'adresse concernée, impliqué les forces de l'ordre et promis un rapport technique après que les enquêteurs auront fini d'établir ce qui s'est passé.
Les enquêteurs blockchain ont publié des comptes rendus distincts des transferts. Leurs chiffres décrivent différentes étapes de l'incident et utilisent des périmètres différents, certains comptant la valeur au moment où les actifs ont quitté Binance et d'autres décrivant les actifs qui ont ensuite été gelés.
Le chiffre de 3 milliards de dollars gelés coexiste donc avec l'estimation de 6,3 milliards de dollars. Binance n'a pas décrit les 3 milliards de dollars comme de l'argent déjà restitué aux clients, et n'a pas non plus publié de comptabilité finale de sa propre perte financière après récupérations.
Le piratage de Binance a atteint plusieurs réseaux en quelques minutes
Selon TRM Labs, la principale vague de transferts a commencé vers 20h05 UTC le 29 octobre et a déplacé la majeure partie des fonds volés en environ 20 minutes. Son enquête couvre 10 réseaux, avec une autre vague atteignant Avalanche et Polygon plus tard dans la soirée.
L'estimation de TRM évalue les actifs au moment de chaque transfert. Le chiffre de 6,3 milliards de dollars de Binance est l'estimation par l'entreprise de l'impact de l'incident, de sorte que la différence entre les deux totaux n'établit pas à elle seule que les enquêteurs ont découvert un autre vol.
La firme attribue l'attaque au groupe TraderTraitor de la Corée du Nord en utilisant des renseignements on-chain et off-chain. Binance n'a pas confirmé l'identité de l'attaquant, et l'attribution reste l'évaluation des enquêteurs.
Comme crypto.news l'a précédemment rapporté, l'attribution et le traçage initiaux ont relié l'incident à une unité de piratage précédemment identifiée par le FBI dans le vol de Bybit en février 2025. Une attribution technique et une conclusion criminelle sont des étapes distinctes, même lorsque les enquêteurs expriment une grande confiance.
Les transferts impliquaient des actifs avec des options de récupération très différentes. Les jetons dollar peuvent avoir des contrôles d'émetteur, tandis que le Bitcoin et l'Ethereum natifs ne donnent pas à une société de stablecoin un pouvoir comparable de blacklister le solde d'un détenteur.
Une adresse apparaissant dans le registre de traçage peut par conséquent être une piste utile sans être un solde récupérable. Les enquêteurs peuvent suivre les transferts publics après qu'un attaquant change de portefeuille, mais la capacité d'observer un mouvement ne donne pas automatiquement à quiconque l'autorité de l'inverser.
Une autorisation Ethereum a changé ce qu'un portefeuille chaud pouvait faire
L'enquête technique de Blockaid décrit une attaque contre Binance 14, un portefeuille chaud Ethereum très actif. Une transaction contenait 50 autorisations EIP-7702, dont une correspondait au compteur de transactions du compte et activait une délégation vers du code malveillant.
Les chercheurs affirment que l'attaquant a ensuite utilisé le portefeuille délégué pour transférer un large ensemble d'actifs et a atteint un autre compte intelligent contrôlé par ce portefeuille. La délégation malveillante pouvait rester utile pour des dépôts ultérieurs jusqu'à ce qu'elle soit supprimée.
Le mécanisme d'autorisation de portefeuille a déjà été examiné dans la couverture technique de la publication. Son rôle dans cet incident était de permettre à du code d'opérer dans le contexte d'un portefeuille existant après que l'autorisation requise avait été acceptée.
La spécification EIP-7702 d'Ethereum décrit une délégation persistante, et non une permission qui disparaît nécessairement après une seule transaction. Elle avertit que le code délégué a un accès illimité au compte et doit être étroitement audité par les fournisseurs de portefeuilles.
Cette distinction explique pourquoi la suppression de l'autorisation affectée doit figurer dans la réponse aux côtés de l'arrêt des retraits. Une pause dans l'interface client d'une plateforme d'échange et la suppression d'une délégation on-chain adressent différentes parties d'un même incident.
Blockaid décrit d'autres transferts comme des transactions signées ordinaires provenant de portefeuilles sur plusieurs réseaux. Ses conclusions n'établissent pas que chaque dollar est sorti par la délégation Ethereum, et une seule fonctionnalité Ethereum ne peut à elle seule expliquer les transferts en Bitcoin ou en Tron.
La déclaration préliminaire de Binance et le compte rendu technique des enquêteurs répondent à des questions différentes. La plateforme d'échange décrit une voie possible vers ses systèmes, tandis que les chercheurs décrivent ce que les transactions autorisées ont fait on-chain.
L'enquête complète doit encore relier ces étapes. La déclaration de la plateforme d'échange selon laquelle elle n'a pas trouvé de fuite de clé privée ne signifie pas que chaque transaction approuvée par son infrastructure de signature était voulue par l'entreprise.
Les fonds gelés et les fonds restitués appartiennent à des totaux distincts
Binance affirme qu'environ 3 milliards de dollars ont été gelés grâce à la coopération avec des partenaires du secteur. Un gel restreint le mouvement des actifs concernés, tandis que la récupération nécessite une étape supplémentaire qui restitue la valeur au propriétaire légitime ou à une adresse de récupération convenue.
En utilisant les chiffres arrondis de la plateforme d'échange, 3 milliards de dollars divisés par 6,3 milliards de dollars équivalent à environ 47,6 %. La différence restante est de 3,3 milliards de dollars, soit 52,4 % de l'estimation initiale.
Ces calculs décrivent la relation entre les deux chiffres annoncés par Binance. Ils n'établissent pas que 3,3 milliards de dollars ont disparu au-delà de toute récupération, ni que l'intégralité du solde gelé peut immédiatement servir à rembourser les clients.
Le dénominateur peut changer à mesure que les enquêteurs identifient des transferts, éliminent les doubles comptages ou actualisent les prix. Le numérateur peut changer à mesure que les émetteurs localisent davantage de jetons ou que les autorités autorisent une transaction de récupération.
Le premier compte rendu de TRM estimait les actifs gelés ou sécurisés à environ 2,7 milliards de dollars, en dessous de l'estimation ultérieure de Binance. Ses chiffres constituaient un instantané de traçage daté, et le total ultérieur de l'entreprise ne doit pas y être ajouté comme s'ils décrivaient des pools distincts.
La même prudence s'applique aux annonces des émetteurs. Un gel de Tether et un gel de Circle peuvent être des composantes de l'agrégat de Binance, de sorte que les ajouter tous deux au total de la plateforme d'échange reviendrait à compter certains actifs deux fois.
Les stablecoins échangés avant qu'un émetteur n'agisse introduisent une autre complication. L'émetteur d'un jeton en dollars peut être en mesure de bloquer ce jeton, mais ses contrôles ne suivent pas automatiquement le détenteur dans un autre actif natif.
La comptabilisation de la récupération nécessite donc à la fois les soldes de jetons et leur statut. Les actifs identifiés, les actifs immobilisés, les actifs transférés sous la garde de récupération et les actifs utilisés pour restaurer les soldes des clients sont quatre descriptions différentes.
Binance a désigné des fonds de l'entreprise aux côtés du SAFU
L'engagement de Binance est de couvrir les pertes à l'aide de son Fonds d'actifs sécurisés pour les utilisateurs et de ressources de l'entreprise. Elle n'a pas déclaré que le SAFU seul absorberait l'intégralité de l'incident.
La conversion de la réserve de Bitcoin du fonds a été achevée en février, lorsque Binance a déclaré 15 000 BTC d'une valeur d'environ 1,005 milliard de dollars à l'époque. L'annonce de la conversion décrivait un solde et une valorisation historiques, et non une déclaration fraîche d'octobre sur les ressources d'assurance disponibles.
Même un fonds hypothétique d'un milliard de dollars ne couvrirait que 15,9 % d'un incident brut de 6,3 milliards de dollars. Soustraire 1 milliard de dollars de 6,3 milliards de dollars donne 5,3 milliards de dollars, mais cette arithmétique ne constitue pas une estimation du déficit de financement réel de Binance, car les récupérations et le solde actuel du fonds restent des données distinctes.
Le choix de la plateforme d'inclure des fonds de l'entreprise fait par conséquent partie de la promesse elle-même. Les clients ont été informés que Binance assumera la perte, plutôt que de leur demander d'attendre que les enquêteurs récupèrent chaque jeton volé.
L'engagement ne précise pas la composition exacte des espèces, des cryptomonnaies ou d'autres ressources de l'entreprise qui seront utilisées. Il n'établit pas le calendrier des récupérations contrôlées par les émetteurs ni le traitement comptable des soldes gelés.
Le remboursement des clients et la perte nette finale de l'entreprise peuvent évoluer selon des calendriers différents. Binance peut remplacer un actif client manquant à partir de ses propres ressources avant que l'actif d'origine ne soit récupéré, laissant l'entreprise poursuivre la récupération par la suite.
Si un émetteur restitue ultérieurement un actif qui a déjà été remplacé, cette récupération affecterait l'exposition financière propre de Binance. Elle ne devrait pas être comptée comme un second remboursement de la même perte client.
Une mise à jour des réserves fournira une vue datée de la couverture
Binance a promis une preuve de réserves actualisée après la remédiation. Son instantané des réserves d'août indiquait des ratios de réserves de 100,25 % pour le Bitcoin et l'Ethereum, avec un ratio plus élevé pour l'USDT.
Un ratio d'août ne peut établir la couverture de la plateforme après un incident d'octobre. Les soldes des clients, les avoirs en réserve et les actifs concernés doivent être mesurés à la nouvelle date de l'instantané.
L'examen par la publication des pratiques de déclaration des réserves des plateformes explique que ces systèmes comparent les actifs couverts avec les soldes clients couverts. Ils n'incluent pas automatiquement chaque passif d'entreprise ni n'établissent que les contrôles fonctionnent en continu entre les instantanés.
Un ratio supérieur à 100 % signifie que les actifs inclus dans ce calcul dépassent les soldes clients correspondants qui y sont inclus. Il ne mesure pas la qualité d'un système de retrait ni ne montre comment un attaquant a obtenu une autorisation valide.
La mise à jour des réserves promise par Binance et l'analyse post-mortem technique servent donc des objectifs différents. La première peut documenter la couverture à un moment donné, tandis que la seconde vise à expliquer la compromission et les mesures prises pour fermer la voie utilisée par l'attaquant.
Le même actif ne devrait pas être présenté à la fois comme une liquidité de retrait librement disponible et comme un bien de récupération immobilisé sans expliquer son statut. Les jetons gelés peuvent conserver une valeur en dollars cotée tout en restant indisponibles pour les retraits ordinaires des clients.
La promesse de remboursement laisse le calendrier de récupération ouvert
La réponse la plus forte formulée par Binance est son engagement à couvrir toutes les pertes, soutenu à la fois par le SAFU et par les fonds de l'entreprise. Les gels signalés donnent à l'effort de récupération un ensemble identifié d'actifs que les attaquants ne peuvent pas déplacer librement sous les contrôles applicables.
Aucun des deux engagements ne fournit de chiffre final des pertes. Binance n'a pas encore publié la réconciliation complète entre les actifs volés, les soldes gelés, les actifs restitués et les ressources de l'entreprise engagées pour remplacer les fonds des clients.
Le dossier public contient également un statut opérationnel changeant. L'avis de sécurité initial décrivait une suspension des dépôts et des retraits, tandis que des rapports ultérieurs décrivaient les dépôts comme opérationnels et les retraits soumis à des travaux de sécurité supplémentaires.
Les avis appartiennent à leurs moments de publication respectifs. La capacité d'un client à retirer dépend de l'avis de service actuel pour le réseau concerné, et non du fait qu'un autre réseau ait repris ses opérations.
Une estimation de reprise est un objectif de l'entreprise tant que le service n'est pas réellement rétabli. Ce n'est pas une échéance obligeant chaque client à agir, et la déclaration de sécurité examinée de Binance n'impose pas de fenêtre universelle de retrait pour les clients.
Le rapport technique abordera le point d'entrée préliminaire
La référence de la plateforme d'échange à un ordinateur portable compromis reste préliminaire. Sa déclaration identifie un chemin possible depuis l'appareil d'un ingénieur vers un conteneur interne, mais ne publie pas d'explication complète sur la manière dont l'attaquant a obtenu chaque autorisation sur les réseaux concernés.
L'analyse de Blockaid offre des preuves concernant l'exécution sur Ethereum, tandis que l'enquête de TRM couvre les transferts et l'attribution sur un ensemble plus large de réseaux. Leur travail ne remplace pas le compte rendu promis par Binance sur les contrôles d'accès internes.
Binance.US, la filiale américaine distincte de la plateforme d'échange, a déclaré que ses opérations n'avaient pas été affectées par l'incident.
Ce qu'il faut surveiller
Actifs restitués : Un transfert confirmé vers la garde de récupération établirait un statut différent de celui d'un gel par l'émetteur.
Avis de retrait : Les mises à jour de service spécifiques à chaque réseau établiront quels retraits ont réellement repris.
Instantané des réserves : La date, les actifs couverts et le traitement des soldes gelés définiront ce que le nouveau rapport établit.
Post-mortem technique : Le compte rendu final devrait relier l'accès interne, l'autorisation de signature et les transferts on-chain.
Réconciliation des pertes : La contribution divulguée de Binance et les actifs récupérés détermineront son exposition financière éventuelle.
FAQ
Combien Binance affirme-t-elle avoir été affecté ?
Binance estime le montant à environ 6,3 milliards de dollars. Le traçage séparé de TRM a évalué les transferts d'origine à environ 6,36 milliards de dollars en utilisant les prix au moment de leur départ.
Quel montant a été gelé ?
Binance indique environ 3 milliards de dollars. En utilisant les chiffres arrondis de la plateforme, cela représente environ 47,6 % de l'impact estimé.
Gelé signifie-t-il récupéré ?
Non. Le chiffre de 3 milliards de dollars décrit des actifs dont les mouvements ont été restreints, tandis qu'un retour ou une récupération effective nécessite une étape supplémentaire.
Les clients supporteront-ils la perte ?
Binance s'est engagée à couvrir toutes les pertes via le SAFU et les fonds de l'entreprise. Sa déclaration nomme 2 sources de financement sans publier leurs contributions finales.
L'attaquant a-t-il volé une clé privée ?
Binance affirme n'avoir trouvé aucune preuve de fuite de clé privée de portefeuille. Blockaid a identifié 50 autorisations EIP-7702 dans l'attaque Ethereum, mais la compromission interne complète reste sous enquête.
Tous les transferts ont-ils été effectués via EIP-7702 ?
Non. Blockaid a décrit d'autres transferts signés ordinaires, et TRM a tracé les sorties à travers 10 réseaux, y compris Bitcoin et Tron.
Le solde SAFU de février peut-il être considéré comme actuel ?
Non. Le solde déclaré de 15 000 BTC et son évaluation de février appartiennent à cette annonce antérieure, et non à une nouvelle réconciliation d'octobre.
Qu'a promis Binance de publier ensuite ?
Binance a promis un rapport de réserves actualisé et une analyse post-mortem technique, 2 divulgations traitant respectivement de la couverture et de la compromission. Il s'agit d'une analyse éducative, et non d'un conseil en investissement.
