Vol de 6,3 milliards chez Binance : protéger votre poste d’administration
Le 29 octobre 2026, vers 16 h 05 (heure de l’Est), des pirates ont commencé à vider des portefeuilles de Binance, la plus grande plateforme d’échange de cryptomonnaies au monde. En une vingtaine de minutes, l’essentiel d’environ 6,3 milliards de dollars américains avait quitté la plateforme. C’est le plus gros vol de cryptomonnaies jamais recensé, environ quatre fois celui de Bybit en février 2025.
Le point de départ, selon l’enquête préliminaire de Binance : le portable compromis d’un ingénieur DevOps. Vous ne gérez pas de cryptomonnaies? La leçon vous concerne quand même, parce que chaque PME a au moins un poste d’administration : l’ordinateur de la personne qui gère Microsoft 365, les serveurs, la paie ou les virements.
Ce que Binance a dit, et ce qui reste à confirmer
Binance explique que l’accès obtenu depuis ce portable a permis aux attaquants d’atteindre un conteneur de service, puis de soumettre des retraits non autorisés. L’entreprise dit n’avoir trouvé, pour l’instant, aucune preuve d’une fuite de clés privées de portefeuilles. Son co-PDG Richard Teng a précisé que l’attaquant « n’a pas simplement utilisé les permissions d’un seul ingénieur » et qu’il ne s’agissait pas d’une action « en un clic », mais d’un processus d’attaque plus complexe (traduction libre). Binance ajoute avoir découvert d’autres points de brèche et n’attribue la faute à aucun individu.
✔️ Ce qui est connu (30 octobre)
- Un portable DevOps compromis a servi de point d’entrée, selon Binance.
- Les retraits non autorisés ont été soumis depuis un conteneur de service.
- Les dépôts et retraits ont été suspendus et des autorisations révoquées.
- Binance dit couvrir les pertes avec son fonds SAFU et ses propres fonds.
- TRM Labs et Chainalysis attribuent le vol à TraderTraitor, un groupe lié à la Corée du Nord.
❓ Ce qui reste flou
- Comment le portable a été compromis au départ.
- La nature exacte des « autres points de brèche ».
- Combien de fonds seront finalement récupérés.
- Binance n’a pas fait d’attribution officielle.
Le déroulement, minute par minute
Selon TRM Labs, cité par CNBC, des portefeuilles sont financés par Tornado Cash et des signatures de transactions sont obtenues à l’avance.
Les fonds partent sur une dizaine de chaînes de blocs (20 h 05 UTC).
La majeure partie des quelque 6,3 milliards a déjà quitté Binance.
Tether, Circle, Ripple, World Liberty Financial et Arbitrum gèlent une partie des fonds, environ 2,7 milliards selon TRM Labs.
Environ 2,4 milliards en ETH et en BTC, qu’aucun émetteur ne peut geler.
Un détail compte pour une PME : tout s’est joué en une vingtaine de minutes, après au moins une journée et demie de préparation silencieuse. Comme le résume Ari Redbord, de TRM Labs : un gel empêche l’argent de bouger, mais la récupération passe ensuite par un processus juridique. Autrement dit, ce qui est parti vite revient lentement, quand il revient.
Pourquoi le poste d’administration est la vraie cible
Les attaquants ne visent pas d’abord les serveurs les mieux protégés. Ils visent la personne qui y a accès, et l’ordinateur où elle est déjà connectée. Sur ce poste se trouvent des sessions ouvertes, des jetons, des accès au nuage et parfois des secrets. Voici comment le rayon d’impact s’élargit, chez Binance comme chez vous :
Du portable jusqu’à l’argent : les cercles à protéger
1. Le portable de l’administrateur
Courriel, navigateur, outils de développement et accès administrateur sur la même machine.
2. Les sessions et jetons déjà ouverts
Console infonuagique, Microsoft 365, gestionnaire de mots de passe : pas besoin de mot de passe si la session est volée.
3. Les systèmes internes
Chez Binance, un conteneur de service. Chez une PME : le serveur de fichiers, le logiciel comptable, la console de sauvegarde.
4. Ce qui fait sortir de l’argent
Retraits chez Binance. Chez vous : virements, paie, changement de coordonnées bancaires d’un fournisseur.
Chaque cercle franchi sans nouvelle vérification élargit les dégâts.
Binance et votre PME : le même problème, à une autre échelle
| Chez Binance | L’équivalent dans une PME | La parade |
|---|---|---|
| Portable d’un ingénieur DevOps compromis | Portable de la personne qui gère Microsoft 365 ou les serveurs | Un poste d’administration dédié, sans courriel ni navigation personnelle |
| Accès à un conteneur de service | Accès permanent aux serveurs et à la console infonuagique | Comptes administrateurs séparés, accès accordé seulement au besoin |
| Retraits soumis automatiquement | Virement ou paie modifiés depuis un compte légitime | Deux personnes pour tout mouvement d’argent, confirmé par un autre canal |
| Tout sort en 20 minutes | Une fraude découverte le lendemain | Alertes en temps réel et capacité de couper les accès tout de suite |
Protéger votre poste d’administration en 6 gestes
Liste à vérifier cette semaine
- ☐ Réserver un ordinateur (ou une session distincte) aux tâches d’administration : pas de courriel, pas de navigation libre, pas de logiciels personnels.
- ☐ Créer des comptes administrateurs séparés des comptes de tous les jours, avec une authentification multifacteur résistante à l’hameçonnage (clé de sécurité ou passkey).
- ☐ Retirer les droits d’administration permanents : on les accorde pour une tâche, puis on les retire.
- ☐ Exiger deux personnes pour les virements, la paie et les changements de coordonnées bancaires, avec un rappel à un numéro connu.
- ☐ Installer un EDR comme SentinelOne sur les postes d’administration et révoquer les sessions dès qu’un poste semble compromis.
- ☐ Garder les secrets (clés d’API, mots de passe de service) dans un coffre, jamais dans des fichiers sur le portable.
Le vol de session est l’une des façons les plus courantes de contourner un mot de passe : nous l’expliquons dans notre article sur le vol de session Microsoft 365. Et les groupes liés à la Corée du Nord ne s’en prennent pas qu’aux plateformes de cryptomonnaies : ils ont aussi recours à de faux employés TI à distance pour entrer dans des entreprises ordinaires.
Comment NeoTech peut vous aider
Notre service de gestion des serveurs sépare les accès d’administration et retire les droits inutiles, nos services de cybersécurité révisent les approbations de paiement et l’authentification de vos comptes sensibles, et notre surveillance automatisée 24/7 avec intervention du technicien de garde signale les connexions inhabituelles et les comportements suspects sur les postes surveillés.
Réservez votre Bilan cyber gratuit
En 30 minutes, nous regardons ensemble qui a des droits d’administration chez vous, sur quels ordinateurs, et ce qui empêcherait un portable compromis de mener jusqu’à votre argent.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Nos bureaux : 2572, boul. Daniel-Johnson, bureau 237, Laval.
Sources
- BleepingComputer, Sergiu Gatlan, « Binance links $6.3 billion crypto theft to compromised DevOps laptop » (30 octobre 2026) (en anglais)
- CNBC, Jenny Lee, « Binance’s $6.3 billion hack: What we know and what comes next » (29 octobre 2026) (en anglais)
- CNBC, « Biggest-ever crypto hack impacts $6.3 billion from Binance » (29 octobre 2026) (en anglais)
Photo : VAZHNIK, Pexels (licence Pexels).