🔍 Contexte

Source : Chainalysis (blog officiel), publié le 30 octobre 2026. Cet article présente l’analyse forensique en temps réel du plus grand vol de cryptomonnaies de l’histoire, survenu le 29 octobre 2026 sur la plateforme Binance.

💥 Déroulement de l’attaque

À partir de 16h20 ET le 29 octobre 2026, des fonds ont commencé à quitter les hot wallets de Binance sur plusieurs blockchains simultanément. Le montant total des transferts non autorisés s’élève à environ 6,4 milliards de dollars USD.

Sur Ethereum, l’attaquant a utilisé un wallet opérationnel financé via Tornado Cash pour soumettre des autorisations signées valides, permettant à un hot wallet Binance d’exécuter du code déployé par l’attaquant. Ce code a ensuite été appelé pour vider les actifs vers des adresses contrôlées par l’attaquant. D’autres wallets Binance affectés ont envoyé des fonds via des transferts signés ordinaires.

🔄 Tentatives de blanchiment et course contre les gels

Face au risque de gel des stablecoins, l’attaquant a rapidement :

  • Déplacé 500 millions de dollars en stablecoins vers un wallet dédié aux swaps
  • Converti 325 millions en stablecoins en 285 millions en ETH en moins de 20 minutes
  • Envoyé les 175 millions restants en stablecoins vers des wallets intermédiaires

Les gels ont débuté à 17h14 ET, et environ 2,8 milliards de dollars ont été gelés grâce à la coordination entre Chainalysis, les émetteurs de stablecoins et les forces de l’ordre.

🔗 Attribution à TraderTraitor (Corée du Nord)

Chainalysis attribue l’attaque au groupe TraderTraitor, un groupe cybercriminel nord-coréen ciblant les exchanges, protocoles DeFi et investisseurs pour financer le régime. La preuve la plus forte repose sur l’observation en temps réel de fonds volés chez Binance se mélangeant on-chain avec des fonds volés lors de l’exploit Bitget du mois précédent, également attribué à des acteurs nord-coréens.

🤖 Patterns de blanchiment automatisé

Chainalysis observe des schémas de blanchiment inédits :

  • Milliers de transactions en très peu de temps, suggérant une automatisation
  • Circulation répétée des fonds entre adresses, y compris des retours vers des adresses déjà impliquées
  • Schéma récurrent : réception exacte de 1 TRX, puis réception de fonds supplémentaires, puis transfert vers d’autres adresses

📋 Type d’article

Il s’agit d’un rapport d’incident et d’analyse d’attribution publié par Chainalysis, visant à documenter le déroulement de l’attaque, établir l’attribution à un acteur étatique nord-coréen, et informer les partenaires de l’industrie sur les fonds en mouvement.

🧠 TTPs et IOCs détectés

Acteurs de menace

TTP

  • T1657 — Financial Theft (Impact)
  • T1600 — Weaken Encryption (Defense Evasion)
  • T1565.001 — Stored Data Manipulation (Impact)
  • T1553 — Subvert Trust Controls (Defense Evasion)
  • T1020 — Automated Exfiltration (Exfiltration)
  • T1036 — Masquerading (Defense Evasion)

Malware / Outils

  • Tornado Cash (tool)

🟢 Indice de vérification factuelle : 65/100 (haute)

  • ✅ chainalysis.com — source reconnue (liste interne) (20pts)
  • ✅ 9846 chars — texte complet (fulltext extrait) (15pts)
  • ⬜ aucun IOC extrait (0pts)
  • ⬜ pas d’IOC à vérifier (0pts)
  • ✅ 6 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : TraderTraitor (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.chainalysis.com/blog/binance-exploit-latest-findings-and-response/?utm_source=substack&utm_medium=email