Un trou de 6,3 milliards dans les caisses de Binance et un sérieux doute sur la sécurité des cryptos

Le numéro un mondial des échanges de cryptomonnaies estime avoir été victime d’un piratage portant sur 6,3 milliards de dollars. Un montant colossal qui pose une question très simple, à quel point les plateformes où l’on dépose ses jetons sont-elles sûres.

Binance a beau être la plus grosse place d’échange de devises numériques de la planète, elle n’a pas échappé au pillage. La plateforme chiffre elle-même les actifs touchés à 6,3 milliards de dollars, soit environ 5,6 milliards d’euros. Un montant qui donne la mesure du problème et qui rappelle une chose, la taille d’un acteur ne le protège de rien.

L’entreprise revendique 335 millions d’utilisateurs, ce qui la place largement en tête du secteur. Pour situer, le site Crypto.com recensait 741 millions de détenteurs de cryptomonnaies dans le monde. Autrement dit, ce qui se joue chez Binance concerne une part importante des personnes qui ont mis de l’argent dans le bitcoin ou dans d’autres jetons.

Le géant traîne aussi un passif judiciaire encombrant. Son ancien patron Changpeng Zhao a été condamné aux États-Unis en avril 2024 pour manquement à la législation antiblanchiment, avant d’être gracié. D’autres dossiers restent ouverts outre-Atlantique, la plateforme ayant notamment été accusée d’avoir commercialisé l’équivalent de titres financiers non déclarés auprès du gendarme boursier américain. En France, elle est soupçonnée d’avoir mal surveillé les fonds de ses clients. Et faute d’agrément au titre du règlement européen MiCA, elle a annoncé une suspension partielle de ses activités dans l’Union européenne.

La technologie derrière les cryptos a pourtant une réputation de forteresse. La blockchain est un registre numérique qui garde la trace de chaque transaction et que l’on falsifie très difficilement. Sauf que cela ne met pas les portefeuilles à l’abri. Les transferts passent par des clés privées, de longues séries de caractères censées rester secrètes. Ce sont ces clés que gèrent les portefeuilles numériques, et non les cryptomonnaies elles-mêmes, qui vivent sur la chaîne de blocs. Celui qui met la main dessus peut déplacer les fonds sans avoir besoin de trafiquer le registre.

Les pirates disposent de plusieurs portes d’entrée. Une faille dans un logiciel, un programme malveillant, un message d’hameçonnage, une menace directe contre une personne. Même les portefeuilles matériels, ces appareils débranchés d’Internet, ne constituent pas une garantie absolue, des fonds d’utilisateurs de l’entreprise française Ledger ayant été dérobés via des implants glissés dans des appareils commercialisés. Chez Binance, l’enquête s’est d’abord dirigée vers l’ordinateur portable d’un ingénieur dont la sécurité avait été compromise, avant que d’autres points de brèche apparaissent. Le déroulement précis de l’attaque reste à reconstituer.

Du côté des auteurs, aucune confirmation officielle. Plusieurs sociétés spécialisées dans l’analyse de la blockchain orientent leurs soupçons vers un groupe lié à la Corée du Nord, connu sous le nom de TraderTraitor ou Lazarus Group. La somme dérobée représente quatre fois le butin d’un précédent casse visant la plateforme ByBit, chiffré à 1,5 milliard de dollars et record à l’époque. Une partie des fonds de Binance aurait d’ailleurs rejoint ceux d’une attaque récente contre Bitget, elle aussi attribuée à Pyongyang. Interrogé sur cette piste, Donald Trump a répondu que la question était à l’examen.

Côté récupération, environ 3 milliards de dollars ont été gelés avec l’aide d’émetteurs et de partenaires techniques. Geler ne signifie pas récupérer, les opérations se poursuivent. Les voleurs peuvent aussi s’appuyer sur des intermédiaires russes ou chinois pour écouler les jetons et brouiller leur origine, ou passer par des mélangeurs, ces services conçus pour compliquer le traçage. Binance affirme qu’elle couvrira les pertes. Reste une évidence, comme le résume un analyste de la plateforme Coinhouse, le risque zéro n’existe pas.

À lire aussi

• Quinze jeunes Canadiens racontent leur détresse climatique devant la justice
• Binance promet de couvrir tous les fonds perdus après un piratage à 6,3 milliards de dollars
• Jean-Vincent Placé face aux accusations, deux ans de sursis requis