Hack de Binance : le FBI accuse la Corée du Nord du plus gros vol de l’histoire de la crypto

Le FBI a officiellement attribué le piratage Binance à des pirates nord-coréens. La police fédérale américaine estime que le vol a été orchestré par TraderTraitor, une unité qui fait partie de la constellation Lazarus. Selon les investigations menées par les agents fédéraux, le gang, mandaté par Pyongyang, est actuellement en train de blanchir les fonds volés à travers les blockchains.

Ce samedi 31 octobre, deux jours après l’attaque éclair sur Binance, le FBI a officiellement attribué l’opération à la Corée du Nord. Dans un avis publié sur son site, l’agence fédérale américaine pointe du doigt TraderTraitor, une unité de pirates au service du gouvernement nord-coréen, et qui fait partie de l’organisation Lazarus.

« La République populaire démocratique de Corée (Corée du Nord) est responsable du vol de plus de 6 milliards de dollars d’actifs virtuels sur la plateforme d’échange de cryptomonnaies Binance, aux alentours du 29 octobre 2026 », écrit le FBI.

La plupart des experts de la crypto et de la blockchain abondent dans le même sens que le FBI. C’est donc loin d’être une surprise. Dès le lendemain du vol, la société d’analyse TRM Labs attribuait l’attaque à TraderTraitor « avec une confiance élevée ». Chainalysis, autre spécialiste de la blockchain, a d’ailleurs remarqué que les fonds volés à Binance se sont mélangés à ceux dérobés à Bitget le mois dernier. Or, la plateforme avait été victime des pirates de TraiterTraitor. 

The FBI is releasing information advising the Democratic People’s Republic of Korea (North Korea) was responsible for the theft of more than $6 billion USD in virtual assets from cryptocurrency exchange, Binance, on or about October 29, 2026. The FBI refers to this specific North Korean malicious cyber activity as “TraderTraitor.”

The FBI, together with partners at the USSS and IRS-CI, has observed TraderTraitor actors converting stolen assets primarily into Ethereum (ETH). It is expected these assets will then be further laundered by converting them using DeFi and instant swap services as they prepare them for further laundering stages.

How You Can Help:
FBI, USSS, and IRS-CI are urging private sector entities including THORNode operators, RPC node operators, instant exchanges, DeFi services, blockchain analytics firms, and other virtual asset service providers to block transactions with or derived from addresses TraderTraitor actors are using to launder these stolen assets.

A list of addresses associated with this activity is available here: https://t.co/g0oIWx0WeD

— FBI Cyber Branch (@FBICyberBranch) October 31, 2026

Des centaines d’adresses pour brouiller les pistes

Le FBI a aussi publié la liste des adresses utilisées par les pirates pour déplacer les cryptomonnaies volées. Les enquêteurs ont débusqué plusieurs centaines d’adresses Ethereum, 19 adresses Bitcoin et une adresse sur la blockchain Solana. Le FBI demande aux géants de l’industrie crypto de bloquer toute transaction liée à ces adresses. Les plateformes d’échange, les services de finance décentralisée (DeFi), les sociétés d’analyse de la blockchain ou encore les opérateurs de THORChain, un service d’échange entre blockchains déjà utilisé par les pirates, sont encouragés à geler les fonds.

Tout le monde risque de ne pas coopérer. C’est le cas de THORChain. Après le hack de Bybit en 2025, les pirates nord-coréens y ont échangé plus d’un milliard de dollars d’ether contre du bitcoin. Les opérateurs ont envisagé de bloquer les transactions pour venir en aide aux autorités, mais un développeur du projet a démissionné en signe de protestation. Environ 2,8 milliards de dollars ont cependant déjà été gelés, selon les investigations menées par Chainalysis.

« C’est un braquage de banque, à la vitesse d’Internet. Mais nous pouvons aussi suivre ces fonds à la trace en temps réel pour construire des enquêtes. C’est le jeu du chat et de la souris », résume Ari Redbord, responsable des politiques publiques chez TRM Labs.

Il est particulièrement complexe de suivre les fonds dérobés à Binance. D’après Chainalysis, les pirates utilisent déjà des milliers d’adresses à travers de nombreux réseaux différents. Dans les semaines à venir, ils pourraient utiliser des dizaines de milliers d’adresses différentes pour brouiller les pistes.

Un gang au service du régime nord-coréen

TraderTraitor n’en est pas à son coup d’essai. Rattaché au collectif criminel Lazarus, le groupe avait déjà dérobé 1,5 milliard de dollars à la plateforme Bybit en février 2025 et 292 millions de dollars au protocole KelpDAO quelques mois plus tard. L’an dernier, les pirates nord-coréens ont volé 2,02 milliards de dollars à des plateformes crypto, estime Chainalysis. Comme l’explique le chercheur Ari Redbord de TRM Labs, les fonds volés permettent à la Corée du Nord de financer une partie de ses activités, dont « la prolifération des armes et d’autres activités déstabilisatrices
 ». On sait notamment que les cryptomonnaies servent à financer les missiles balistiques du régime.

Pour arriver à leurs fins, les pirates nord-coréens se font souvent passer pour des recruteurs, ou n’hésitent pas à se faire embaucher comme salariés dans les entreprises qu’ils ciblent. Une fois dans la place, ils n’ont même pas besoin de casser le chiffrement des portefeuilles crypto. Il suffit de manipuler un tiers et d’en compromettre l’ordinateur. Dans le cas de Binance, la cyberattaque aurait débuté par le piratage de l’ordinateur portable d’un ingénieur avec un logiciel malveillant.

« Le maillon faible d’une cyberattaque reste l’humain, et les attaquants le savent parfaitement », souligne Silviu Stahie, analyste chez Bitdefender.