En bref. Binance, la première plateforme mondiale d’échange de cryptomonnaies, a été vidée dans la nuit du 29 au 30 octobre 2026 d’environ 6,3 milliards de dollars, soit 5,5 milliards d’euros. Trois milliards ont été gelés par les émetteurs de stablecoins Tether et Circle, 3,3 milliards restent aux mains des pirates. Un client français n’a aucun fonds de garantie sur lequel s’appuyer.
Une société qui déplace plus de volumes que n’importe quelle autre au monde a perdu 5,5 milliards d’euros en 20 minutes. Elle promet de rembourser ses clients. La question est de savoir si elle en a les moyens, et ce qu’il reste aux épargnants français qui n’ont plus le droit d’y être depuis le 1er juillet.
- Ce qui s’est passé, en 20 minutes.
- Un portable, et 5,5 milliards.
- Ce qui a été gelé, et ce qui ne le sera pas.
- Le cas français : sortis à temps, ou restés sans recours.
- Ce qui reste incertain.
Ce qui s’est passé, en 20 minutes
Les pirates sont entrés vers 21 heures, heure de Paris, le jeudi 29 octobre. D’après la société d’analyse TRM Labs, citée par 01net, ils ont visé les portefeuilles connectés à internet et les ont vidés en une vingtaine de minutes. Plus de 70 adresses de destination ont été identifiées.
Binance a d’abord parlé d’un « potentiel problème de sécurité ». Dans la nuit, elle a publié des messages difficiles à concilier : « les fonds des utilisateurs sont entièrement en sécurité », et « nous couvrirons toutes les pertes ». Vers 0 h 30 GMT, dépôts et retraits étaient suspendus. Le bitcoin et l’ethereum ont perdu jusqu’à 5 % et 6 %, le BNB près de 10 %, avant de se reprendre, selon Euronews.
Un portable, et 5,5 milliards
L’enquête préliminaire de Binance désigne un ordinateur portable compromis, appartenant à un ingénieur DevOps chargé de l’exploitation. Par ce poste, l’attaquant a accédé à un « conteneur de services » et soumis des retraits non autorisés. Binance affirme n’avoir trouvé « aucune preuve de fuite de clés privées ».
C’est le point le moins commenté. La première plateforme mondiale n’a pas été cassée par une attaque contre la cryptographie. Elle l’a été par un poste de travail et un accès d’exploitation. Toute la sécurité reposait sur l’ordinateur d’un salarié. Une architecture qui concentre des dizaines de milliards sur quelques machines n’a pas besoin d’un génie : un mot de passe mal gardé suffit. La vulnérabilité est organisationnelle, et c’est le prix de la concentration. La même logique vaut pour les données publiques : nous documentions le 29 octobre 678 000 dossiers fiscaux volés en 7 semaines sans sanction.
Ce qui a été gelé, et ce qui ne le sera pas
Le préjudice annoncé est de 6,3 milliards de dollars, soit 5,5 milliards d’euros. Binance précise qu’il pourrait augmenter. Environ 3 milliards ont été gelés sur la chaîne, non par elle, mais par deux émetteurs de stablecoins. Tether a bloqué environ 1,6 milliard de dollars d’USDT, Circle plus de 800 millions d’USDC. Ces fonds seront restitués.
Il reste 3,3 milliards aux mains des pirates, et les analystes sont pessimistes. « Il est très peu probable que ces fonds soient récupérés », dit à BFM Crypto le patron d’une société d’analyse. Il décrit des adresses de transition, destinées à brouiller les pistes avant un mixeur. Un pirate qui vient de prendre 6 milliards sait qu’il sera suivi à la transaction près : il blanchit, il ne dépense pas.
Reste la promesse. Binance dit couvrir « toutes les pertes » en actionnant son fonds SAFU, qui pèse 1 milliard de dollars en bitcoins, le reste venant des fonds propres. Un fonds de 1 milliard pour un trou de 6,3 milliards couvre 16 % du préjudice. Les 84 % restants sortent de la trésorerie d’une société non bancaire, sans garantie publique ni supervision prudentielle.
Le trou, le gel et le fonds de secours, en milliards de dollars. Données de Binance, Tether, Circle et BFM Crypto au 30 octobre 2026. La comparaison avec le piratage de Bybit (février 2025, 1,5 milliard de dollars) situe l’ordre de grandeur : le cas Binance est environ 4 fois plus lourd.
Le cas français : sortis à temps, ou restés sans recours
Depuis le 1er juillet 2026, Binance n’a plus le droit de servir la France. Elle n’a pas obtenu à temps l’agrément européen MiCA, alors qu’elle comptait 2 millions de clients dans le pays. Ses services y sont réduits au retrait, sans trading. Elle avait invité ses utilisateurs à migrer vers un acteur agréé ou un portefeuille froid, comme le racontait BFM Business en juillet.
La bascule a été sévère. Sur environ 5 000 entreprises servant des clients européens, 240 ont l’agrément, et 24 en France. La règle a produit de la sécurité en réduisant le nombre d’acteurs. Elle a aussi déplacé la supervision vers l’échelon européen, ce que nous décrivions le 9 octobre : l’ESMA absorbe les pouvoirs de l’AMF sur les grands acteurs.
Ceux qui sont partis à temps ne sont pas concernés. Ceux qui sont restés ont un compte presque inutilisable et aucun recours collectif. Un crypto-actif sur une plateforme n’est pas un dépôt bancaire. Il n’entre pas dans la garantie de 100 000 euros par déposant et par établissement qui couvre les comptes. Pas de fonds de secours, pas d’administrateur désigné, pas de procédure de résolution. Le fisc, lui, garde la trace : vos cryptos sont taxées même sans encaisser un euro depuis le 20 octobre.
Ce qui reste incertain
L’attribution à la Corée du Nord circule chez plusieurs analystes, comme pour Bybit en février 2025. Le FBI avait alors imputé l’attaque à Pyongyang. Aucune autorité n’a confirmé cette piste pour Binance. Le montant final peut augmenter, la société le dit elle-même. Sa capacité à rembourser 3,3 milliards sans céder d’actifs n’est documentée nulle part, et la preuve de réserves est annoncée sans date. Personne ne sait combien de clients français sont restés malgré l’interdiction.
Ce que je retiens : une plateforme trop grande pour être supervisée a été mise à nu par un ordinateur portable. La moitié des fonds n’a été sauvée que parce que deux émetteurs privés de monnaie numérique ont appuyé sur un bouton de gel. Ce n’est pas la blockchain qui a protégé les épargnants, c’est le pouvoir discrétionnaire de deux entreprises, sur demande d’une troisième. Pour un client français resté chez Binance, la leçon est plus dure : averti 5 mois à l’avance, il n’a aujourd’hui ni plateforme utilisable, ni garantie, ni interlocuteur.
