Le fondateur de CoinEx, Haipo Yang, estime que le piratage de Binance du 29 octobre 2026, évalué à 6,3 milliards de dollars, aurait pu être évité grâce à trois pratiques de sécurité fondamentales. Dans une publication sur X, il a mis en cause la séparation insuffisante des environnements informatiques, les contrôles d’authentification et la vérification des opérations par les signataires. Ses critiques interviennent après la publication par Binance d’un premier rapport sur l’intrusion. Elle affirme parallèlement avoir reconstitué une grande partie des actifs touchés et renforcé ses dispositifs de protection.

Haipo Yang dénonce un manque de discipline opérationnelle

Selon Yang, les faiblesses révélées par l’attaque ne relèvent pas principalement de l’absence de technologies sophistiquées. Il considère plutôt que des règles élémentaires auraient dû empêcher les assaillants de progresser aussi loin dans les systèmes de l’entreprise. Son analyse porte sur la manière dont les employés accèdent aux environnements sensibles, sur la résistance des mécanismes d’identification et sur l’indépendance des personnes ou systèmes autorisant les transactions.

Cette interprétation constitue une critique extérieure formulée par le dirigeant de CoinEx. Binance n’a pas confirmé publiquement chacune des défaillances internes qu’il avance. Il faut donc distinguer ses conclusions des éléments techniques explicitement reconnus dans le rapport d’incident de la plateforme.

Séparer les ordinateurs de développement et de production

La première recommandation de Yang concerne la séparation des activités informatiques. Les salariés autorisés à intervenir sur des systèmes financiers opérationnels devraient, selon lui, utiliser des ordinateurs dédiés, dépourvus de logiciels sans rapport avec leurs missions sensibles. La navigation sur Internet, les communications et le développement devraient s’effectuer sur d’autres appareils, afin de limiter les conséquences d’une éventuelle infection.

Yang affirme que Binance n’aurait pas suffisamment isolé ces usages. Dans son raisonnement, un appareil compromis aurait ainsi pu devenir une voie d’accès vers des ressources de production. Le rapport de Binance confirme que des postes d’employés ont été touchés, mais cette constatation ne suffit pas à prouver toutes les insuffisances organisationnelles alléguées par le fondateur de CoinEx.

L’enjeu de cette séparation est précis : empêcher qu’un incident sur un poste utilisé pour des tâches courantes ne donne directement accès aux infrastructures chargées des retraits de cryptomonnaies. Yang présente cette pratique comme une mesure de discipline interne plutôt que comme une innovation technique.

Renforcer l’authentification au-delà d’un identifiant

La deuxième critique vise les mécanismes d’accès aux services de production. Yang soutient qu’un identifiant volé aurait pu suffire à ouvrir l’accès à des systèmes sensibles, sans contrôle supplémentaire réellement efficace. Pour réduire ce risque, il recommande notamment l’utilisation de clés de sécurité matérielles et d’outils tels qu’AWS Session Manager.

Ces propositions sont celles de Yang ; la publication ne démontre pas que leur déploiement aurait, à lui seul, arrêté l’ensemble de l’attaque. Elles illustrent cependant sa thèse : la compromission d’un seul élément d’authentification ne devrait pas permettre à un intrus de franchir toutes les protections menant aux opérations critiques. Binance a reconnu l’utilisation d’identifiants dérobés dans le déroulement de l’incident, sans valider publiquement chaque faiblesse décrite par son contradicteur.

Le contrôle indépendant des signatures MPC en question

La troisième observation porte sur le calcul multipartite, ou MPC, utilisé pour répartir les responsabilités liées à la signature des transactions. Yang reproche aux parties chargées de signer de ne pas avoir examiné indépendamment les opérations soumises à leur approbation. À ses yeux, un dispositif reposant sur plusieurs participants perd sa valeur si la compromission de l’un d’entre eux permet de contourner l’ensemble du processus.

Il estime ainsi que l’organisation aurait fonctionné, dans les faits, comme un mécanisme à signature unique. Sa formule insiste sur la nécessité d’une méfiance réciproque entre signataires. Cette appréciation reste une allégation : le rapport fourni ne confirme pas que toutes les parties du système MPC de Binance aient effectivement omis leurs vérifications. La critique concerne la gouvernance des autorisations, et non une preuve publiée de défaillance mathématique du mécanisme cryptographique.

Une première compromission repérée dès juin

Le rapport d’incident publié par Binance le 3 novembre retrace une campagne commencée plusieurs mois avant le vol. En juin, un ingénieur chargé des opérations de portefeuilles a téléchargé une version modifiée d’un programme d’installation Homebrew alors qu’il cherchait à installer un outil de programmation utilisant l’intelligence artificielle.

Selon Binance, son équipe de sécurité a détecté l’activité suspecte, remplacé l’ordinateur concerné et renouvelé les identifiants associés. Malgré cette réaction, l’épisode a exposé des informations sur les salariés travaillant à l’infrastructure des portefeuilles. La plateforme présente donc une première intrusion repérée et traitée, mais dont les conséquences informationnelles auraient facilité la suite de la campagne.

Ce point est central dans la chronologie : la détection initiale n’a pas empêché les attaquants de disposer d’éléments utiles pour cibler d’autres personnes. Le document ne précise pas que les mêmes identifiants auraient été réutilisés pendant toutes les étapes ultérieures.

Faux recrutement et logiciel malveillant en septembre

En septembre, les assaillants ont visé un autre ingénieur au moyen d’une procédure de recrutement frauduleuse. Ils ont finalement réussi à lui faire télécharger un logiciel malveillant. L’attaque a ainsi exploité une interaction présentée comme professionnelle pour atteindre un nouvel appareil, plutôt que de dépendre uniquement d’une tentative directe contre les serveurs de la plateforme.

Le 20 octobre, les auteurs de l’intrusion avaient utilisé des appareils compromis et un outil interne d’intelligence artificielle pour accéder à d’autres systèmes d’ingénierie. Neuf jours plus tard, des identifiants volés ont permis le déploiement de code malveillant impliqué dans des retraits non autorisés. Cette succession d’événements, rapportée par Binance, relie la préparation de l’attaque à son exécution le 29 octobre.

Attribution à TraderTraitor et accusations contestées

Des enquêteurs avaient auparavant relié l’opération au groupe de pirates TraderTraitor, associé à la Corée du Nord. Le Federal Bureau of Investigation a ensuite attribué le vol à des attaquants soutenus par l’État nord-coréen. La Corée du Nord a rejeté ces accusations. L’attribution doit donc être présentée comme celle des autorités américaines, et non comme une reconnaissance de responsabilité par Pyongyang.

Dans son propre rapport, Binance décrit une combinaison d’ingénierie sociale, de logiciels malveillants et de compromissions de systèmes internes. Ces éléments exposent la méthode générale revendiquée par l’enquête de la plateforme, sans révéler publiquement chaque détail de ses dispositifs de sécurité.

Richard Teng annonce 98 % des actifs reconstitués

Face aux critiques, le codirecteur général de Binance, Richard Teng, a défendu les efforts de rétablissement de l’entreprise. Le 3 novembre, il a indiqué que 98 % des cryptoactifs affectés avaient été reconstitués. Il a également mis en avant la dernière vérification des réserves de la plateforme, soulignant l’importance de la vérification plutôt que de simples promesses.

Binance avait achevé un contrôle de preuve de réserves couvrant dix grandes cryptomonnaies, notamment Bitcoin, Ethereum, BNB et XRP. Ce dispositif permet aux clients détenant les actifs concernés de vérifier que leurs soldes sont couverts par des réserves suffisantes. Il ne démontre toutefois pas que les vulnérabilités opérationnelles dénoncées par Yang ont toutes été corrigées. La couverture des actifs et la prévention des intrusions répondent à deux questions différentes.

Des fonds gelés et des retraits progressivement restaurés

Binance affirme qu’environ 2,85 milliards de dollars d’actifs touchés ont été gelés ou interceptés pendant les opérations de récupération. L’entreprise s’est engagée à couvrir l’intégralité des pertes financières grâce à ses ressources propres et à ses fonds de réserve. Teng a précisé que la reconstitution des actifs restants se poursuivrait, notamment pour certaines cryptomonnaies moins liquides nécessitant des achats supplémentaires.

Après une suspension initiale, Binance a également rétabli les retraits sur davantage d’actifs des réseaux Ethereum et Solana. Ces annonces décrivent des étapes de remise en service, sans établir que toutes les fonctionnalités et tous les actifs étaient déjà revenus à leur situation antérieure au piratage.

Yi He évoque 57 menaces nord-coréennes déjouées

La codirectrice générale Yi He a apporté un autre éclairage dans une publication du 3 novembre. Selon elle, l’équipe de sécurité de Binance a détecté et empêché 57 cybermenaces soupçonnées d’être liées à la Corée du Nord au cours de l’année 2026. Les tentatives comprenaient de faux entretiens d’embauche, des outils de développement piégés, des paquets logiciels compromis et de fausses applications de visioconférence.

Yi He a également mentionné des extensions de navigateur et des techniques d’ingénierie sociale destinées à dérober des identifiants ou à installer des logiciels d’accès à distance. Elle a reconnu que l’interception de nombreuses tentatives n’avait pas suffi à éviter les conséquences graves d’une seule attaque réussie. Le nombre de menaces bloquées provient de la déclaration de Binance et ne constitue pas, dans le texte fourni, une statistique vérifiée indépendamment.

Une révision indépendante de la cybersécurité annoncée

Depuis l’incident, Binance affirme avoir reconstruit les systèmes de portefeuilles touchés, remplacé les appareils compromis et désactivé les identifiants associés à l’attaque. La plateforme dit avoir renforcé ses contrôles de sécurité et étendu la surveillance automatisée des comportements suspects concernant les employés et les systèmes.

Elle prévoit également un examen indépendant de sa cybersécurité et de nouveaux investissements dans la protection des appareils, la sécurité des développeurs et la détection des menaces. Certaines mesures resteront confidentielles afin de ne pas révéler aux attaquants les détails des défenses déployées.

Le débat soulevé par Haipo Yang demeure donc distinct du bilan financier de la récupération. Binance présente des actifs largement reconstitués et des protections renforcées ; le fondateur de CoinEx questionne la rigueur des contrôles ayant précédé le vol. Les informations publiées établissent la chronologie générale de l’intrusion, mais ne permettent pas de trancher toutes les accusations relatives à l’organisation interne de la sécurité.