Crypto : À qui appartiennent les 6,3 milliards de dollars volés sur Binance ?

Six milliards sans adresse de retour. Quand un coffre se vide, la première question est toujours « combien ». La seconde, bien plus gênante, est « à qui ». Depuis le hack de Binance jeudi soir, tout le monde fait les comptes. Presque personne ne se demande à qui appartenait cet argent. Aux clients, à la plateforme, à Tether ou à Pyongyang maintenant ?

La réponse dort dans un contrat. Nous l’avons lu, avec les preuves de réserves, le code des stablecoins et quelques jugements qui piquent. Voici qui possède quoi, et surtout qui paiera.

Les points clés de cet article :

• Les adresses pillées faisaient partie des réserves censées couvrir les clients. L’ether n’y était plus couvert qu’à 94 % après l’attaque.
• Depuis janvier, le contrat de Binance range les avoirs des clients dans une fiducie, à l’inverse de Celsius.
• Les stablecoins bloqués appartiennent toujours aux victimes. Leur restitution exige malgré tout des mois de procédure.
• Environ 2,4 milliards en BTC et en ETH restent hors d’atteinte, aux mains de hackers nord-coréens.

Jeudi soir, 21h24 : le casse en une seule transaction

Tout commence mercredi, sans bruit. Un portefeuille anonyme retire trois fois 0,1 ETH de Tornado Cash, le mixeur favori de ceux qui tiennent à rester discrets. Quelques centaines de dollars d’argent de poche, pas plus. Jeudi vers 17 heures, ce même portefeuille déploie un contrat intelligent.

Binance 14 est alors déjà piégé. Grâce à EIP-7702, une fonction d’Ethereum qui permet à une adresse de confier ses commandes à un programme, le hot wallet obéit désormais au contrat du pirate. Comment l’attaquant a obtenu la signature nécessaire reste l’angle mort de l’enquête.

À 21h16, les premiers retraits suspects partent de Base et d’Optimism. Quatre minutes plus tard, 18 270 BTC quittent le hot wallet bitcoin de Binance. Puis, à 21h24, une seule transaction vide Binance 14 de 64 jetons d’un coup. Montant de l’addition : 2,54 milliards de dollars.

Le pirate enchaîne aussitôt les échanges d’USDT contre de l’ether sur Uniswap et 1inch. À 22h14, Tether et Circle dégainent enfin leurs premiers gels. Ironie du calendrier, Binance 14 voit encore arriver 200,4 millions d’USDT dans la soirée. Le contrat du pirate les aspire dans la foulée, et Tether les gèle à l’arrivée. Cette chronologie, reconstituée par Octav et Arkham Intelligence, tient en à peine une heure et demie.

Hack de Binance : neuf blockchains vidées en une soirée

Place à l’inventaire, et il donne le vertige. Le traceur d’Octav et d’Arkham Intelligence recense 5,98 milliards de dollars sortis des hot wallets de Binance. En une soirée, neuf blockchains y sont passées.

Ethereum ouvre le bal avec 3,78 milliards de dollars, dont les 2,54 milliards de Binance 14. Bitcoin suit avec 1,44 milliard, rangé en paquets de 1 000 BTC sur une vingtaine d’adresses neuves. Tron, Solana et Arbitrum arrivent loin derrière, avec 32 à 628 millions de dollars chacun.

Rien d’exotique dans le panier, puisque ces portefeuilles servaient aux retraits du quotidien. Vendredi après-midi, le pirate détenait surtout 1,76 milliard d’USDT et 825 millions d’USDC. Suivent 1,4 milliard en bitcoin, 1,18 milliard en ether et 68 autres jetons.

Le piège posé sur Binance 14 a d’ailleurs continué de fonctionner après le casse. Une seconde rafle a ainsi emporté une centaine de petits jetons, d’ARKM à CHZ, pour environ 38 millions de dollars.

Des cryptos en staking parmi les fonds volés ?

Pour l’essentiel, non. Un hot wallet paie les retraits en quelques secondes, alors que les ethers stakés via Binance dorment dans des validateurs Ethereum. Pour en sortir, ils doivent passer par une file d’attente de retrait. Aucune signature volée ne les vide en vingt minutes.

Le staking s’est pourtant glissé dans le butin, par la petite porte. Lorsqu’un client stake ses ETH sur Binance, il reçoit du wBETH, un jeton qui représente son ether staké. Le pirate en a raflé 29 934, soit environ 74 millions de dollars. Mauvaise pioche, car Binance émet ce jeton et l’a gelé elle-même. Il tient un reçu bloqué. Les ethers stakés restent, eux, dans les validateurs de Binance.

Les clients de Binance : propriétaires sur le papier, remboursés par promesse

Revenons au point de départ. Binance 14 a perdu 167 464 ETH à 21h24 jeudi. Or cette adresse figure noir sur blanc dans le fichier de preuve de réserves du 1er octobre, comme l’a relevé CoinDesk. Ce fichier liste les portefeuilles censés garantir les soldes des clients. Binance avait donc adossé ces ethers à sa dette envers ses clients, et non à sa propre trésorerie.

Le fichier compte 1 395 lignes. L’adresse 0x28c6…1d60 y revient 37 fois, une par actif, de 1INCH à USDT. Binance la classait donc elle-même parmi les réserves de ses clients.

Trois ethers de marge avant le vol

Le même jour, la plateforme déclarait 3 799 136 ETH dus à ses clients. Ses adresses en contenaient 3 799 139. La marge de sécurité tenait donc en trois ethers, autant dire rien. Le pirate en a emporté près de 200 000 depuis Binance 14 et Binance 16. Selon CoinDesk, la couverture de l’ether est alors tombée de 100 % à environ 94 %.

Le bitcoin suit la même pente. Le rapport affichait 691 004 BTC détenus pour 688 573 BTC dus, soit 2 431 BTC d’avance. Les 18 270 BTC volés jeudi effacent cette avance plus de sept fois. Sur la base du 1er octobre, le ratio tomberait autour de 97,7 %.

Ces soldes concernent aussi des lecteurs français. Depuis le 1er juillet, Binance ne leur permet plus d’acheter ni de déposer. Ceux qui ont laissé des cryptos sur la plateforme les retrouvent malgré tout dans ces réserves, en mode retrait seul. Nous y revenons plus bas.

Binance 14 était un hot wallet, le tiroir-caisse de la plateforme, dont la clé reste branchée sur internet pour traiter dépôts et retraits. Ce vendredi matin, Blockscout n’y affiche plus que 0,8 ETH.

Un contrat qui place vos cryptos en fiducie

Vient alors la question qui fâche. À qui appartenaient ces fonds ? Les conditions d’utilisation du 5 janvier 2026 répondent avec une précision rare. Vos cryptos sont gardées par Nest Clearing and Custody Limited (NCCL), une entité d’Abu Dhabi. Selon la clause 8.2 du contrat, NCCL « détient les actifs pour vous en qualité de trustee ».

Le contrat vous accorde « un droit individuel, sous la forme d’un intérêt bénéficiaire » sur la quantité inscrite à votre compte. Les jetons dorment dans des portefeuilles omnibus « détenus en fiducie ». Les 6,3 milliards volés appartenaient donc aux clients, par parts proportionnelles.

Lisez toutefois la phrase jusqu’au bout, c’est souvent là que les juristes rangent les meubles. Ce statut de trustee vaut « sous réserve et conformément » aux termes du contrat. Pour le reste, NCCL « n’agit pas en tant que trustee ou fiduciaire ». La fiducie protège donc vos avoirs des créanciers de NCCL en cas de faillite. Elle ne dit rien, en revanche, de qui bouche le trou après un vol.

Comparez avec Celsius, qui a laissé de mauvais souvenirs. Le 4 janvier 2023, le juge Martin Glenn a attribué à Celsius les 4,2 milliards de dollars des comptes Earn. Ses conditions transféraient en effet « le titre et la propriété » des actifs à la plateforme. Ses 600 000 déposants sont alors devenus des créanciers ordinaires. Chez Binance, le texte dit exactement l’inverse.

Une fiducie sans assurance contre le vol

Le reste du contrat refroidit pourtant l’enthousiasme. La clause 18.2 précise que Binance « n’est pas tenue d’assurer les actifs numériques ». La page 3 prévient aussi que « vous pouvez subir une perte en cas de cyberattaque ». Enfin, la clause 8.4.2 autorise à prélever les frais d’une liquidation sur les actifs en fiducie, « au prorata ».

La couverture intégrale des pertes promise par Yi He, via le fonds SAFU et les fonds propres, relève donc de l’engagement commercial, pris sur X. Le contrat ne l’impose nulle part. Si Binance tient parole, la perte des clients deviendra celle de l’entreprise. Elle l’avait déjà fait en 2019 pour 7 000 bitcoins, et Bybit en 2025 pour 1,5 milliard.

Stablecoins gelés : propriété des victimes et pouvoir de Tether

Passons aux stablecoins, le plus gros tas et le plus facile à geler. Tether a bloqué plus de 1,57 milliard d’USDT et Circle plus de 800 millions d’USDC. Ripple a gelé 200 millions de RLUSD et World Liberty 27 millions d’USD1. Le total atteint ainsi « environ 2,8 milliards de dollars », selon le bilan de Chainalysis publié vendredi.

Le pirate le savait très bien. Dès les premières minutes, il a envoyé 500 millions de dollars de stablecoins vers un portefeuille d’échange. En moins de vingt minutes, il en a converti 325 millions en ether. Les premiers gels sont tombés à 22h14, heure de Paris. Course contre la montre classique, car un stablecoin se bloque et un ether non.

Gel, destruction puis réémission

Ces jetons gelés restent sur les adresses du pirate. Un gel n’est en effet qu’une inscription sur la liste noire du contrat de l’émetteur. Chez Tether, l’étape suivante porte un nom sans détour, destroyBlackFunds. Cette fonction remet le solde à zéro et réduit d’autant l’offre totale. Seul le multisig de Tether peut la déclencher, et non un juge ou Binance.

Vient ensuite la réémission, vers une adresse désignée par un tribunal ou vers la victime vérifiée. La société d’audit BlockSec compte six à dix-huit mois entre le gel et la destruction dans les affaires civiles. Tether se réserve en plus des frais « jusqu’à 10 % du montant », à sa « seule et absolue discrétion ».

Les 1,57 milliard gelés ont donc un propriétaire légitime, la fiducie des clients de Binance. Ils ont aussi un possesseur qui ne peut plus rien en faire et un arbitre privé qui fixe seul le calendrier.

Une partie de ces stablecoins a même changé de mains avant le gel. Le pirate avait déposé des USDT volés sur Aave pour emprunter 20 000 WETH, soit 44 millions de dollars. Aave se retrouve alors avec une garantie gelée face à un prêt qui ne sera jamais remboursé. Si Tether détruit ces USDT pour les rendre à Binance, le trou passera chez les déposants d’Aave. Seul un accord entre les deux parties l’éviterait.

Même logique chez Arbitrum, dont le Security Council a gelé dans la nuit 74,56 millions d’ARB et 8 426 ETH. Douze personnes ont tranché, et les détenteurs d’ARB voteront ensuite sur leur sort.

Bitcoin et ether volés : propriété des clients et butin nord-coréen

Le dernier tas n’a aucun bouton d’arrêt. TRM Labs évalue à 2,4 milliards de dollars les actifs hors de portée de tout émetteur. On y trouve les 18 270 bitcoins répartis sur 19 portefeuilles et plus de 420 000 ethers.

Sur ce point, le droit est clair dans la plupart des pays. Un vol ne transfère pas la propriété. La Cour suprême de Thaïlande l’a d’ailleurs rappelé en 2025, en jugeant que le bitcoin est un bien que l’on peut voler. Ces bitcoins appartiennent donc toujours à la fiducie des clients de Binance.

Ils sont simplement entre les mains de TraderTraitor, l’unité nord-coréenne que TRM Labs désigne « avec un haut niveau de confiance ». Chainalysis aboutit à la même conclusion par un autre chemin. Ses analystes ont vu « en temps réel » des fonds volés à Binance se mêler à ceux de l’exploit de Bitget, déjà attribué à Pyongyang le mois dernier.

Propriété et possession vont donc vivre séparées longtemps. Chez Bybit, Chainalysis n’avait aidé à geler que 40 millions de dollars sur 1,5 milliard volé, soit moins de 3 %. Pyongyang ne rend jamais l’argent. Il le blanchit par petites tranches, avec une patience d’horloger. Jusqu’ici, les 18 270 BTC n’ont pas bougé d’un satoshi.

Clients français de Binance : comptes en retrait seul et protection hors MiCA

Un dernier détail concerne directement les lecteurs français, et il n’a rien d’anecdotique. Binance n’a pas obtenu d’agrément MiCA. À la fin de la période transitoire, le 1er juillet 2026, la plateforme a donc coupé ses services aux résidents français. Ordres au comptant, dépôts, staking et Simple Earn ont fermé boutique. Le lendemain, l’AMF a radié d’office Binance France SAS de la liste des PSAN.

Seuls les retraits sont encore possibles, et Binance assure que les actifs restent « accessibles à tout moment ». Un résident français ne devrait donc plus détenir de cryptos chez Binance que par inertie, sur un compte figé. Ces soldes dorment pourtant dans les mêmes portefeuilles omnibus et dans la même fiducie. Le vol les touche ainsi comme ceux des autres clients.

Ailleurs dans l’Union, Binance sert encore des clients depuis Abu Dhabi grâce à la « sollicitation inversée », un régime que l’ESMA et plusieurs régulateurs nationaux examinent depuis début octobre. Pour un client français resté chez Binance, la protection repose donc sur le droit des trusts d’Abu Dhabi et sur la parole de Yi He.

MiCA aurait pourtant tranché net. Son considérant 83 vise toute perte, « y compris une cyberattaque ou un vol », et son article 75 en fait une obligation à hauteur de la valeur de marché des actifs. Le client d’une plateforme agréée en France n’aurait donc pas attendu un tweet pour savoir qui paie.

Le cas des Français expatriés

Pour MiCA comme pour Binance, c’est le pays de résidence qui compte, pas le passeport. Un Français installé hors de l’Union, à Dubaï par exemple, relève des règles de son pays d’accueil. Il peut alors continuer à utiliser la plateforme si elle y est autorisée. Un expatrié installé ailleurs dans l’Union dépend en revanche du régime de ce pays, avec les mêmes incertitudes.

Binance publiera son prochain rapport de preuve de réserves le 1er novembre. Il dira si l’ether est revenu de 94 % à 100 %, autrement dit si la plateforme a comblé sur son propre bilan la perte de ses clients.