Environ 6,3 milliards de dollars ont été dérobés à Binance le soir du jeudi 29 octobre, le plus gros vol de l’histoire des cryptos. La plateforme promet de couvrir toutes les pertes. Pour les clients français, cette promesse est commerciale : aucune garantie légale ne s’applique.
Le vol a duré une vingtaine de minutes. Jeudi 29 octobre, vers 21 heures, heure de Paris, les portefeuilles connectés de Binance, première plateforme d’échange de crypto-actifs au monde par les volumes, ont été vidés d’environ 6,3 milliards de dollars, soit 5,5 à 5,6 milliards d’euros. C’est plus de quatre fois le précédent record, les 1,5 milliard de dollars dérobés à Bybit en février 2025. Binance a confirmé l’attaque vers 0 h 30 et suspendu les retraits. Le FBI (Federal Bureau of Investigation, la police fédérale américaine) a attribué le vol le 31 octobre à TraderTraitor, un groupe lié à la Corée du Nord, et publié environ 500 adresses utilisées pour blanchir les fonds.
« Votre argent est en sécurité et nous couvrirons toutes les pertes », a assuré Richard Teng, co-président-directeur général de Binance, cité par l’AFP (Agence France-Presse). La plateforme a mis de côté plus de 6,34 milliards de dollars de fonds propres et indique avoir reconstitué 95 % des actifs volés au 1er novembre, puis 98 % au 4 novembre. Le remboursement se fait en cryptos identiques, pas en euros : la valeur récupérée suit donc le marché. Les retraits ont repris par étapes à partir du dimanche 1er novembre, réseau par réseau. Le 5 novembre, ils étaient rouverts sur 62 jetons, mais pas encore sur l’ensemble des actifs proposés. Dans les heures qui ont suivi la réouverture, les clients ont retiré 3,64 milliards de dollars de plus qu’ils n’en ont déposé, environ 2,1 % des avoirs, selon les chiffres de Binance relayés par la presse spécialisée.
Un fonds de protection qui couvre un sixième du vol
Le dispositif de secours propre à Binance pèse peu face au montant en jeu. Son fonds de protection des utilisateurs, le SAFU (Secure Asset Fund for Users), créé en juillet 2018, représente environ 1 milliard de dollars selon Reuters, à peine 16 % du préjudice. Près de 3 milliards de dollars ont par ailleurs été gelés par Tether et Circle, les émetteurs des stablecoins volés, sans être restitués à ce stade. Le reste de la couverture repose sur les fonds propres de la société. La « preuve de réserves » publiée depuis, qui ne porte que sur une partie des jetons, est produite par Binance elle-même, sans auditeur indépendant nommé.
Les clients français sont dans une situation à part. Binance France avait été enregistrée en 2022 comme prestataire de services sur actifs numériques auprès de l’AMF (Autorité des marchés financiers), mais elle n’a pas obtenu l’agrément exigé par le règlement européen MiCA (Markets in Crypto-Assets) avant la fin de la période transitoire, le 30 juin 2026. Depuis début juillet, les comptes français fonctionnent en mode dégradé : ni ouverture de compte, ni achat, ni dépôt en euros, seulement la réduction des positions et les retraits. Binance ne figure pas au registre européen des prestataires agréés tenu par l’ESMA (Autorité européenne des marchés financiers). Par ailleurs, une information judiciaire pour blanchiment aggravé et exercice illégal de l’activité de prestataire est ouverte à Paris depuis janvier 2025 ; Binance conteste les faits.
Ce que MiCA aurait apporté, et les recours qui restent
Une plateforme agréée qui conserve les cryptos de ses clients doit les séparer juridiquement de son propre patrimoine, ce qui les met à l’abri de ses créanciers en cas de faillite. L’article 75 du règlement MiCA la rend aussi responsable de leur perte lorsqu’elle résulte d’un incident qui lui est imputable, ce qui peut inclure un piratage, dans la limite de leur valeur de marché au moment de la perte. Ces règles ne s’appliquent pas à Binance, faute d’agrément. Le Fonds de garantie des dépôts et de résolution, qui protège les dépôts bancaires jusqu’à 100 000 euros, ne couvre pas les crypto-actifs, que la plateforme soit agréée ou non.
Le client français a en principe signé avec Binance France, société de droit français, dont l’obligation de restituer ses cryptos survit à la fin de son autorisation, selon le cabinet Lazarègue Avocats. Une plateforme qui invoquerait la force majeure devrait convaincre un juge que le piratage était imprévisible et irrésistible, ce qui ne va pas de soi dans un secteur où ces attaques se répètent. « Pour la grande majorité des clients, il n’y a aujourd’hui ni perte ni litige : leur solde est intact et Binance s’est engagée à couvrir les pertes », tempère Alexandre Lazarègue, avocat au barreau de Paris. Il conseille de conserver la preuve de son solde et de l’historique des opérations et de se méfier de tout appel promettant un remboursement, Binance n’ayant demandé aucune démarche à ses clients. Les escroqueries aux faux conseillers ont commencé dès le 30 octobre : un SMS suspect se signale au 33700.
Pour les clients français, de toute façon tenus de quitter une plateforme qui n’est plus autorisée, la reprise des retraits, si elle s’applique bien à leurs comptes, ce que Binance n’a pas précisé, ressemble surtout à une sortie. Avant de déplacer ses avoirs, mieux vaut vérifier que la plateforme d’arrivée figure bien au registre de l’ESMA.