Piratage du hot wallet Binance par délégation EIP-7702

Le 29 octobre 2026, Binance a subi ce que les analystes qualifient de plus grand vol de l'histoire crypto : un attaquant a détourné l'un de ses principaux hot wallets Ethereum via une délégation EIP-7702 et siphonné environ 6,3 milliards de dollars sur plusieurs chaînes.

Ce qui s'est passé

À 20:20:59 UTC, l'attaquant a soumis une unique transaction EIP-7702 (type 4) portant 50 autorisations signées avec la clé de « Binance 14 » (0x28C6…1d60), une par nonce de 18 914 775 à 18 914 824. Quarante-neuf étaient invalides et une a pris effet, déléguant le wallet à un contrat sweeper déployé par l'attaquant (0x63e8…6fAe) quelques heures plus tôt. À 20:24 UTC, le sweeper a déplacé environ 2,5 milliards de dollars depuis Binance 14 — 167 464 ETH, 1,615 milliard d'USDT et une soixantaine d'autres jetons — ne laissant que 1 ETH pour le gas. En quelques minutes, dix autres hot wallets Binance sur Ethereum, Arbitrum, Avalanche, Optimism, Tron et Bitcoin ont acheminé des fonds vers la même adresse collectrice. L'adresse opératrice avait été financée la veille via trois retraits Tornado Cash. Binance a chiffré l'exposition totale à environ 6,3 milliards de dollars ; Blockaid et d'autres décomptes publics l'évaluent autour de 5,5 milliards.

Conséquences

Binance a suspendu temporairement les retraits, affirmé que les dépôts n'étaient pas affectés et s'est engagé à couvrir toutes les pertes des utilisateurs via son fonds SAFU et les réserves de l'entreprise. Les émetteurs de stablecoins ont réagi vite : Tether a gelé plus de 1,5 milliard d'USDT et Circle plus de 800 millions d'USDC, Binance estimant environ 3 milliards de dollars gelés au total — mais l'ETH, l'AVAX, l'OP et l'ARB n'ont pas pu être gelés. Une mise à jour préliminaire de Binance pointait vers l'ordinateur portable possiblement compromis d'un ingénieur DevOps comme point d'entrée ; Binance a déclaré n'avoir trouvé aucune preuve de fuite de clé privée du wallet, et un bilan complet est prévu. Aucun attaquant n'a été confirmé publiquement.

Pourquoi c'est important

C'est la première entrée du catalogue où la délégation de comptes EIP-7702 a été utilisée comme arme à grande échelle : au lieu d'exploiter une faille de protocole, l'attaquant a transformé la nouvelle primitive d'abstraction de comptes d'Ethereum en une prise de contrôle du wallet par une seule signature. Cela redéfinit le modèle de menace des hot wallets d'exchange et confirme une fois de plus que la compromission opérationnelle des clés et des accès — et non les failles de smart contract — est à l'origine des plus grandes pertes de garde, comme avec Bitget et Duelbits. Cela montre aussi l'importance croissante des gels au niveau des émetteurs comme dernière ligne de défense une fois les fonds sortis de la garde.