La Réserve fédérale et l'Office of the Comptroller of the Currency ont contacté les banques supervisées lundi pour s'enquérir d'activités inhabituelles ou de perturbations de service consécutives à la faille de sécurité de 6,34 milliards de dollars chez Binance, a rapporté Reuters jeudi, citant des sources proches du dossier. Cette démarche représente la première action de supervision significative depuis que la Fed a supprimé en avril 2025 l'obligation pour les banques membres d'État de notifier les régulateurs avant de s'engager dans des activités crypto, privilégiant dès lors les processus de supervision ordinaires.
Points Clés
- La Fed et l'OCC ont contacté les banques lundi pour évaluer leur exposition au piratage de 6,34 milliards de dollars chez Binance (29 oct.), 2,85 milliards gelés selon le rapport du 3 nov.
- Premier test majeur de la supervision depuis la suppression par la Fed de l'obligation de pré-notification crypto pour les banques membres d'État en avril 2025
- L'attaque a exploité une chaîne d'approvisionnement logicielle compromise et de l'ingénierie sociale, non des failles de chiffrement — soulevant des inquiétudes sur le risque de garde
- L'équipe de cybersécurité d'une grande banque américaine a engagé Binance dans les heures qui ont suivi ; Binance a partagé son rapport d'incident avec tous ses partenaires bancaires
- Les prochaines étapes des régulateurs pourraient inclure des orientations formelles sur la garde crypto, le risque de contrepartie et les normes de réponse aux incidents
Synthèse Exécutive d'Intelligence
Démarche réglementaire et cadre de supervision
Des responsables des deux agences ont commencé à contacter les banques cette semaine pour comprendre les expositions potentielles découlant de l'attaque du 29 octobre contre Binance, qui a indiqué qu'environ 6,34 milliards de dollars d'actifs numériques avaient été affectés. Selon le rapport d'incident de Binance daté du 3 novembre, 2,85 milliards de dollars avaient été gelés ou interceptés. Le piratage trouve son origine dans un logiciel compromis installé par un ingénieur en juin, suivi d'ingénierie sociale, de vols d'identifiants et de logiciels malveillants pour accéder aux systèmes de portefeuilles.
« Après un incident de cette ampleur, il aurait été surprenant que la Fed et l'OCC ne prennent pas des nouvelles des banques qu'elles supervisent », a déclaré Stefan Muehlbauer, responsable des affaires gouvernementales aux États-Unis chez CertiK. « Leur mandat est de protéger le système financier, ce qui implique de comprendre où se situent les expositions et à quelle vitesse elles peuvent réagir. » Muehlbauer a qualifié le processus actuel de « fonctionnement normal d'un cadre qui arrive à maturité » et a insisté sur le fait qu'il « ne s'agit pas d'un signal indiquant que les régulateurs se retirent du secteur ».
Vecteur d'attaque et vulnérabilités du secteur bancaire
La faille a exploité des systèmes de confiance et du personnel autorisé plutôt que de briser directement le chiffrement. Le Dr Darren Williams, fondateur et PDG de la société de cybersécurité BlackFog, a averti que les attaquants « n'ont plus besoin de briser le chiffrement ou de voler des clés privées s'ils peuvent compromettre les systèmes de confiance et les personnes autorisées à déplacer de l'argent. » Il a souligné les risques pour les banques traditionnelles offrant des services de garde et de paiement en crypto, notant que des appareils, comptes d'employés ou services tiers compromis pourraient déplacer des fonds sans déclencher d'alertes.
« La priorité doit être d'arrêter les transactions non autorisées et l'exfiltration de données avant que les actifs ou informations sensibles ne quittent l'organisation, et non simplement d'enquêter sur les dégâts après coup », a déclaré Williams. L'usage croissant de l'IA agente dans les opérations financières pourrait amplifier ces risques, a-t-il ajouté.
Réaction du secteur bancaire et exposition aux contreparties
Selon Reuters, les banques ont évalué le piratage et vérifié leurs systèmes pour déterminer leur capacité à absorber ou gérer des menaces similaires. L'équipe de cybersécurité de l'une des plus grandes banques américaines a contacté Binance dans les heures qui ont suivi le piratage. Binance a confirmé avoir partagé son rapport d'incident public avec tous ses partenaires bancaires et n'avoir connaissance d'aucune vulnérabilité les affectant.
Ces démarches interviennent sept mois après le virage de la Fed en avril 2025 supprimant l'obligation de pré-notification pour les activités crypto des banques membres d'État. La banque centrale a indiqué qu'elle poursuivrait sa surveillance via les canaux de supervision réguliers. Un porte-parole de la Réserve fédérale a refusé de commenter les informations rapportées ; l'OCC n'avait pas répondu aux demandes de commentaire à la publication.
Perspectives et trajectoire de la supervision
La réponse réglementaire façonnera probablement les attentes quant à la gestion par les banques de la garde liée aux crypto-actifs, de l'exposition aux contreparties et de la réponse aux incidents. Les acteurs du marché doivent surveiller la publication d'orientations formelles de supervision, d'éventuelles actions de contrainte si des expositions significatives sont identifiées, et les résultats de l'audit de cybersécurité indépendant de Binance. Cet épisode teste la capacité du cadre de supervision post-avril à identifier et contenir efficacement le risque de contagion crypto pour le système financier traditionnel.
