Binance lance un verrou de retrait pour aider à dissuader les attaques à clé cryptographique
Binance lance un verrou de retrait contrôlé par l'utilisateur visant à lutter contre une menace avec laquelle l'industrie de la cryptographie a passé l'année dernière à compter : la coercition physique des détenteurs, également connue sous le nom d'attaques dites à la clé.
La fonctionnalité « Protection contre le retrait » permet aux utilisateurs de geler leur propre compte contre les retraits en chaîne pendant un à sept jours, a indiqué la bourse lundi. Un mode de « verrouillage » plus strict désactive entièrement le déverrouillage anticipé. Le communiqué de presse de Binance indique que le verrouillage ne peut pas être contourné par la bourse.
Dans une interview avec CoinDesk, Jimmy Su, responsable de la sécurité de la bourse, a déclaré que la société avait créé cette fonctionnalité en réponse aux modèles observés dans la nature, notamment "des retraits plus risqués, voire forcés dans certains cas".
Il a souligné les utilisateurs voyageant dans des régions où être identifiable en tant que détenteur de crypto comporte un risque physique.
"Nous observons une tendance selon laquelle certains utilisateurs pourraient se rendre dans des zones géographiques plus à risque", a déclaré Su. "Ils veulent avoir cette couche de contrôle des utilisateurs où ils peuvent imposer une restriction sur les retraits. Au cas où quelque chose arriverait, cela leur donnerait plus de temps pour récupérer."
Lorsqu'on lui a demandé si la fonctionnalité constituait spécifiquement une défense contre les attaques à clé, Su a déclaré qu'il s'agissait d'un scénario, aux côtés de cas dans certaines régions où des acteurs malveillants travaillent activement pour identifier les utilisateurs de crypto pour un ciblage en personne.
Un verrou politique
Le communiqué de presse de Binance a présenté le verrou non annulable comme une garantie solide. Su a précisé que le mécanisme est une politique interne.
"Il s'agit d'une politique interne pour cette fonctionnalité particulière. Nos agents du service client ne peuvent pas la contourner", a déclaré Su à CoinDesk. "L'objectif est de remédier à la nature irréversible du transfert de la cryptographie. Contrairement à un scénario fiduciaire dans lequel les fonds sont retirés sur un compte courant ou bancaire et où il existe des moyens d'annuler la transaction, vous ne pouvez pas le faire avec la crypto en chaîne."
La distinction compte. Un verrou cryptographique serait effectivement immuable pendant la période choisie par l'utilisateur. Un verrouillage politique dépend de l'application continue de Binance et de l'absence d'obligation légale de le lever. Su a déclaré que cette fonctionnalité ne bloque pas les ordres des forces de l'ordre.
"Cela n'empêche pas les forces de l'ordre de prendre des mesures sur les comptes", a-t-il déclaré.
Pourquoi un délai vaut désormais la peine d'être proposé
Les fonctionnalités de délai de retrait ne sont pas nouvelles. Coinbase propose des coffres-forts, avec un délai de 48 heures et une confirmation par e-mail, depuis des années. Kraken propose un verrouillage des paramètres globaux similaire.
Le paysage des menaces a changé. Selon les données de CertiK et du chercheur en crypto Jameson Lopp, les incidents de coercition physique vérifiés contre les détenteurs de crypto ont augmenté de 75 % en 2025, atteignant 72 cas confirmés. Les incidents liés aux agressions ont bondi de 250 %.
Les retraits forcés vont à l’encontre de la sécurité conventionnelle des comptes. Chaque vérification des informations d'identification est effectuée par l'utilisateur légitime.
Un verrouillage temporel change ce calcul : un utilisateur qui active la protection contre le retrait avant de se rendre dans une région à haut risque ne peut pas être contraint de déplacer des fonds à destination, même sous une menace physique. Contacter le support, dans ce cas, ne serait d’aucune utilité non plus.
Les robots de trading et la couche suivante
Lorsqu'on lui a demandé quel comportement des utilisateurs l'inquiétait le plus, Su a souligné les robots commerciaux annoncés sur les forums et les réseaux publicitaires qui demandent aux utilisateurs d'accorder des clés API avec des autorisations étendues.
"Si le robot de trading est une arnaque, il peut être utilisé pour provoquer des pertes de trading et des retraits non autorisés", a déclaré Su. Les utilisateurs doivent traiter les clés API avec la même protection que leurs mots de passe ou une authentification à deux facteurs, a-t-il ajouté : « Une fois qu'une clé est utilisée par un robot de trading, c'est comme s'il opérait au nom de cet utilisateur. »
Binance investit dans une authentification contextuelle qui varie les frictions en fonction du risque détecté, a déclaré Su. Pour les actions de routine comme la connexion ou le trading, l’objectif est de réduire les défis visibles. Pour les actions à haut risque comme les retraits, il faut davantage de frictions.
Il a défini le retrait de la protection comme une couche dans une approche de défense en profondeur, et non comme un remplacement de l'hygiène de base. Le conseil pour le modèle de menace d'attaque à clé, a-t-il déclaré, était de gérer son empreinte en ligne.
"Les utilisateurs de crypto doivent protéger leur présence en ligne", a déclaré Su. "Essayer de protéger les informations confidentielles en termes de quantité de cryptographie. Faites de vous une cible plus difficile."