Selon le traqueur on-chain Whale Alert, un portefeuille détenant des fonds volés lors du piratage record de Binance a transféré 120 millions de TRX vers une adresse inconnue. Ce transfert constitue la dernière étape des efforts de blanchiment du produit du piratage du 29 octobre par les attaquants — et illustre pourquoi le jeton natif de Tron s'avère bien plus difficile à récupérer que les stablecoins dérobés lors de la même attaque.

Ce qui a été déplacé, et d'où cela provient

Au 30 octobre, les sociétés d'analyse forensique blockchain avaient identifié des adresses Tron spécifiques contrôlées par les attaquants, chacune détenant exactement 120 millions de TRX. Un autre portefeuille du même cluster détenait, selon les rapports, environ 158,2 millions de TRX.

Des transferts de moindre ampleur ont continué de fuiter d'autres adresses liées au groupe depuis l'attaque. Les enquêteurs décrivent ces mouvements comme cohérents avec des transferts en « peel chain » — une technique de blanchiment courante consistant à faire passer des fonds volés à travers une série d'adresses par tranches de plus en plus petites. Chaque tranche est assez modeste pour passer inaperçue isolément, mais l'ensemble rend la somme initiale plus difficile à suivre et plus facile à encaisser par morceaux.

Le piratage à l'origine de ces fonds

L'attaque a frappé Binance le 29 octobre 2026, drainant environ 6,3 milliards de dollars d'actifs numériques des hot wallets de la plateforme — les portefeuilles connectés à internet que les exchanges maintiennent approvisionnés pour traiter les retraits des clients — sur une dizaine de blockchains. Toute l'opération n'a duré qu'environ 20 minutes, et ce piratage est décrit comme un événement record pour le secteur, tant par son ampleur que par sa rapidité.

Tron a été l'un des réseaux les plus touchés. Les attaquants ont retiré 612,7 millions de USDT et 46,4 millions de TRX des hot wallets de Binance sur cette chaîne. Ils ont ensuite utilisé SunSwap, un exchange décentralisé sur Tron, pour échanger environ 234 millions de USDT contre une estimation de 638 millions de TRX.

Cet échange revêt plus d'importance qu'il n'y paraît de prime abord. L'USDT est un stablecoin émis par Tether, et Tether peut geler les jetons présents sur des adresses spécifiques. Le TRX, en revanche, n'a aucun émetteur central disposant d'une fonction de gel. Les conclusions de la recherche notent que les actifs non gelables comme le TRX continuent de compliquer les efforts de récupération.

Tether et Circle ont gelé environ 2,7 à 3 milliards de dollars de stablecoins à la suite de l'attaque, une action rendue possible par ce contrôle au niveau de l'émetteur — le même outil que les deux émetteurs ont utilisé pour bloquer des fonds liés à des exploits antérieurs.

Qui est derrière l'attaque, et la réponse de Binance

L'incident est attribué avec un haut degré de confiance à TraderTraitor, un groupe de pirates nord-coréen lié à de précédents exploits à grande échelle. Les enquêteurs des Nations unies ont estimé que les opérations cyber nord-coréennes ont volé des milliards de dollars en cryptomonnaies ces dernières années, des fonds qui, selon eux, contribuent à financer les programmes d'armement du pays. Binance enquête sur un ordinateur portable DevOps compromis comme vecteur d'attaque initial potentiel.

La plateforme a indiqué qu'elle couvrirait l'intégralité des pertes des clients concernés. Elle a temporairement suspendu les retraits depuis les portefeuilles touchés — une mesure de confinement standard pendant une enquête — et a provisionné plus de 6,34 milliards de dollars de fonds propres pour absorber le préjudice.

Des portions importantes des actifs volés — notamment les TRX — restent entre les mains des pirates. Les conclusions de la recherche décrivent des attaquants en train de blanchir activement les fonds.

Ce que cela signifie

Le sujet de fond est la ligne de partage entre ce qui peut être récupéré et ce qui ne le peut pas. Les stablecoins se sont révélés partiellement récupérables car leurs émetteurs peuvent les geler, et des milliards de dollars ont été bloqués en quelques jours. Les jetons natifs comme le TRX obéissent à d'autres règles : une fois qu'ils quittent le contrôle d'un exchange, la récupération dépend du traçage, de la coopération d'autres plateformes et de l'interception des fonds lorsqu'ils tentent de sortir. Concrètement, cela signifie surveiller où les TRX réapparaîtront — s'ils atterrissent sur des adresses de dépôt d'exchanges, les plateformes dotées de contrôles de conformité peuvent signaler et bloquer les dépôts liés à un exploit.

Les conclusions de la recherche pointent vers un examen accru de la sécurité des exchanges centralisés et la possibilité de protocoles plus stricts à l'échelle du secteur. Elles suggèrent également que certains traders pourraient envisager une migration vers les exchanges décentralisés après ce piratage. Fait notable, les attaquants eux-mêmes ont utilisé un exchange décentralisé — SunSwap — pour convertir leurs fonds en une forme plus difficile à geler.

Cet article est basé sur un reportage de CryptoBriefing, édité par John Chen. Original : 120 million TRX from the Binance hack moves to an unknown wallet