Les attaquants à l'origine du piratage de Binance ont converti 175 millions de dollars d'altcoins volés en environ 2 300 BTC, selon la société d'analyse blockchain Elliptic. Le bitcoin supplémentaire provient de l'échange d'actifs déjà dérobés lors de la violation de la plateforme du 29 octobre, ce qui signifie que les conversions ont modifié la forme des fonds précédemment volés plutôt que de refléter un nouveau vol. Autrement dit, ces opérations changent l'emplacement des fonds et la difficulté à les retracer — pas le montant dérobé.

Le rapport d'Elliptic, mis à jour le 7 novembre, décrit des transferts massifs à travers des milliers de portefeuilles, plusieurs blockchains et des dizaines de services. Le compte rendu quotidien détaillé de la société suit également des bitcoins entrant dans des transactions coinjoin — des outils de confidentialité qui combinent les pièces de plusieurs utilisateurs et compliquent les efforts de traçage.

Le rapport sur le piratage de Binance suit 175 millions de dollars convertis en bitcoin

Tom Robinson, cofondateur et scientifique en chef d'Elliptic, a décrit l'opération de blanchiment comme fortement automatisée. Son analyse recense plus de 20 000 portefeuilles sur 16 blockchains, impliquant au moins 36 services et 65 000 transactions — soit un rythme d'environ un nouveau portefeuille toutes les 30 secondes et une transaction toutes les 10 secondes. Ces chiffres décrivent une activité globale et ne prouvent pas que l'intelligence artificielle ait dirigé les transferts.

Des altcoins volés, dont SOL, XRP et TRX, ont contribué aux conversions en bitcoin. Environ 90 millions de dollars en SOL sont passés par des swaps, des bridges et des services de confidentialité — échanges de token à token, transferts entre blockchains et outils conçus pour masquer les pistes de transaction — une grande partie de la valeur devenant finalement du bitcoin. THORChain a également été impliqué, facilitant les conversions entre réseaux. Ethereum représentait une part plus faible des actifs convertis, tandis que les avoirs principaux en bitcoin et en ether des attaquants sont restés dormants.

L'entrée du 7 novembre indiquait qu'environ 88 BTC, d'une valeur de 6,7 millions de dollars, étaient entrés dans des coinjoins de type Wasabi. Ces transactions combinent les entrées de plusieurs participants, rendant plus difficile l'identification des liens directs entre les bitcoins entrants et sortants. Robinson a également identifié environ 412 000 NEAR, d'une valeur de 1,5 million de dollars, quittant le compte principal par petits lots. Les 2 300 BTC nouvellement convertis ont été placés sur des adresses bitcoin distinctes, séparées des avoirs existants des attaquants.

Les totaux des portefeuilles divergent tandis que les enquêteurs tracent les fonds volés

Un décompte distinct de la plateforme d'analyse Arkham montre une hausse bien plus faible que l'estimation de conversion d'Elliptic. L'entité étiquetée d'Arkham détenait, selon les rapports, 18 384,725 BTC à 10 heures, heure de l'Est, le 7 novembre, contre les 18 270,2 BTC drainés lors du piratage de Binance — une différence d'environ 114,525 BTC, très en dessous du chiffre de 2 300 BTC. Une page d'entité Arkham consultée pour cet article affichait environ 18 387 BTC dans ses portefeuilles étiquetés, selon news.bitcoin.com.

Ces relevés ne suffisent pas, à eux seuls, à réconcilier les deux plateformes. Une comparaison exigerait de faire correspondre les adresses, les horodatages et les hypothèses sur l'appartenance des portefeuilles aux attaquants. Le chiffre d'Elliptic couvre les altcoins volés convertis, tandis que le solde d'Arkham couvre les adresses regroupées sous son étiquette d'entité. Des différences de couverture ou de calendrier pourraient expliquer l'écart, même si les rapports disponibles n'établissent pas la cause. Ce type de divergence est récurrent dans les enquêtes on-chain, chaque plateforme d'analyse appliquant ses propres étiquettes d'entité et règles de couverture aux mêmes adresses sous-jacentes.

Les enregistrements on-chain cités dans le rapport montrent des dépôts de bitcoin depuis les vaults de THORChain et des swaps de TRX via Sun.io, un protocole d'échange sur le réseau TRON, indiquant une activité de blanchiment en cours liée au piratage, en parallèle des avoirs dormants en bitcoin et en ether.

Le blanchiment de bitcoin reste distinct de l'encaissement des produits en fonds utilisables. Elliptic a estimé qu'une quantité négligeable des actifs volés était probablement parvenue à l'étape d'encaissement, malgré les transferts massifs entre actifs. Le compte rendu d'Elliptic étant compilé jour après jour, les chiffres du 7 novembre constituent un instantané d'une opération encore en cours ; les entrées ultérieures du rapport, ainsi que les suivis de soldes publiés comme la page d'entité d'Arkham, constituent la trace à suivre au fur et à mesure du traçage.

Le déroulement de la violation et la réponse de Binance

Les attaquants ont drainé 18 270,2 BTC de l'exchange lors de l'incident du 29 octobre. Les enquêteurs ont déterminé qu'ils avaient obtenu un accès non autorisé à un service interne de signature de portefeuille, et Binance a décrit des appareils d'employés compromis et des logiciels malveillants précédant les transferts non autorisés.

Dans la foulée, l'exchange a indiqué avoir fermé les points d'entrée identifiés et reconstruit ou remplacé les systèmes concernés. Sa réponse a inclus des contrôles renforcés sur les appareils et des vérifications accrues des services de portefeuille après l'incident.

Binance a évalué les actifs concernés à environ 6,34 milliards de dollars dans son rapport d'incident du 3 novembre et a déclaré avoir constitué des fonds plus que suffisants pour absorber l'impact financier. La société a également cité des informations du FBI attribuant l'incident à la Corée du Nord. Elle a indiqué que 98 % des tokens impactés avaient été reconstitués au 31 octobre, tandis que les achats des actifs illiquides restants se poursuivaient. Binance a rapporté environ 2,85 milliards de dollars d'actifs gelés ou interceptés, sous réserve de rapprochements et de variations des prix du marché.

Source : Blockonomi