Les auteurs du vol de 6,3 milliards de dollars chez Binance ont commencé à répartir leur butin selon une ligne de démarcation claire : les actifs qui peuvent être gelés ou potentiellement récupérés, et ceux qui échappent à tout contrôle de gel. Cette ligne de démarcation déterminera en grande partie la part des fonds volés qui pourra un jour être restituée.

Les émetteurs de stablecoins actionnent les leviers de blacklistage et de gel, tandis que les pirates s'empressent de transférer les fonds en ETH, BTC et autres jetons dépourvus d'émetteurs ou de mécanisme d'arrêt. Cette course pour isoler les jetons avant qu'ils ne deviennent irrécupérables fait suite à ce qui est décrit comme le plus grand vol de l'histoire de la crypto — qui a, ironie du sort, frappé la plus grande plateforme d'échange au monde. Le rapport initial de Binance sur l'incident attribue l'exploit à l'ordinateur portable compromis d'un ingénieur DevOps.

Qu'est-ce qui a été gelé à la suite du piratage de Binance ?

Les attaquants, que les sociétés d'intelligence blockchain TRM Labs et Chainalysis identifient avec un haut degré de confiance comme l'unité TraderTraitor nord-coréenne, ont vu près de 3 milliards de dollars des jetons qu'ils avaient retirés de la plateforme être gelés. Cette attribution a une portée pratique : les unités nord-coréennes de ce type ont déjà été citées dans des actions de sanctions américaines, qui donnent aux enquêteurs une base légale pour poursuivre saisies et confiscations en complément des gels on-chain.

Tether et Circle, émetteurs des plus grandes stablecoins par capitalisation boursière, ont blacklisté environ 1,77 milliard d'USDT et 825 millions d'USDC respectivement, selon TRM Labs. Le blacklistage est un contrôle intégré des stablecoins centralisées — les jetons d'une adresse listée ne peuvent plus être déplacés — un pouvoir qui n'existe tout simplement pas pour des actifs comme ETH ou BTC. Sur les 88,5 millions de RLUSD volés, Ripple en a gelé 40,5 millions, tandis que World Liberty Financial, lié à Trump, a bloqué 27,8 millions de son jeton USD1. Le Security Council d'Arbitrum est également intervenu, contribuant à bloquer 30,5 millions de dollars.

Malgré tout, les attaquants liés à la Corée du Nord détiennent toujours près de 3 milliards de dollars qu'aucune entité ne peut toucher, selon le suivi d'Arkham et de Lookonchain : environ 1,09 milliard de dollars en ETH, 1,41 milliard en BTC et 682,9 millions de TRX. L'attaquant a également obtenu 158,25 millions de dollars en vendant des altcoins comme AAVE, ENA, LINK, PEPE et UNI, et a depuis converti la totalité de cette somme en Ethereum, un actif non gelable.

Qui peut intervenir et qui ne le peut pas ?

L'agrégateur DEX 1inch et le protocole Reserve offrent une comparaison frappante du pont d'intervention que les pirates tentent de franchir.

1inch a indiqué que les adresses liées à l'exploit ont déjà été bloquées de l'accès à son dApp, son portefeuille et son API. L'agrégateur DEX a également déclaré avoir contacté Binance pour proposer son aide et coordonner ses efforts avec ZeroShadow, SEAL 911 et TRM Labs (déclaration sur X).

Reserve, à l'inverse, n'a rien pu faire lorsque les attaquants ont raflé environ 3,4 milliards de son jeton RSR. L'équipe a écrit sur X que « personne, y compris nous, ne peut geler » ces jetons, car RSR est immuable et n'a aucune clé d'administration.

Le Security Council d'Arbitrum a adopté une approche plus interventionniste. Selon le forum de gouvernance d'Arbitrum, le conseil a temporairement modifié le contrat inbox du réseau sur Ethereum, ajouté une fonction permettant de reproduire une transaction inter-chaînes en se faisant passer pour l'adresse de l'exploit, et déplacé 8 425 ETH et 74 559 805 ARB vers un portefeuille de détention se terminant par 0DA0. Le conseil a ensuite restauré le contrat, et les fonds ne pourront bouger qu'après un vote de l'ArbitrumDAO. Le conseil avait déjà utilisé ces pouvoirs d'urgence en avril, lorsqu'il avait gelé environ 30 766 ETH — d'une valeur d'environ 71 millions de dollars à l'époque — liés à l'exploit de KelpDAO.

Ce que le piratage de Bitget a déjà montré

Gelé ne signifie pas récupéré, et le secteur en a la preuve récente : le gel capture bien peu de choses une fois qu'un attaquant a converti ses fonds. Lors de la violation de Bitget en septembre, Cryptopolitan rapportait que Circle et Tether n'avaient bloqué que 318 000 dollars sur les 387,5 millions volés, le voleur ayant déjà converti le reste en Ether. Les données de Bitquery citées par Cryptopolitan montrent que les portefeuilles gelés dans la semaine conservent 59 % de leurs USDT après une semaine, mais seulement 12 % après six mois.

Binance a suspendu les dépôts et les retraits, s'est engagée à couvrir les pertes des utilisateurs via sa réserve SAFU — le fonds d'assurance d'urgence de la plateforme, créé en 2018 et alimenté par les frais de trading — et ses fonds propres, et prévoit la reprise des retraits sous 48 heures. Le co-CEO Richard Teng a voulu rassurer les utilisateurs, écrivant sur X : « Votre argent est en sécurité et nous couvrons chaque perte. »

La plateforme n'a pas précisé quelle part des 3 milliards de dollars gelés elle peut réellement récupérer, ni détaillé ce qu'il adviendra des 3,3 milliards de dollars restants. Les prochains jalons à surveiller sont tous fixés par l'incident lui-même : la reprise des retraits dans le délai de 48 heures annoncé par Binance, l'issue du vote de l'ArbitrumDAO sur les 8 425 ETH et 74 559 805 ARB saisis, l'usage par d'autres émetteurs et protocoles de leurs pouvoirs de gel sur des jetons encore en circulation, et le moment où Binance clarifiera les perspectives de récupération pour les parts gelées et intouchables du butin.

Source : Cryptopolitan