Les auteurs du piratage de Binance, estimé à 6,3 milliards de dollars, contrôlent encore des milliards de dollars en crypto-monnaies volées, malgré une vague rapide d'efforts de gel menés par les émetteurs de jetons. Cet épisode constitue un test en conditions réelles des outils d'intervention onchain de la crypto — montrant à la fois la rapidité avec laquelle les émetteurs centralisés peuvent actionner le frein d'urgence et les limites de ce pouvoir.

L'attaque, la plus importante de l'histoire de la crypto, a commencé jeudi à 20h04 UTC, et ses auteurs — reliés par les enquêteurs aux hackers nord-coréens à l'origine du piratage de Bitget le mois dernier — se sont immédiatement attelés à la conversion des actifs volés.

Leur plan de jeu consistait à échanger les actifs pouvant être gelés, tels que les stablecoins USDT et USDC, contre des actifs qui ne le pouvaient pas, comme le Bitcoin (BTC) et l'Ether (ETH).

L'ingénieur de CertiK, Dickson Wu, a tracé 500 millions de dollars en USDT envoyés vers une seule adresse, dont 325 millions de dollars vendus à des teneurs de marché contre de l'ETH d'ici 20h59 UTC — moins d'une heure après le début de l'attaque. Les hackers se sont battus contre certains des gardiens les plus puissants de la crypto : des géants des stablecoins comme Tether et Circle, qui avaient déjà commencé à inscrire sur liste noire les adresses associées au vol.

Binance a déclaré vendredi qu'environ 3 milliards de dollars des actifs volés avaient été gelés onchain sur un total estimé à 6,3 milliards de dollars, et qu'il travaille avec les forces de l'ordre, les émetteurs de jetons et les sociétés d'analyse blockchain pour tracer des fonds supplémentaires.

L'ampleur du vol est stupéfiante, même selon les standards de la crypto. Mais avec environ la moitié des actifs déjà immobilisés, quelle part des crypto-monnaies volées les auteurs peuvent-ils réellement dépenser ?

La crypto dotée d'un interrupteur d'arrêt

Contrairement au BTC ou à l'ETH, des crypto-monnaies décentralisées sans émetteur central et sans personne capable d'appuyer sur le bouton pause, les stablecoins centralisés comme l'USDT de Tether et l'USDC de Circle ont des émetteurs capables de geler les jetons détenus à des adresses spécifiques. Cela leur confère le pouvoir d'agir rapidement lors d'incidents de ce type.

Tether a gelé environ 1,567 milliard de dollars en USDT au total, le premier gel majeur ayant eu lieu à peine 37 minutes après que les fonds volés ont atteint le principal portefeuille Ethereum de l'attaquant. Circle a gelé environ 823 millions de dollars en USDC trois minutes plus tard, et d'autres émetteurs, dont Ripple et World Liberty Financial, ont rapidement emboîté le pas.

La capacité à immobiliser la crypto n'est pas l'exclusivité des stablecoins. Bien que les protocoles décentralisés manquent d'émetteurs centraux, certains ne sont pas restés inactifs : le Conseil de sécurité d'Arbitrum a déplacé environ 30,5 millions de dollars en ARB et en ETH vers un portefeuille intermédiaire gelé, où les fonds ne peuvent être déplacés qu'après une action supplémentaire du conseil ou un vote de la gouvernance de l'Arbitrum DAO. Reste à savoir si le Conseil de sécurité ou un vote de la DAO permettra in fine de restituer ces actifs à Binance.

Une distinction importante demeure : les fonds gelés ne sont pas nécessairement synonymes de fonds récupérés. L'immobilisation des actifs empêche les attaquants présumés de les dépenser, mais elle ne retourne pas automatiquement l'argent à Binance ou à ses utilisateurs.

La complication Aave

Le protocole de prêt décentralisé Aave ajoute une couche supplémentaire de complexité. Entre 20h58 et 21h01 UTC, un portefeuille associé aux attaquants a déposé 60 millions de dollars en USDT dans Aave V3 sur Ethereum et emprunté 44,6 millions de dollars d'Ether emballé (WETH), soit environ 40 minutes avant le premier gel.

LlamaRisk, un fournisseur de services de risque pour Aave, a indiqué dans sa mise à jour de 1h00 du matin que la position de l'attaquant détenait ensuite environ 59,9 millions de dollars de collatéral en USDT contre 43,8 millions de dollars de dette. Aave a précisé que la position restait surcollatéralisée et ne mettait pas les fournisseurs du protocole en danger.

Les USDT ayant déjà été déposés dans le pool de prêt d'Aave, l'inscription sur liste noire du portefeuille de l'attaquant ne pouvait pas récupérer automatiquement le collatéral détenu par le protocole. Comme l'a expliqué Marc Zeller, fondateur de l'Aave Chan Initiative : « L'USDT est de la vraie monnaie adossée à des dollars, et la position est criminelle mais surcollatéralisée aux yeux du protocole. »

Pour prévenir de nouveaux dépôts et emprunts, Aave a temporairement gelé les marchés sur ses déploiements V3 et V4, bien que les utilisateurs existants aient pu continuer à retirer des fonds, rembourser des prêts et liquider des positions. Le protocole a par la suite levé son gel préventif sur les marchés V3 et V4, indiquant que ses contrats n'avaient pas été affectés et que les positions restaient surcollatéralisées. La position d'emprunt de l'attaquant elle-même demeure en place, et le sort du collatéral d'origine criminelle qu'elle détient reste à résoudre.

« Juste une journée ordinaire dans la crypto », a commenté Zeller.

Que peuvent donc conserver les attaquants ?

La société d'analyse onchain Elliptic a estimé que 2,84 milliards de dollars avaient été gelés d'ici 7h00 UTC vendredi, tandis que les attaquants contrôlaient encore environ 3,33 milliards de dollars d'actifs que les émetteurs ne pouvaient pas immobiliser.

Et si les gels ont presque réduit de moitié le pactole des attaquants, cela ne signifie pas que tous les fonds restants puissent être récupérés en toute sécurité. Le Bitcoin et l'Ether n'ont pas d'émetteur de jetons centralisé capable d'inscrire des adresses individuelles sur liste noire à la manière de Tether ou de Circle. Une fois les actifs volés convertis en ces crypto-monnaies natives, les transactions peuvent être restreintes, mais leur gel effectif est bien plus difficile.

Binance s'est engagé à couvrir l'intégralité des pertes grâce à son Secure Asset Fund for Users (SAFU) — la réserve d'urgence de la plateforme destinée à protéger les fonds des utilisateurs dans des situations extrêmes — et à ses fonds propres, et affirme que les actifs des utilisateurs restent en sécurité. Selon la dernière mise à jour du directeur général de Binance, Richard Teng, la plateforme est déjà « en train de récupérer les actifs volés pour les utilisateurs ». Tandis que les forces de l'ordre, les émetteurs de jetons et les sociétés d'analyse blockchain continuent de tracer les flux, le sort des quelque 3,33 milliards de dollars restants — et la part qui pourra encore être immobilisée ou récupérée — contribuera à déterminer le coût final du plus grand piratage de l'histoire de la crypto.