Environ la moitié des 6,43 milliards de dollars volés à Binance le mois dernier n'a pas encore été blanchie, a indiqué la société d'analyse blockchain Elliptic dans un rapport actualisé vendredi. À 6,43 milliards de dollars, le butin est plus de quatre fois supérieur au piratage de Bybit de 1,5 milliard de dollars en février 2025.

Environ 3,11 milliards de dollars restent sur des adresses liées au vol, principalement en ETH et en Bitcoin, et ces fonds sont « très probablement » encore détenus par la Corée du Nord, selon Elliptic. Par ailleurs, 2,85 milliards de dollars, soit 44 % du butin, ont été gelés ou saisis — principalement des stablecoins que des émetteurs dont Tether et Circle ont gelés en moins d'une heure après le vol. Cela se compare à environ 3 % de fonds gelés après le piratage de Bybit de 1,5 milliard de dollars en février 2025, selon Elliptic.

Seule une part négligeable des fonds volés aurait été encaissée à ce jour. Elliptic s'attend à ce que l'attaquant échange les fonds contre du Bitcoin et les encaisse via des courtiers de gré à gré sur une période de plusieurs mois, à l'image du schéma observé après le piratage de Bybit en 2025.

Dans une mise à jour publiée sur X vendredi, Elliptic a indiqué que le XRP volé avait commencé à circuler :

Binance hack update: the XRP has started moving. About $50 million has been swapped, mostly through THORChain into BTC, with about $226 million still to move. Bitcoin converted from other stolen assets is now about 1,650 BTC ($124 million), almost twice the figure a day earlier.…

— Elliptic (@elliptic) November 6, 2026

Le FBI a attribué le vol du 29 octobre à des pirates nord-coréens qu'il nomme TraderTraitor. La Corée du Nord a nié toute implication.

Elliptic a décrit l'opération de blanchiment menée à ce jour comme « extrêmement complexe et manifestement automatisée ». Elle a mobilisé plus de 20 000 portefeuilles sur 16 blockchains, au moins 36 services et au moins 65 000 transactions — soit environ un nouveau portefeuille créé toutes les 30 secondes.

Les 18 270 BTC volés à Binance, d'une valeur d'environ 1,5 milliard de dollars au moment du vol, ont été répartis sur 19 adresses le jour du piratage et n'ont plus bougé depuis. Les neuf plus grandes adresses Ethereum, détenant 89 % de l'ETH de l'attaquant, sont elles aussi inactives depuis le 30 octobre.

Comment les fonds circulent

La plus grande partie du blanchiment à ce jour — environ 220 millions de dollars en TRX — est passée par Tron. Un unique portefeuille de distribution a envoyé 684,6 millions de TRX vers des centaines d'adresses nouvellement créées en 51 heures, y compris durant la nuit à Pyongyang. Presque tous ces TRX ont ensuite été transférés vers Ethereum.\nLa totalité du Solana volé, environ 87 millions de dollars aux prix actuels, a été échangée, transférée ou mélangée. L'attaquant a également commencé à blanchir le XRP volé, avec environ 50 millions de dollars convertis à ce jour et environ 226 millions de dollars encore à déplacer. Au total, environ 124 millions de dollars ont été convertis en Bitcoin, en grande partie via le service inter-chaînes THORChain.

Une plus petite partie des fonds a été mélangée. Environ 33 BTC, d'une valeur d'environ 2,5 millions de dollars, sont passés par des coinjoins de type Wasabi, tandis qu'environ 1,1 million de dollars en ETH et SOL ont été déposés dans le pool Privacy Cash, qui a suspendu les dépôts pendant environ une journée.

La rapidité de l'opération a alimenté les spéculations sur l'utilisation d'agents d'IA pour déplacer les fonds, mais Elliptic a indiqué que les éléments pointent vers une automatisation classique. « Le blanchiment est manifestement automatisé, mais rien de ce que nous avons observé ne montre un agent d'IA prenant des décisions », a précisé la société.

Elliptic s'attend à ce que l'attaquant échange l'ETH contre du Bitcoin, puis encaisse via des courtiers de gré à gré et des plateformes sur une période de plusieurs mois. Après le piratage de Bybit, la Corée du Nord avait blanchi la totalité des 499 000 ETH volés en 10 jours, mais avait mis des mois à finaliser l'encaissement, a noté la société. Jusqu'à ce que cet encaissement se déroule, les adresses Bitcoin et Ethereum dormantes détenant l'essentiel des fonds non blanchis, ainsi que le rythme des conversions de XRP restantes, constituent les principaux indicateurs à suivre au fur et à mesure de la progression de l'opération.

Binance poursuit la restauration de ses services

Binance a poursuivi la restauration de ses services à la suite du vol. Vendredi, la plateforme a indiqué que les utilisateurs peuvent désormais vérifier que leurs soldes sont adossés à hauteur d'au moins 1:1 grâce à la preuve à divulgation nulle du dernier instantané de ses réserves. La plateforme a ajouté qu'elle vise la réouverture des retraits pour tous les tokens sur les réseaux restaurés d'ici la fin de la semaine prochaine. La réalisation de cet objectif constituera le prochain indicateur visible du rétablissement de Binance.