La société d'analyse blockchain Elliptic a identifié une technique de blanchiment inhabituelle utilisée par les pirates responsables du piratage de Binance de 6,43 milliards de dollars : au lieu de déplacer directement les actifs volés entre portefeuilles, les attaquants ont émis leurs propres meme coins et les ont négociés via des pools de liquidité d'échanges décentralisés (DEX) avant d'abandonner complètement les tokens.

Le FBI a attribué cette intrusion au groupe TraderTraitor lié à la Corée du Nord, une désignation utilisée par les autorités américaines pour les acteurs cybernétiques nord-coréens parrainés par l'État qui ciblent l'industrie des cryptomonnaies. Selon l'analyse d'Elliptic, les tokens nouvellement créés ont servi de tampon sacrificiel entre les portefeuilles détenant la crypto volée et les adresses recevant finalement le produit. La technique reste détectable on-chain, mais elle peut ralentir les enquêteurs et compliquer le filtrage de conformité.

Six meme coins pour déplacer 117 000 NEAR volés

Le réseau de blanchiment, établi entre le 5 et le 11 novembre, a produit au moins six tokens sur la blockchain NEAR : FUK, OLCCL, MEILI, MMLI, DABI et SINU, selon Elliptic. La société estime qu'environ 117 000 NEAR, d'une valeur d'environ 430 000 dollars, ont été traités via des pools de liquidité liés à ces tokens. La création de chaque token coûtait environ 90 dollars, rendant cette couche intermédiaire bon marché à mettre en place par rapport aux sommes déplacées.

Les coins n'ont quasiment fait l'objet d'aucune véritable négociation sur le marché. Des portefeuilles semblant faire partie de l'opération de blanchiment ont effectué toutes les ventes sur les six tokens et presque tous les achats, a déterminé Elliptic. La plupart des tokens ont été vendus et bradés en quelques heures, et aucune activité de négociation n'a eu lieu depuis le 8 novembre — le lendemain de la publication de l'analyse par Elliptic.

Fonctionnement de la route des tokens jetables

Ce schéma insère une couche de blanchiment entre la crypto volée et le portefeuille qui collecte finalement le produit. D'abord, les attaquants créent un nouveau token et l'associent à un actif établi tel que NEAR dans un pool de liquidité DEX. Le NEAR volé détenu dans un portefeuille est ensuite utilisé pour acheter le token fraîchement émis. Un autre portefeuille revend ensuite ce token au pool et retire du NEAR.

Par conséquent, les actifs volés ne passent jamais directement du premier portefeuille à l'adresse qui les collecte. En apparence, le portefeuille récepteur semble simplement avoir acquis des fonds en négociant un meme coin obscur — et comme les DEX permettent à n'importe quel portefeuille de négocier des tokens nouvellement émis sans vérification par un intermédiaire, une telle adresse peut passer pour un négociateur ordinaire de meme coins jusqu'à ce que le schéma lui-même soit reconnu.

La trace blockchain reste toutefois visible. Elliptic a indiqué que cette stratégie crée des frictions pour les enquêteurs plutôt que de rendre les fonds volés introuvables.

Le blanchiment du piratage de Binance s'étend sur plusieurs chaînes

L'activité sur NEAR n'est qu'une composante d'une opération de blanchiment bien plus vaste autour du piratage de Binance. Elliptic a suivi le produit volé à travers plus de 20 000 portefeuilles, 16 blockchains, au moins 36 services et environ 65 000 transactions. La société a signalé environ 3 milliards de dollars dormant dans des adresses qu'elle estime liées aux fonds volés.

Des approches similaires basées sur des tokens ont également été mises en œuvre sur d'autres systèmes blockchain, tels que Tron et Solana. Elliptic a en outre relié cette technique au piratage de Bybit en 2025, dans lequel des voleurs affiliés à la Corée du Nord auraient acheminé plus de 24 millions de dollars via un token illusoire lancé sur le réseau Tron. Récurrente à travers des incidents et des chaînes distincts, cette technique est devenue un schéma reconnaissable que des outils de filtrage peuvent être conçus pour détecter, et tout mouvement futur des quelque 3 milliards de dollars de fonds tracés resterait visible on-chain.

Pour les équipes de conformité crypto, un nouveau signal d'alerte est apparu : des fonds entrant dans le système depuis un pool de liquidité d'un échange décentralisé qui vient d'être lancé et affiche un volume de négociation minimal. Ce signal provient des mêmes données on-chain publiques qu'Elliptic a utilisées pour retracer l'opération — les tokens émis pour rompre le lien direct entre portefeuilles servent désormais aussi de marqueurs que la surveillance automatisée peut dépister.