La société d'analyse blockchain Elliptic a rapporté que des portefeuilles liés au piratage de Binance avaient servi à frapper et échanger six mème tokens sur NEAR, avec le déploiement de pools de liquidité d'échanges décentralisés (DEX) dans le but présumé d'obscurcir le flux des fonds volés.

Elliptic et le FBI ont attribué le vol à TraderTraitor, un groupe de cybercriminalité nord-coréen opérant sous l'égide du groupe Lazarus — une collective depuis longtemps associée par les enquêteurs américains à des vols massifs de cryptomonnaies. Selon la société, l'incident a impliqué 6,43 milliards de dollars dérobés à Binance, la plus grande plateforme d'échange de cryptomonnaies au monde en volume de transactions, le 29 octobre 2026, puis dispersés sur 11 blockchains, dans ce qu'Elliptic a décrit comme une compromission sans précédent d'une seule plateforme.

Six tokens à thème frappés sur NEAR

Entre le 5 et le 7 novembre 2026, six tokens ont été frappés sur NEAR : FUK, OLCCL, MEILI, MMLI, DABI et SINU. NEAR est une blockchain de layer 1 qui prend en charge la création de tokens à faible coût. L'analyse on-chain d'Elliptic a révélé que les tokens portaient des logos animaliers de dessins animés — notamment un singe avec un nœud, un canard drapé d'un drapeau, un chimpanzé et un renard — aux côtés d'une image intitulée « Elon 2028 President ». Chaque token coûtait environ 25 NEAR, soit environ 90 dollars à l'époque, à frapper.

Comment fonctionnait le mécanisme de blanchiment présumé

Elliptic a décrit le schéma comme se déroulant en quatre étapes. Premièrement, un nouveau token et un pool de liquidité d'échange décentralisé sont créés. Des fonds identifiés comme volés entrent ensuite depuis un ensemble de portefeuilles pour acheter le token. Un autre ensemble de portefeuilles revend le token dans le pool pour retirer des actifs. Il en résulte que le lien on-chain direct entre les fonds d'origine et le portefeuille de sortie est rompu.

La société a noté que DABI, MMLI et SINU avaient chacun exactement un portefeuille acheteur et un portefeuille vendeur — un schéma qu'Elliptic a jugé cohérent avec un blanchiment contrôlé plutôt qu'avec une activité d'échange organique.

Toute la liquidité a été retirée le 8 novembre 2026, selon Elliptic. Les échanges externes sur les six tokens représentaient moins de 1 % du volume total, ce qui renforce l'évaluation de la société selon laquelle il ne s'agissait pas de tokens spéculatifs destinés au grand public mais d'instruments conçus pour déplacer de la valeur. Environ 117 000 NEAR, d'une valeur d'environ 430 000 dollars à l'époque, sont passés par les six tokens.

La même technique aurait été déployée pour la première fois lors du piratage de Bybit en février 2025 — un incident qui figure parmi les plus grands vols de cryptomonnaies jamais enregistrés — lorsque au moins 24 millions de dollars sont passés par un token sans valeur sur le réseau Tron. Sa réapparition dans le piratage de Binance, après le précédent de Bybit, établit les mème tokens artisanaux comme une technique de blanchiment répétable plutôt qu'un cas isolé — le schéma qui sous-tend les signaux d'alerte de conformité qu'Elliptic a demandé aux entreprises crypto de surveiller.

Une activité de blanchiment qui s'étendait au-delà de NEAR

Elliptic a rapporté que l'activité de mème coins sur NEAR n'était pas isolée. La société a également documenté un token Tron sans valeur utilisé le 2 novembre, et a indiqué que le 3 novembre, des SOL qu'elle a identifiés comme volés avaient été échangés contre des tokens Solana faiblement négociés, puis vendus contre des USDC, un stablecoin adossé au dollar émis par Circle, ajoutant encore à la complexité de la piste à travers plusieurs chaînes.

« Une couche de plus » : pourquoi les mème coins compliquent le traçage

Tom Robinson, co-fondateur d'Elliptic, a expliqué la logique stratégique : « Les mème coins sont lancés et échangés par milliers, et la plupart disparaissent en quelques jours, donc un token éphémère de plus avec un logo de dessin animé attire peu l'attention. Un portefeuille dont l'historique montre des échanges dans un nouveau mème coin ressemble à un spéculateur plutôt qu'à un blanchisseur, à moins que quelqu'un ne vérifie d'où vient son argent. »

Robinson a également souligné les limites de la technique : « Les mème tokens artisanaux ne sont qu'une couche de plus. Ils ne cachent pas tant les fonds qu'ils ne ralentissent ceux qui les traquent. » Les transactions blockchain restent publiquement visibles quel que soit le nombre d'actifs intermédiaires traversés, mais chaque saut ajoute du travail d'enquête et du temps.

Elliptic a rapporté qu'une opération de blanchiment présumée plus vaste se déroulait à une échelle qui faisait paraître l'activité de mème coins comme un simple test. Le rapport distinct d'Elliptic sur le blanchiment automatisé a suivi 546 transferts depuis un seul portefeuille émettant environ toutes les 96 secondes, déplaçant entre 7 et 11 millions de dollars par heure sans interruption pendant plus de 31 heures. La société a identifié plus de 20 000 portefeuilles et 16 chaînes qu'elle dit impliqués dans l'opération, que le FBI a formellement attribuée à TraderTraitor.

Signaux d'alerte de conformité

Elliptic a averti les entreprises crypto de traiter le schéma des mème coins comme un signal d'alerte de conformité, citant les tokens fraîchement frappés, les pools de liquidité ne comptant qu'une poignée de portefeuilles, les portefeuilles qui n'achètent que par opposition aux portefeuilles qui ne vendent que, et les nouveaux portefeuilles financés juste avant d'échanger des montants ronds. La société a mis en garde contre le fait que les fonds arrivant via des pools de liquidité ne doivent pas être considérés comme intrinsèquement propres.

Fonds gelés, efforts de récupération et contexte de marché

Le co-PDG de Binance, Richard Teng, a confirmé que 2,85 milliards de dollars de fonds volés avaient été gelés ou interceptés au moment du rapport d'Elliptic. Environ 3,2 milliards de dollars restaient non blanchis à cette date, les efforts de récupération se poursuivant dans plusieurs juridictions et sur plusieurs chaînes. La réponse des autorités américaines a suscité une reconnaissance publique de la direction de la plateforme. Pour les lecteurs suivant la résolution des fonds restants, les indicateurs observables sont ceux déjà consignés : de nouvelles confirmations de gel ou d'interception de la plateforme et des autorités, les mises à jour des listes de filtrage telles que la liste de blocage ci-dessous, et les flux on-chain documentés dans les recherches d'Elliptic.

Elliptic a publié une liste de blocage gratuite des adresses illicites du piratage de Binance sur elliptic.co/binance-hack-2026-blocklist pour aider les plateformes d'échange, les portefeuilles et les protocoles DeFi à filtrer les fonds entrants. La société n'a ni confirmé ni déni que des agents IA dirigent l'opération ; son évaluation pointait vers une automatisation conventionnelle avec supervision humaine plutôt que vers une prise de décision autonome par l'IA.

La perturbation plus large du marché causée par le piratage continuait de se manifester dans les écosystèmes de tokens des semaines après le vol initial, le NEAR se négociant à 3,62 dollars avec une capitalisation boursière d'environ 4,75 milliards de dollars au moment des recherches d'Elliptic. L'épisode rappelle également que l'infrastructure conçue pour les lancements légitimes de tokens — frappe à faible coût, pools DEX publics et déploiement rapide de liquidité — peut être détournée en outil d'obfuscation à un coût proche de zéro.

Les utilisateurs recherchant des mises à jour sur la sécurité de leur compte doivent se fier aux communications officielles de Binance plutôt qu'aux reportages de tierces parties.