L'auteur de l'exploit du hot wallet de Binance a trouvé un moyen de contourner le gel des stablecoins : emprunter contre les fonds volés plutôt que de les vendre. L'enquête de TRM Labs a retracé la position sur Aave jusqu'à un portefeuille lié à l'attaquant, qui a fourni 60 millions d'USDT en garantie et reparti avec environ 19 762 ETH — 41 minutes avant le gel du marché de prêt.

Pourquoi emprunter plutôt que vendre

Les stablecoins volés présentent un risque inhérent pour un voleur : leurs émetteurs peuvent les geler. Tether et Circle ont ensuite gelé des milliards dans cet incident, que Binance évalue à environ 6,3 milliards de dollars, les pertes devant être couvertes par son fonds SAFU et ses fonds propres, selon ses conclusions préliminaires. Plusieurs enquêteurs blockchain, dont TRM Labs et Chainalysis, ont attribué le vol à la Corée du Nord, pointant TraderTraitor, le groupe soutenu par l'État que le FBI a tenu responsable du piratage de Bybit de 1,5 milliard de dollars en 2025.

L'ETH natif n'a ni émetteur ni liste noire. Elliptic identifie la conversion des fonds volés en actifs natifs comme centrale dans la riposte de l'attaquant face aux gels. Emprunter contre de l'USDT a permis cela sans vente : les stablecoins sont restés sur Aave en garantie, et l'attaquant est reparti avec des ETH, tandis que l'enquête a également noté des ventes séparées de stablecoins à des teneurs de marché.

Le calendrier compte. Les deux transactions d'emprunt sont arrivées à 20h59 et 21h00 UTC, avant le premier gel de Tether signalé peu après 21h00.

Deux transactions, 19 762 ETH

Etherscan désigne l'adresse d'emprunt sous le nom de « Binance Hot Wallet Exploiter 3 ». Dans chaque transaction, l'ether enveloppé (WETH) — la version tokenisée de l'ETH utilisée par les applications de prêt — a quitté la réserve d'Aave, a été déballotté et est arrivé dans le portefeuille sous forme d'ETH natif.

• 20:59:11 UTC, 29 octobre : +3 271,4 ETH (Voir la transaction)
• 21:00:59 UTC, 29 octobre : +16 491,0 ETH (Voir la transaction)

Total : environ 19 762,4 ETH. Le premier gel de marché d'Aave a suivi à 21h42, soit 41 minutes plus tard.

Ce que le gel d'Aave a pu et n'a pas pu faire

Le fournisseur de risques LlamaRisk a détaillé la réponse d'Aave dans une mise à jour d'incident à 01h00 UTC le 30 octobre :

• Nouveaux dépôts bloqués
• Nouveaux emprunts bloqués
• Remboursements, retraits autorisés et liquidations toujours permis
• Les ETH déjà empruntés restent à l'emprunteur

Un gel de marché arrête le prochain prêt, pas le dernier. Les ETH empruntés par l'attaquant sont restés sous son contrôle, bien qu'ils restent visibles onchain, et tout transfert ultérieur vers un exchange ou un dépositaire pourrait donner aux enquêteurs un point d'intervention. La mise en liste noire de l'adresse de l'emprunteur auprès de l'émetteur du stablecoin constitue également une étape distincte de l'immobilisation de l'USDT déjà présent dans le contrat de prêt d'Aave.

Le prêt laissé par l'attaquant

À 01h00 UTC, LlamaRisk évaluait la position comme suit :

• Garantie (USDT) : 59,9 M$
• Marge tampon : 16,1 M$
• Ratio prêt/valeur : ~73 %
• Dette (ETH) : 43,8 M$

LlamaRisk a décrit la position comme surgarantie et soumise à une liquidation normale. La prise des ETH n'a donc pas, sur cet instantané, laissé Aave avec une perte égale au prêt. La dette et la garantie doivent être lues ensemble : un solde de garantie sur un explorateur de blocs n'est pas de l'argent dépensable, et un token de dette affiché sans prix reste une dette.

La même logique s'applique au bilan du vol. Les 60 millions d'USDT et les ETH empruntés contre eux forment une seule position : les compter tous deux comme des pertes distinctes de Binance reviendrait à comptabiliser deux fois la garantie.

L'effet d'une hausse du prix de l'ETH sur le prêt

La garantie est adossée au dollar, mais la dette est libellée en ETH. Lorsque l'ETH monte, la dette augmente en dollars tandis que l'USDT reste stable, et les intérêts courus s'ajoutent également à la dette. Selon le cadre du facteur de santé d'Aave, une position peut être liquidée dès que sa garantie, ajustée par un seuil de liquidation, ne couvre plus la dette.

Le chiffre de la dette de 43,8 millions de dollars implique un ETH à environ 2 216 $. À dette de 19 762,4 ETH fixe, la limite extérieure de la position se situe autour de 3 031 $ — mais c'est le plafond, pas le déclencheur. Comme Aave comptabilise la garantie à un seuil de liquidation inférieur à 100 %, la position deviendrait liquidable bien avant que l'ETH n'atteigne ce niveau. Le point exact dépend des paramètres du marché, des prix des oracles et des intérêts courus à un bloc donné. En cas de liquidation, le liquidateur rembourse une partie de la dette et reçoit la garantie plus une prime.

Le coût pour les utilisateurs ordinaires d'Aave

Le gel des dépôts pour arrêter l'attaquant a également coupé la liquidité fraîche pour tous les autres, tandis que les fournisseurs existants continuaient de retirer leurs fonds. Dans une recommandation distincte du 30 octobre, LlamaRisk a proposé des baisses temporaires des taux d'intérêt, notant que le taux d'utilisation avait augmenté à mesure que les fournisseurs retiraient des fonds et que des taux plus élevés étoufferaient les emprunteurs sans attirer de nouveaux dépôts tant que les réserves étaient gelées. Les changements effectivement mis en œuvre n'ont pas encore été confirmés.

Les ETH ont quitté Aave. Le sort des 60 millions d'USDT qui les sous-tendent — par remboursement, liquidation ou action de recouvrement sur la garantie — déterminera désormais comment le prêt de l'attaquant sera finalement réglé.

Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier ou d'investissement. Il est initialement paru sur Coindoo.