Le pirate à l'origine du piratage d'environ 6,3 milliards de dollars chez Binance a déplacé la totalité des 233,46 millions de XRP volés vers six nouveaux portefeuilles lundi. Cette redistribution souligne une différence clé entre les actifs dérobés lors de la brèche : contrairement aux stablecoins également volés, le XRP natif n'a aucun émetteur doté du pouvoir de le geler.

Selon les registres du XRP Ledger, l'adresse de conservation a effectué six paiements tests de 1 000 XRP chacun à partir de 03h47 UTC. Ces transferts tests ont précédé d'environ cinq minutes le premier paiement important ; ce type de petit paiement préliminaire est couramment utilisé pour vérifier qu'une adresse de destination peut recevoir des fonds. Entre 03h52 et 04h00 UTC, neuf paiements importants ont suivi. Au final, cinq portefeuilles ont reçu environ 40 millions de XRP chacun, dont trois en deux versements de 30 millions et 10 millions, tandis que le sixième a reçu 33,46 millions. L'adresse d'origine a conservé 23,7 XRP.

Au prix de lundi, environ 1,26 dollar par XRP, les jetons valaient approximativement 294 millions de dollars. Whale Alert a mis en avant un transfert unique de 40 millions de XRP, d'une valeur d'environ 50,4 millions de dollars, depuis une adresse qu'elle désigne comme « Binance Hack 2026 ».

L'attaquant a également envoyé 1 000 XRP vers une septième adresse distincte à 02h12 UTC. Les jetons étaient restés relativement intacts sur l'adresse de conservation pendant environ 80 heures avant le début des gros paiements. Cinq portefeuilles Binance avaient envoyé la totalité des 233,46 millions de XRP vers cette adresse en environ quatre minutes le 29 octobre. Les données du registre à 07h27 UTC mardi ont montré qu'aucun des six nouveaux portefeuilles n'avait rien déplacé. Le registre étant public, tout mouvement ultérieur depuis ces adresses sera visible en temps réel.

Pourquoi le XRP volé ne peut pas être gelé

Selon la documentation du XRP Ledger, le XRP natif ne peut pas être gelé sur le registre. Ripple a gelé le RLUSD volé lié à la brèche, mais ces contrôles d'émetteur ne s'étendent qu'à son propre stablecoin : les pouvoirs de gel s'attachent aux jetons créés par un émetteur, et l'actif natif du registre n'a aucun émetteur pour les exercer. La tâche consiste désormais à tracer les six portefeuilles et pour les plateformes à refuser les dépôts afin de récupérer le XRP. Cette répartition semble constituer une étape de blanchiment : six soldats signifient plus de pistes à suivre et des lots plus réduits à écouler.

Le traqueur on-chain Lookonchain a indiqué qu'environ 250 000 dollars du butin avaient été transférés vers la plateforme Gate en dépôts étalés sur 12 heures.

Les conséquences plus larges de la brèche

L'attaque a entraîné le vol d'environ 628 millions de dollars d'actifs sur Tron. Tether a gelé environ 378,7 millions d'USDT — le même pouvoir au niveau de l'émetteur que celui utilisé par Ripple sur le RLUSD, et que le XRP natif n'a pas — mais l'analyste SomaXBT estime qu'environ 242 millions de dollars se sont échappés via des routes liées à Tron en deux jours. Environ 140 millions de dollars de cette somme sont passés par des services tels que Relay et THORChain, dont les opérateurs de nœuds ont été sollicités par le FBI pour bloquer les fonds. Les estimations attribuent à Relay un volume d'environ 48 millions de dollars et à THORChain 44 millions de dollars.

Cryptopolitan a rapporté que l'industrie a gelé environ 3 milliards de dollars des actifs volés. Le FBI accuse TraderTraitor, son appellation pour une opération de piratage nord-coréenne liée à l'État, affirmant que les attaquants convertissent les cryptomonnaies volées en Ether. Cependant, Kim Yo Jong, de Corée du Nord, a nié les accusations du FBI, les qualifiant de « rhétorique absurde et de rien de nouveau », dans une déclaration officielle publiée le 2 novembre.

Binance a indiqué que les fonds de l'entreprise ont indemnisé environ 95 % des montants concernés, et la plateforme a ajouté disposer d'une couverture intégrale pour ses soldes de XRP.