La société d'analyse blockchain TRM Labs a détaillé la manière dont les auteurs de l'exploitation contre Binance blanchissent le produit de leur vol via des tokens auto-émis, des transferts de reçus de prêt et des échanges cross-chain enchaînés — des techniques conçues pour rompre les liens de paiement directs dont dépendent les blocages d'actifs. Dans une mise à jour du 3 novembre couvrant la période du 31 octobre au 2 novembre, durant laquelle les bridges et les nouvelles méthodes basées sur TRON sont apparus pour la première fois dans ses traces, TRM a cartographié une série de routes construites autour d'un principe unique : le portefeuille détenant des fonds liés au piratage ne doit jamais payer le portefeuille qui procède finalement à la sortie des fonds.

Environ 6,36 milliards de dollars ont quitté les portefeuilles de Binance sur dix blockchains le 29 octobre, selon TRM. Le FBI a attribué le vol à la Corée du Nord le 31 octobre, désignant l'activité sous le nom de TraderTraitor — la même appellation utilisée pour le vol de 1,5 milliard de dollars contre Bybit en février 2025.

Les émetteurs et les réseaux ont réagi rapidement. Tether, Circle, Ripple, World Liberty Financial et l'Arbitrum Security Council ont gelé près de 2,7 milliards de dollars en quelques heures. TRM estime que l'attaquant détient toujours environ 2,4 milliards de dollars en ETH et BTC, et ces soldes principaux n'ont montré aucune nouvelle activité au 3 novembre. Le blanchiment que la société suit désormais se concentre sur TRON, les fonds commençant également à transiter par une série de portefeuilles Solana.

Sur TRON, chaque nouvelle méthode résout le même problème pour l'attaquant : un blocage ou une alerte doit pointer vers une adresse spécifique.

Un token que seul son créateur pouvait émettre

Le 31 octobre, une adresse déjà présente dans la trace du piratage de Binance a créé un token que seul son créateur peut émettre. Son seul marché était un pool unique sur un échange décentralisé TRON, associant le token à un token de reçu d'un protocole de prêt. TRM n'a nommé ni l'échange ni le protocole de prêt.

TRM décompose la route en trois étapes :

1. Financement — De nouveaux portefeuilles acheteurs reçoivent des TRX d'un portefeuille de dispersion présent dans la trace du piratage, les échangent contre des USDT, les convertissent en token de reçu et achètent le nouveau token.
2. Émission — Le créateur émet de nouveaux tokens sans coût et les envoie à un portefeuille vendeur distinct.
3. Retrait — Le vendeur vend dans le pool, retire les tokens de reçu et les échange contre des USDT.

Comme les tokens du vendeur ne coûtent rien à créer, toute la valeur qu'il a retirée du pool y avait été placée par les portefeuilles acheteurs — et ceux-ci étaient financés par le piratage. TRM n'a trouvé aucun transfert entre les acheteurs et le vendeur ; le pool constitue leur seule connexion. Une trace observant les paiements de portefeuille à portefeuille voit donc un ensemble d'adresses apparemment sans lien échangeant un nouveau token.

Dans un cas le 1er novembre, le portefeuille de dispersion a envoyé environ 2,94 millions de TRX à trois portefeuilles acheteurs. Le créateur a ensuite émis 300 millions de tokens vers un portefeuille vendeur, qui les a vendus en l'espace d'une minute, retiré près de 100 millions de tokens de reçu, les a échangés contre des USDT et a reconverti le produit en TRX.

Ce chiffre de 100 millions doit être lu comme un nombre de tokens de reçu plutôt qu'un montant en dollars, car un reçu se convertit en USDT à un taux fixé par le marché de prêt. L'estimation en dollars de TRM pour un tel pool est d'environ 2,7 millions de dollars retirés au 1er novembre.

La sortie vers Ethereum n'est que partiellement tracée

Le portefeuille vendeur a réparti ses TRX sur cinq nouveaux portefeuilles. Entre 03h22 et 04h26 UTC, ces portefeuilles ont passé 38 commandes d'une valeur de 966 558 USDT via un routeur d'échange intégré à une application de portefeuille, tous les paiements étant dirigés vers les portefeuilles de bridge d'un même service cross-chain.

Le service ne publie pas où ses commandes sont payées, si bien que TRM les a appariées par montant et par horodatage. Onze des 38 commandes — environ 290 000 dollars — correspondent à des paiements sur Ethereum, où les fonds ont été échangés contre des ETH, soit environ 30 % du lot en valeur. Lors de sa publication, la société traçait encore les 27 autres commandes ainsi que les portefeuilles Ethereum ayant finalement reçu les fonds.

Une correspondance par montant et horodatage est une inférence, et non un enregistrement du service lui-même. Elle fournit aux enquêteurs des adresses Ethereum précises à examiner, tout en laissant la majeure partie de ce lot non localisée. Les commandes restantes et les portefeuilles recevant les paiements Ethereum signalés constituent donc les éléments non résolus les plus manifestes de cette partie de la trace de TRM.

Dans un autre cas tracé sur la même route TRON-vers-Ethereum, des fonds provenant de plusieurs adresses TRON sont arrivés sur des adresses Ethereum intermédiaires. Ils ont ensuite été consolidés, transférés vers une seconde adresse et fractionnés en tranches de 50 à 80 ETH. Ces ETH sont restés là où ils avaient atterri. TRM décrit cette séquence d'échange, de consolidation et de redistribution comme typique du blanchiment nord-coréen.

Un droit de dépôt transféré entre portefeuilles

TRM a signalé la seconde méthode TRON le 2 novembre. Le portefeuille A dépose des USDT dans un pool de prêt et reçoit un token de reçu représentant son droit sur ce dépôt. Il envoie le reçu au portefeuille B lors d'un transfert de token ordinaire. Le portefeuille B l'échange, le pool verse des USDT, et B envoie ces USDT vers un bridge hors de TRON.

Une trace qui ne suit que les USDT se rompt au niveau du pool : A envoie des USDT en entrée, et B retire des USDT. Comme le pool est vaste et partagé avec de nombreux autres déposants, rien dans les flux USDT ne relie les deux. Les seuls contreparties de B sont le marché de prêt et un bridge, si bien que son historique paraît clean. Le lien n'existe que dans le transfert de token de reçu de A vers B.

Le reçu porte le dépôt lui-même, et non une copie. Si A dépose 100 000 dollars et remet le reçu, B peut échanger ce dépôt selon les règles du marché, et A ne conserve aucun droit propre.

Cela diffère de l'emprunt d'ETH contre des stablecoins volés observé précédemment. L'emprunt laisse une dette garantie par un collatéral déposé. Le transfert d'un reçu transfère la propriété du dépôt de manière définitive.

Ce sur quoi un blocage doit porter

Les deux routes TRON empêchent le portefeuille détenant des fonds liés au piratage de jamais payer le portefeuille qui sort les fonds. Les bridges ajoutent une troisième version de la même idée. TRM a vu l'attaquant enchaîner deux échanges cross-chain, envoyant des fonds depuis une adresse de blanchiment directement vers une adresse de dépôt sur un second bridge. Cela évite le portefeuille intermédiaire où, selon les termes de TRM, une alerte ou un blocage se placerait normalement.

Les 2,7 milliards de dollars stoppés dans les premières heures l'ont été à des adresses que les émetteurs savaient compromises. Les conseils de TRM aux équipes de conformité découlent de ce que ces routes brisent : suivre la valeur à travers les tokens de reçu et les tokens de pool, examiner plusieurs sauts en aval — y compris les paiements cross-chain — et reconnaître que certains paiements ne peuvent être appariés que par montant et horodatage. Un contrôle qui ne regarde que l'expéditeur d'un dépôt USDT laisserait passer le portefeuille B.

Les soldes les plus importants demeurent immobiles. Les quelque 2,4 milliards de dollars en ETH et BTC n'avaient pas bougé au 3 novembre, tandis que le blanchiment documenté par TRM sur TRON s'élevait de centaines de milliers à quelques millions de dollars à la fois. L'appel du FBI à bloquer les portefeuilles liés à TraderTraitor dépend de l'identification préalable de ces portefeuilles. Chaque route décrite dans la mise à jour est conçue pour que le portefeuille suivant n'ait aucun historique de paiement visible avec le précédent.

Cet article est adapté du rapport original de Coindoo, Binance Hackers Created a Token to Trade With Themselves.