Les pirates à l'origine du vol record subi par Binance ont commencé à convertir une grande partie de leurs XRP volés en bitcoin, selon la société d'analyse blockchain Elliptic, dont la dernière mise à jour couvre la période jusqu'à vendredi. Environ 42 millions de XRP — soit environ 50 millions de dollars — ont déjà été convertis, la majorité transitant par THORChain, un réseau décentralisé d'échanges inter-chaînes qui échange des actifs natifs entre blockchains sans l'intervention d'un dépositaire central.

Ces conversions ont fait presque doubler en une nuit le bitcoin issu des autres actifs volés lors du piratage, pour atteindre environ 1 650 BTC, d'une valeur d'environ 124 millions de dollars, a rapporté Elliptic. L'essentiel de cette hausse est passé par la voie des XRP. Environ 192 millions de XRP, d'une valeur d'environ 226 millions de dollars, restent non convertis sur des adresses liées au vol.

Les XRP faisaient partie du drainage du 29 octobre que Binance a ensuite évalué à 6,34 milliards de dollars. Entre 20h05 et 20h09 UTC ce jour-là, cinq hot wallets connectés à Internet ont transféré 233,46 millions de XRP vers une adresse contrôlée par l'attaquant. Le FBI a attribué cette campagne au groupe TraderTraitor, un acteur nord-coréen que les autorités américaines ont précédemment lié à une série de vols à haute valeur contre des plateformes et des bridges. Binance a depuis réouvert les retraits par étapes, a indiqué avoir gelé ou intercepté environ 2,85 milliards de dollars et couvre les pertes des clients sur ses propres fonds.

Comment les XRP volés ont commencé à circuler

Les XRP volés sont d'abord restés immobiles. Tôt le 2 novembre, entre 2h12 et 4h00 UTC, l'intégralité du butin d'environ 233 millions de XRP a été déplacée vers six nouvelles adresses, où elle est restée jusqu'au 5 novembre, a indiqué Elliptic. À partir de l'après-midi du 5 novembre, deux de ces six adresses ont commencé à transférer des XRP vers des dizaines de nouveaux comptes qui les ont convertis, principalement via THORChain en bitcoin. Une petite quantité d'ether est également passée par THORChain en bitcoin ce soir-là.

Les principales réserves de bitcoin et d'ether issues du vol — les plus importants pools — n'ont toujours pas bougé, a précisé Elliptic. Ce schéma reflète ce que la société avait observé après le piratage de Bybit — la violation de février 2025 qui avait drainé environ 1,5 milliard de dollars en ether de la plateforme et également attribuée par le FBI à des pirates nord-coréens : convertir d'abord les jetons gelables et à liquidité moyenne en bitcoin, puis tenter plus tard une sortie en espèces via des courtiers de gré à gré.

L'empreinte de l'opération de blanchiment est déjà immense. Depuis le vol, Elliptic a recensé plus de 20 000 wallets sur 16 blockchains, au moins 36 services et au moins 65 000 transactions — soit environ un nouveau wallet toutes les 30 secondes et une transaction toutes les 10 secondes. Environ 3,11 milliards de dollars restent sur des adresses liées à la violation, principalement en ether et en bitcoin, et seule une quantité négligeable a probablement été encaissée à ce jour.

Pourquoi les XRP et le bitcoin comptent ici

Les émetteurs peuvent geler de nombreux stablecoins ; ils ne peuvent pas geler les XRP de la même manière, et ils ne peuvent pas geler le bitcoin. Après le blocage de vastes tranches de stablecoins par Tether et Circle le 29 octobre, l'attaquant a privilégié les actifs situés en dehors de cet interrupteur. Le transfert des XRP vers le bitcoin prolonge la même logique : une fois le bitcoin fragmenté sur de nouvelles adresses, il devient bien plus difficile à récupérer.

La totalité des SOL volés — environ 87 millions de dollars aux valorisations d'Elliptic — a déjà été convertie, transférée ou mixée, une grande partie finissant en bitcoin. L'essentiel du blanchiment précoce sur Tron, environ 220 millions de dollars en TRX, a également été mené à bien ; Bitcoin Magazine avait signalé ce flux en couvrant l'arrêt discret du T3 Financial Crime Unit avant le piratage. Seules de petites portions des principaux pools d'ether et de NEAR ont bougé.

Une partie du bitcoin converti est passée par des coinjoins de type Wasabi, une technique de mixage qui regroupe des pièces de nombreux dépensiers pour rompre les liens traçables — environ 33 BTC, soit 2,5 millions de dollars, depuis le 1er novembre — tandis qu'environ 1,1 million de dollars en ether et SOL sont entrés dans le pool Privacy Cash avant que ce service ne suspende les dépôts. Elliptic a indiqué que le rythme pointait vers une automatisation classique plutôt que vers un agent IA prenant des décisions en temps réel : horaires fixes, montants définis, tentatives à l'aveugle et nouvelles tactiques introduites à quelques heures d'intervalle.

Les superviseurs bancaires américains ont déjà pris contact avec les prêteurs après la violation de Binance. Pour les marchés du bitcoin, la question plus immédiate est de savoir quelle part des ~192 millions de XRP restants — et éventuellement de l'ether immobilisé — sera convertie en BTC avant toute tentative de retrait.

L'enjeu désormais est de savoir si les opérateurs de THORChain et d'autres bridges continuent de bloquer assez rapidement les adresses de l'attaquant publiées pour ralentir le pipeline XRP-vers-bitcoin, ou si le reste du butin suivra le même chemin nocturne qu'a déjà emprunté le premier tranche de 50 millions de dollars.

Cet article est basé sur une publication publiée pour la première fois sur Bitcoin Magazine et rédigée par Micah Zimmerman.