Les pirates à l'origine du vol de 6,43 milliards de dollars chez Binance ont converti environ 124 millions de dollars des altcoins volés en Bitcoin, selon un rapport du 6 novembre de la société d'analyse blockchain Elliptic. Cette activité de blanchiment se déroule en même temps que la plateforme rétablit ses services de retrait pour ses clients.

Convertir des altcoins, pas encaisser

Les échanges ont produit environ 1 650 BTC, distincts des 1,48 milliard de dollars directement dérobés lors de l'attaque du 29 octobre. Environ 50 millions de dollars en XRP ont été déplacés à ce jour, tandis que 226 millions de dollars restent dans des portefeuilles contrôlés par les pirates. La quasi-totalité du Solana volé — d'une valeur d'environ 87 millions de dollars — a été échangé contre d'autres cryptomonnaies, transféré entre blockchains ou acheminé via des transactions conçues pour masquer son origine.

Les derniers chiffres ne donnent pas une image complète des fonds volés. Elliptic estime que 2,85 milliards de dollars, soit 44,3 % du total, ont été gelés, tandis que 3,11 milliards de dollars supplémentaires, soit 48,4 %, demeurent dans des portefeuilles connectés. Ensemble, ces catégories couvrent 5,96 milliards de dollars sur les 6,43 milliards volés, laissant environ 470 millions de dollars, soit 7,3 %, non comptabilisés dans les totaux rapportés. Des différences dans les valorisations des actifs et les moments de rapport peuvent expliquer ces incohérences.

Les 124 millions de dollars convertis en Bitcoin ne doivent pas être considérés comme un montant supplémentaire, les ayant simplement échangé une forme de crypto contre une autre plutôt que d'encaisser. Selon Elliptic, seule une petite partie de l'argent volé a été retirée à ce jour. La part de ce solde en portefeuilles connectés qui finira gelée, déplacée ou retirée est le chiffre le plus susceptible d'évoluer dans les prochaines mises à jour.

Comment le blanchiment continue de circuler

Les actifs volés ont été dispersés à travers un volume élevé de transactions. L'analyse d'Elliptic a permis de tracer plus de 20 000 portefeuilles de cryptomonnaies, 16 blockchains différentes et 65 000 transactions. L'activité semble automatisée, bien qu'il n'existe aucune preuve que des agents d'IA la contrôlent.

TRM Labs a constaté que les pirates avaient créé des tokens et des pools de liquidité sur Tron pour masquer les transferts. Ils ont également déplacé des fonds via des tokens de reçu de prêt et des ponts blockchain interconnectés, contournant les portefeuilles où les actifs pouvaient être gelés.

Plus tôt, Chainalysis avait suivi 325 millions de dollars de stablecoins convertis en 285 millions de dollars d'Ether en 20 minutes, apparemment pour éviter les gelures. Certaines conversions de XRP sont passées par THORChain. Comme l'a rapporté Cryptopolitan, le site web de THORChain a bloqué les adresses signalées après une demande du FBI, mais des nœuds indépendants ont continué à traiter les transactions.

La réouverture des retraits et l'épreuve de liquidité

Binance rétablit les retraits alors que les fonds volés restent en circulation. Dans une mise à jour du 6 novembre également partagée sur X, la plateforme a indiqué viser la réouverture des retraits pour HYPE, INJ, APT, PLASMA, NEAR et LTC d'ici la fin de la semaine suivante. Binance a également annoncé avoir reconstitué 98 % des actifs en tokens affectés au 31 octobre, et s'est engagée à couvrir les pertes des clients — bien que remplacer les actifs volés ne revienne pas à les récupérer. L'objectif des six tokens fixe la prochaine étape concrète dans le calendrier de rétablissement de la plateforme.

La réouverture a mis la liquidité de Binance sous pression. Talos a enregistré 6,1 milliards de dollars de sorties nettes. La profondeur du carnet d'ordres du Bitcoin à moins de 1 % a chuté de 28 % le premier jour suivant l'attaque et atteint un point bas d'environ 44 % sous les niveaux d'avant le piratage aux alentours du 1er novembre avant de se rétablir. Le Bitcoin lui-même a chuté d'environ 5 % après le piratage. Talos a néanmoins constaté des signes limités de contagion plus large du marché par rapport à l'effondrement de FTX.

Ce que cela signifie pour les plateformes et la conformité

Le FBI a attribué le vol au groupe TraderTraitor de Corée du Nord le 31 octobre. L'agence a publié des adresses liées aux pirates et exhorté les opérateurs de THORNode, les services DeFi et les plateformes d'échange instantané à bloquer les transactions concernées.

Malgré le blanchiment sophistiqué, l'attaque a commencé par des failles de sécurité familières. L'enquête de Binance décrit un faux entretien d'embauche, un malware installé sur l'ordinateur d'un ingénieur et l'utilisation abusive d'un outil d'IA interne. Les attaquants ont finalement obtenu l'accès aux systèmes impliqués dans la signature des transactions de portefeuille.

Cette violation met en évidence deux défis pour les plateformes : protéger les employés et les systèmes sensibles contre les intrusions, et empêcher les fonds volés de circuler à travers les réseaux décentralisés.