Binance a repris les retraits dimanche après avoir couvert la majeure partie des 6,3 milliards de dollars volés lors de l'attaque du 29 octobre, a rapporté Reuters, et à 15h30 UTC faisait état d'environ 3,6 milliards de dollars de sorties nettes. Les décomptes concurrents des fournisseurs de données on-chain affichent toutefois des chiffres plus élevés, et cet écart s'explique par les fenêtres de mesure, la couverture des portefeuilles et la manière dont les nouvelles adresses d'échange nouvellement créées sont étiquetées.

Binance a compté 9,5 heures, DefiLlama en a compté 24

Binance a indiqué avoir traité environ 4,65 milliards de dollars de retraits et 1,01 milliard de dollars de dépôts entre 06h00 et 15h30 UTC dimanche, selon The Block. Les dépôts ont compensé environ un cinquième des sorties, ce qui explique pourquoi le chiffre net se situe autour de 3,6 milliards de dollars plutôt qu'au total brut. Ces heures ont suivi un gel en vigueur depuis le 29 octobre.

La plateforme a rapporté le chiffre net à 171 milliards de dollars d'actifs sous gestion issus de ses données de preuve de réserves du 28 octobre, fixant les sorties à 2,1 %. Ce dénominateur est antérieur au piratage : le ratio compare donc la sortie de dimanche aux avoirs de Binance avant le vol, et non à ce qu'elle détient aujourd'hui.

Binance a également indiqué que les volumes de retraits se stabilisaient après le pic initial, tandis que les dépôts restaient substantiels. Elle n'a publié aucun détail horaire, de sorte que l'allure de cette baisse ne peut être vérifiée depuis l'extérieur de la plateforme.

Les lectures concurrentes se présentent comme suit :

• Binance, auto-déclaré : environ 3,6 milliards de dollars nets, 06h00–15h30 UTC, 1er novembre
• DefiLlama, via The Block : environ 4,05 milliards de dollars nets, 24 heures jusqu'à 16h37 UTC, 1er novembre
• DefiLlama, via Reuters : environ 4,4 milliards de dollars, fenêtre non précisée

Ces chiffres ne mesurent pas la même chose. La fenêtre de 24 heures de DefiLlama s'ouvre samedi après-midi, plus de 13 heures avant que Binance n'ait traité son premier retrait, à un moment où les clients n'avaient aucun moyen de sortir des fonds de la plateforme. Toute baisse de solde enregistrée pendant ces heures ne pouvait donc pas être une sortie de clients.

La couverture diffère également. DefiLlama suit environ 131 milliards de dollars de portefeuilles qu'il attribue à Binance, bien en deçà des 171 milliards de dollars déclarés par la plateforme, ce qui signifie que les deux comptabilisent les flux sur des ensembles d'adresses différents.

Un nouveau hot wallet donne l'impression d'une fuite de fonds

Après que les attaquants ont vidangé ses hot wallets, Binance a commencé à traiter les retraits depuis des portefeuilles nouvellement générés et les a ajoutés à sa liste de preuve de réserves, a rapporté The Block. Tant qu'un traqueur n'a pas étiqueté une nouvelle adresse comme appartenant à Binance, les fonds que la plateforme y transfère sont enregistrés comme une sortie. Le guide méthodologique de CryptoQuant signale le même risque : des adresses d'échange non identifiées peuvent faire apparaître un transfert interne comme un retrait externe.

C'est le fondement de l'objection de Binance à la lecture plus élevée de DefiLlama, qui, selon la plateforme, ne prenait pas pleinement en compte les dépôts vers le nouveau hot wallet. Aucun traqueur n'a encore publié de réconciliation. Tant que les nouvelles adresses ne sont pas étiquetées et que les fenêtres ne sont pas alignées, cette explication repose sur la parole de Binance.

Le même problème d'étiquetage entache les données du jour de l'attaque. CryptoQuant a enregistré environ 28 000 BTC et environ 2,9 milliards d'USDT ERC-20 quittant les portefeuilles étiquetés Binance le 29 octobre. Ces totaux mêlent fonds volés, transferts d'urgence et retraits de clients éventuels traités avant le gel, et la série USDT ne couvre que la version Ethereum du token. Le chiffre USDT comporte une seconde complication : une partie correspond à des stablecoins volés que les émetteurs pourraient, en principe, geler. L'analyse de Coindoo sur la manière dont le pirate a déjoué ces gels montre comment l'attaquant a malgré tout maintenu ces fonds en mouvement.

Où est apparu l'argent

Seule une petite partie des sorties de dimanche a fait surface sur des plateformes concurrentes. Sur les mêmes 24 heures, les dix plus grandes plateformes suivantes dans les données de DefiLlama ont enregistré environ 368 millions de dollars d'entrées nettes cumulées, menées par OKX avec près de 317 millions de dollars, tandis que Bitfinex et Gate affichaient des sorties nettes. DefiLlama ne couvre ni Coinbase ni Kraken, mais les données CoinGlass citées par The Block ont montré que leurs soldes en bitcoin augmentaient d'environ 984 BTC et 1 422 BTC respectivement, tandis que ceux de Binance baisssaient d'environ 19 289 BTC.

La majeure partie de l'argent est donc allée vers des adresses que ces tableaux de bord n'étiquettent pas. Il peut s'agir de portefeuilles en auto-conservation, de plateformes plus petites ou d'adresses Binance pas encore étiquetées, et les données on-chain seules ne permettent pas de les distinguer.

Ce que les clients peuvent réellement retirer

Binance a ordonné la première phase en fonction de la demande de retraits de la semaine précédente, c'est pourquoi les principales cryptomonnaies et les réseaux de stablecoins les plus utilisés sont revenus en premier. Dans sa mise à jour de reprise du 1er novembre, la plateforme a indiqué que les soldes en BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD et ZEC sont entièrement adossés. Les environ 5 % de la valeur volée qu'elle n'avait pas encore remplacés se trouvent dans des tokens moins liquides en dehors de ce groupe, qu'elle continue d'acheter via les canaux de marché et de gré à gré.

État des retraits dimanche après-midi (UTC) :

• 12h36 – Les 15 réseaux de la première phase ont été rouverts
• 16h22 – La page d'état montrait 531 des 552 cryptomonnaies suspendues ; 14 partiellement rétablies, dont BTC et ETH
• Encore en test – Cardano, Chainlink, Hyperliquid, Litecoin, NEAR et autres réseaux

Pour quiconque détient une cryptomonnaie encore suspendue, les milliards de dimanche ne disent rien de son propre solde. La page d'état du réseau de Binance liste la disponibilité de chaque paire actif/réseau.

Remplacer la valeur volée par des fonds de l'entreprise est par ailleurs distinct de la récupération des cryptomonnaies volées elles-mêmes. Binance affirme travailler avec les autorités et des partenaires du secteur pour les retrouver et les geler, mais sa mise à jour du 1er novembre n'a pas précisé quel montant a été gelé à ce jour.

Les données de réserves restent antérieures à dimanche

Les deux références de réserves en circulation sont antérieures à la ruée. Le ratio de 2,1 % repose sur les données du 28 octobre. Binance a indiqué que son prochain rapport de preuve de réserves, calculé avec des preuves à divulgation nulle et attendu lundi, utilise un instantané du 31 octobre. Ce rapport peut montrer ce qui adossait les soldes des clients samedi, mais pas ce qui restait après les paiements de dimanche. Le défenseur des investisseurs de la PCAOB a également averti que ces rapports ne sont pas des audits et révèlent peu de choses sur la situation financière globale d'une entité.

Trois indicateurs montreront si dimanche était un rattrapage de retard ou le début d'une sortie plus longue. Le premier est le retour en ligne des cryptomonnaies suspendues. Le second est le rapprochement des chiffres de DefiLlama avec ceux de Binance une fois les nouveaux portefeuilles étiquetés. Le troisième est le premier instantané de réserves daté après le 1er novembre.

Cet article a été publié à l'origine par Coindoo.