La société d'analyse blockchain Elliptic a retracé la manière dont les fonds volés à Binance ont été recyclés via six memecoins auto-créés sur la blockchain NEAR, dans un montage donnant aux portefeuilles de blanchiment l'apparence de traders rentables. Les conclusions, publiées dans une enquête du 9 novembre, constituent le dernier rapport de la société sur ce vol, dans lequel environ 6,4 milliards de dollars ont quitté les portefeuilles de Binance le 29 octobre. Deux jours plus tard, le FBI a attribué l'attaque à la Corée du Nord sous la désignation TraderTraitor, qu'il avait également appliquée au vol de Bybit en 2025. TraderTraitor est le label que les agences américaines attribuent aux groupes cybernétiques nord-coréens ciblant les entreprises de crypto-monnaies, une activité documentée dans de nombreux avis du gouvernement américain.

Coindoo avait précédemment couvert un token TRON auto-émi suivi par TRM Labs, où un pool de liquidité était la seule connexion entre acheteur et vendeur. Les conclusions d'Elliptic sur NEAR chiffrent désormais les deux côtés d'un pool de liquidité, sur six tokens d'une seconde blockchain.

Six tokens avec presque aucun trader extérieur

Chacun des six tokens était apparié avec du NEAR dans son propre pool sur une plateforme décentralisée et a coûté environ 25 NEAR, soit à peu près 90 dollars, à créer. La création sur une plateforme décentralisée est sans autorisation : aucun accord de référencement ni vérification d'identité ne s'interpose entre un utilisateur et un nouveau pool, si bien que le prix est la seule véritable barrière. À ce tarif, un token peut être utilisé une fois puis abandonné — c'est exactement ce qui s'est produit pour les six.

Un token flambant neuf dominé par quelques portefeuilles n'est pas, en soi, une preuve de blanchiment. De nombreux lancements légitimes commencent ainsi, avec le créateur et un petit groupe d'acheteurs précoces réalisant l'essentiel des transactions. L'analyse d'Elliptic repose sur trois constats qui ne prennent sens que réunis.

Le premier est qui a échangé. Les portefeuilles du réseau de blanchiment ont réalisé toutes les ventes des six tokens et acheté la totalité des unités de cinq d'entre eux. Les achats en dehors du réseau se sont limités à quelques petits achats de FUK lors de son premier jour, représentant moins de 1 % du volume de ce token.

Le second est la manière dont chaque token a été financé. Cinq des six créateurs ont été financés par un portefeuille qui vendait un token précédent entre 2 et 13 minutes avant le nouveau lancement. Les recettes d'un token ont financé le suivant : les six forment donc une chaîne plutôt que six paris distincts.

Le troisième est la brièveté de vie de chaque token. Chacun a été vendu pour la première fois dans les trois heures suivant son lancement et a réalisé au moins les trois quarts de ses transactions en une seule journée. Aucun n'a échangé depuis le 8 novembre, et cet après-midi-là, les créateurs de quatre tokens ont retiré la liquidité restante dans leurs pools.

Les chiffres cités ici sont ceux d'Elliptic. Coindoo n'a pas indépendamment reproduit les enregistrements de transactions des six pools.

Pourquoi les vendeurs semblent gagnants

Rien dans l'image de marque des tokens ne se distinguait. Elliptic décrit des logos dans le style standard des memecoins — d'un singe avec un nœud rose et d'un canard devant un drapeau américain à une bannière « Elon 2028 President » sur une image d'Elon Musk, qu'Elliptic ne relie pas aux tokens. Les noms suivent la même habitude : FUK est une blague grossière, et SINU emprunte la terminaison « -INU » des coins à thème canin. Les portefeuilles portaient des noms aléatoires attribués par une application de portefeuille populaire, si bien que leurs étiquettes ne renvoyaient à rien non plus.

Des milliers de nouveaux tokens apparaissent chaque jour, et c'est cela la couverture. Selon la lecture d'Elliptic, un portefeuille échangeant un memecoin récent passe pour un spéculateur tant que personne ne vérifie d'où vient son argent.

C'est à cette vérification que le profit apparent disparaît. Les portefeuilles acheteurs ont été financés avec environ 117 000 NEAR, transmis depuis le portefeuille principal détenant le NEAR volé via des comptes intermédiaires. Une somme presque identique a ensuite quitté les portefeuilles collecteurs, en grande partie échangée contre des stablecoins ou envoyée vers un pont inter-chaînes, le service qui transfère des actifs d'une blockchain à une autre. Aux prix en vigueur lors de la publication d'Elliptic, cela représentait environ 430 000 dollars.

Lu portefeuille collecteur par portefeuille collecteur, l'historique ressemble à une série de sorties propres : tokens vendus, NEAR reçus. Lu à l'échelle du réseau, le même NEAR a fait un tour et est revenu, moins environ 540 dollars de frais de création de tokens et de coûts de réseau. Le seul argent arrivé de l'extérieur du réseau a été le modeste achat de FUK du premier jour.

Le chiffre de profit d'un portefeuille compare ce qu'il a reçu à ce qu'il a payé. Il ne peut pas montrer que les acheteurs de l'autre côté étaient financés par le même portefeuille volé. Et si un vendeur a reçu ses tokens par transfert plutôt qu'en les achetant dans le pool, il peut n'y avoir aucun prix d'achat à soustraire du tout.

Pourquoi les blanchisseurs utilisent une astuce que les enquêteurs peuvent suivre

Chaque étape repose sur une blockchain publique, et Elliptic l'a suivie. Selon la société, l'objectif est le délai plutôt que la dissimulation. Chaque saut supplémentaire prend du temps aux enquêteurs, et le blanchiment est une course pour déplacer les fonds avant qu'ils ne soient signalés. À environ 90 dollars par token, les blanchisseurs peuvent se permettre d'en créer beaucoup et d'en jeter chacun.

Le mode opératoire n'est pas nouveau. Elliptic avait observé pour la première fois des tokens faits maison dans le blanchiment du vol de Bybit en 2025, lorsque au moins 24 millions de dollars avaient transité par un token TRON sans valeur. Dans l'affaire Binance, elle a identifié un token TRON similaire le 2 novembre. Un jour plus tard, elle a vu du SOL volé acheminé via des tokens existants peu échangés sur Solana avant d'être vendu contre de l'USDC et transféré hors chaîne. TRM Labs a décrit le même schéma TRON dans son propre suivi.

Les sommes en NEAR sont modestes au regard de ce qui subsiste. Environ 11,8 millions de NEAR, d'une valeur d'environ 43,7 millions de dollars, n'avaient pas bougé au moment du rapport d'Elliptic, et la société estime que la technique est assez bon marché pour transporter des montants bien plus importants. Pour quiconque suit l'affaire, les marqueurs concrets à venir sont les mises à jour de la liste noire publique d'Elliptic à mesure que de nouvelles adresses de blanchiment sont confirmées, et tout premier mouvement de ce solde intact. Elliptic souligne également que l'outil de lancement, la plateforme et l'application de portefeuille n'ont rien fait d'illicite ; les blanchisseurs les ont utilisés comme tout autre utilisateur aurait pu le faire.

Cinq vérifications avant de se fier à une série de gains d'un portefeuille

Les suiveurs de portefeuilles et les flux de copy-trading mettent régulièrement en avant des comptes affichant de gros gains réalisés. Les signaux d'alerte d'Elliptic destinés aux équipes de conformité s'appliquent directement, et un explorateur de blocs suffit pour les appliquer :

1. Âge du token. Vérifiez quand le contrat du token a été créé. De grosses ventes dans les jours suivant le lancement méritent un examen plus attentif.
2. Nombre de traders. Ouvrez l'historique des transactions du pool. Une poignée de portefeuilles réalisant presque tout le volume signifie peu de contreparties réelles.
3. Portefeuilles à sens unique. Recherchez des portefeuilles qui n'achètent qu'à côté de portefeuilles qui ne font que vendre. Cette séparation est l'un des signaux d'alerte d'Elliptic.
4. Financement récent. Tracez le premier dépôt vers les principaux acheteurs. De nouveaux portefeuilles financés juste avant le début des transactions, souvent en montants ronds, constituent un signal d'alerte.
5. Liquidité retirée. Voyez si le créateur a retiré ce qui restait dans le pool peu après l'arrêt des transactions.

Un seul signal décrit une grande partie du marché des memecoins. Plusieurs signaux sur le même portefeuille signifient que son chiffre de profit exige l'examen du côté acheteurs du registre avant que quiconque ne copie ses transactions.

Pour les plateformes, le conseil d'Elliptic est que les fonds provenant d'un pool de liquidité ne devraient pas être considérés comme propres par défaut. Sa liste noire publique de portefeuilles liés au piratage de Binance s'allonge à mesure que de nouvelles adresses sont identifiées, si bien qu'un dépôt ayant passé le filtrage à son arrivée peut être signalé plus tard. Elliptic demande aux entreprises de revérifier les dépôts qu'elles ont déjà acceptés à chaque mise à jour de la liste.