Le FBI a formellement attribué à TraderTraitor, une opération de piratage liée à la Corée du Nord, le piratage de 6,3 milliards de dollars dont Binance a été victime, identifiant des centaines d'adresses de cryptomonnaies liées au vol et exhortant les exchanges, les protocoles de finance décentralisée (DeFi) et les fournisseurs d'infrastructure blockchain à bloquer les transactions impliquant les fonds volés. Cette conclusion a été formulée dans une alerte publiée le 31 octobre, deux jours après que des attaquants ont compromis les hot wallets de l'exchange et déplacé des milliards de dollars sur plusieurs blockchains.

Environ 3 milliards de dollars d'actifs concernés ont depuis été gelés grâce à la coordination avec des émetteurs de stablecoins et des partenaires blockchain. Binance, de son côté, a restauré environ 95 % des actifs impactés en utilisant ses réserves corporatives et ses fonds d'urgence, alors qu'elle se prépare à reprendre les retraits clients le 1er novembre.

Les agences fédérales tracent le blanchiment des fonds volés

Dans son annonce, le FBI a attribué le vol du 29 octobre à TraderTraitor, une opération précédemment liée à de grands cambriolages de cryptomonnaies. Ce groupe avait été désigné pour la première fois dans des avis du gouvernement américain en 2022, lorsque les agences fédérales l'avaient relié au vol d'environ 620 millions de dollars sur le pont Ronin, à l'époque la plus grande exploitation de l'industrie. En collaboration avec le Secret Service américain et la division pénale de l'IRS, les enquêteurs fédéraux ont déterminé que les actifs volés sont principalement convertis en Ethereum, un blanchiment supplémentaire étant attendu via des exchanges décentralisés, des services d'échange instantané et d'autres infrastructures DeFi. Dans des affaires précédentes liées à TraderTraitor, les chaînes de blanchiment passaient par des services de mixage, un schéma qui a conduit le Trésor américain à sanctionner des mixeurs dont Blender.io et Tornado Cash en 2022.

Les agences ont demandé aux plateformes de trading, aux opérateurs de THORNode, aux fournisseurs RPC et aux entreprises d'analyse blockchain de bloquer les transactions impliquant les adresses identifiées comme contrôlées par les attaquants. Le FBI a également publié une longue liste d'adresses de cryptomonnaies associées à l'opération, comprenant des centaines d'adresses sur Ethereum et d'autres sur Bitcoin et Solana. La publication de listes d'adresses de cette manière fournit aux exchanges et aux entreprises d'analyse une référence commune de filtrage, transformant les points d'entrée centralisés et les fonctions de gel des émetteurs en points d'interdiction pratiques.

Cette attribution renforce les conclusions antérieures des entreprises d'intelligence blockchain TRM Labs et Chainalysis, qui avaient identifié des schémas de transaction cohérents avec des opérations nord-coréennes. Des responsables américains et des observateurs des sanctions de l'ONU ont précédemment estimé que le vol de cryptomonnaies constitue une source de revenus importante pour les programmes d'armement de la Corée du Nord. TraderTraitor a également été impliqué dans l'attaque de février 2025 contre Bybit, qui avait entraîné des pertes d'environ 1,5 milliard de dollars. La violation de Binance est plus de quatre fois supérieure, ce qui en fait, selon les estimations actuelles, le plus grand vol de cryptomonnaies jamais enregistré.

Le président Donald Trump a réagi avec prudence lorsqu'il a été interrogé sur le lien avec la Corée du Nord le 31 octobre, indiquant que son administration évaluait encore la situation. « Nous ne savons pas si c'est la Corée du Nord, mais si c'est le cas, nous en parlerons avec la Corée du Nord », a déclaré Trump lors de remarques faites à Mar-a-Lago.

Binance restaure 95 % des actifs avant la reprise des retraits

Binance s'est employée à reconstituer rapidement les réserves concernées, portant la couverture de remplacement de 80 % le 30 octobre à 90 % le lendemain, puis à environ 95 % au 1er novembre. L'exchange a confirmé que dix actifs majeurs sont désormais entièrement adossés : BTC, ETH, USDT, USDC, BNB, SOL, XRP, USD1, RLUSD et ZEC. Les 5 % restants se composent principalement de tokens moins liquides, que Binance continue d'acquérir par des achats sur le marché et des transactions de gré à gré.

Le réapprovisionnement s'appuie sur le Secure Asset Fund for Users (SAFU) de Binance, son fonds d'assurance des contrats à terme et sa trésorerie corporative. SAFU a été créé en 2018 comme réserve d'urgence pour protéger les fonds des clients en cas de déficit de l'exchange. Le remplacement des réserves est toutefois distinct du recouvrement des cryptomonnaies volées : les quelque 3 milliards de dollars gelés on-chain n'ont pas nécessairement été restitués à l'exchange.

Les retraits doivent reprendre progressivement entre 06h00 et 09h00 UTC le 1er novembre, en commençant par les principaux réseaux dont Bitcoin, Ethereum, BNB Chain, Solana, Tron et XRP Ledger, selon une annonce de l'entreprise. Les dépôts sont restés opérationnels tout au long du processus de rétablissement.

L'enquête initiale de Binance a identifié l'ordinateur portable potentiellement compromis d'un employé DevOps et un accès non autorisé à l'infrastructure interne de retrait, bien que des constatations ultérieures aient révélé d'autres points de compromission. L'exchange a indiqué n'avoir trouvé aucune preuve que les clés privées des wallets aient fuité. Une explication technique complète reste attendue.

Alors que l'attribution du FBI est désormais formalisée, l'attention se porte sur le traçage et la perturbation des mouvements des fonds volés. Les évolutions à surveiller incluent la reprise des retraits comme prévu le 1er novembre, le recouvrement éventuel d'une partie des quelque 3 milliards de dollars d'actifs gelés par des voies judiciaires, et le bilan technique que Binance n'a pas encore publié. L'ampleur de l'attaque, malgré l'engagement de Binance à absorber les pertes des clients, souligne la menace persistante que font peser les opérations de piratage parrainées par des États sur l'infrastructure des cryptomonnaies.