Le Federal Bureau of Investigation a confirmé que la Corée du Nord était derrière le vol de plus de 6 milliards de dollars auprès de Binance. Dans son annonce du 31 octobre, le bureau a attribué l'attaque à une activité qu'il suit sous le nom de TraderTraitor, closant la question de la responsabilité nord-coréenne qui planait sur l'affaire.

Pourquoi la demande s'adresse à l'infrastructure

Le FBI, le Secret Service et l'IRS Criminal Investigation ont demandé aux opérateurs de THORNode, aux opérateurs RPC, aux exchanges instantanés, aux services DeFi, aux sociétés d'analyse et à d'autres fournisseurs d'actifs virtuels de bloquer les transactions liées aux adresses qu'ils ont publiées. Selon ces agences, les actifs volés sont principalement convertis en ETH, et un blanchiment supplémentaire devrait passer par des services DeFi et d'échange instantané.

Cette conversion explique pourquoi la demande touche autant de types de services. Les émetteurs de stablecoins peuvent geler leurs propres jetons, et une partie du butin a été gelée de cette manière en quelques heures. L'ETH n'a aucun émetteur à contacter. Une fois que l'attaquant a déplacé la valeur en ETH, son blocage dépend des services que les fonds traversent ensuite.

La liste d'adresses est le point de départ. Le FBI décrit les portefeuilles listés comme détenant ou ayant précédemment détenu des actifs volés, et comme exploités par des acteurs de TraderTraitor ou étroitement liés à eux. Certains sont peut-être déjà vides. Chaque fournisseur doit encore déterminer ce qu'il peut faire, le cas échéant, dans son propre rôle.

Les cinq significations possibles du « blocage »

L'intervention va de la forme d'action la plus faible à la plus forte, et seul le dernier échelon restitue l'argent :

1. Le traçage. Les sociétés d'analysis cartographient les mouvements des fonds et alertent les autres — de l'information, pas du contrôle.
2. Le refus de connexion. Un fournisseur RPC ou une interface d'application rejette les requêtes d'adresses signalées sur son propre service.
3. L'arrêt d'un protocole. Un réseau tel que THORChain peut suspendre le trading ou une chaîne entière, arrêtant les transactions de tout le monde, et pas seulement celles de l'attaquant.
4. Le gel en garde. Un exchange ou un dépositaire détenant les actifs en refuse l'accès.
5. La restitution des fonds. Les actifs identifiés sont réellement transférés en retour.

Chaque échelon nécessite des preuves différentes. Un refus de connexion montre qu'un service a dit non. Un arrêt montre une activité suspendue, pour un temps. Un gel en garde montre des actifs détenus, dans l'attente d'une procédure légale. Seule une restitution montre une récupération. Les fournisseurs nommés dans la demande se situent à différents échelons : les sociétés d'analyse tracent, les opérateurs RPC et les interfaces d'applications refusent, les opérateurs de protocoles peuvent arrêter, et les dépositaires gèlent.

Le refus de connexion

Les applications accèdent à Ethereum via des nœuds, souvent exploités par des fournisseurs RPC, pour lire des données ou envoyer des transactions, comme l'explique la documentation JSON-RPC d'Ethereum. Un fournisseur peut refuser les requêtes qui passent par son service, mais les règles du réseau ne changent pas. La diffusion, l'inclusion dans les blocs et la finalité sont des étapes distinctes, et une transaction rejetée par un fournisseur peut toujours être envoyée via un autre. Il en va de même pour un site web qui restreint son interface alors que le protocole sous-jacent continue de fonctionner.

L'arrêt d'un protocole : la position de THORChain

Le FBI a nommé directement les opérateurs de THORNode — les opérateurs qui font tourner le réseau THORChain — ce qui place la conception de THORChain sous examen. Dans un article du 1er octobre, publié avant le vol chez Binance, le projet indiquait que son protocole peut suspendre une chaîne ou tout le réseau pour des raisons de sécurité mais n'a aucun contrôle permettant de supprimer un échange unique. Son rapport trimestriel du 23 octobre a réitéré cette position.

La documentation développeur du projet décrit plusieurs types de suspension, de l'arrêt du trading à l'arrêt de la signature sortante jusqu'à l'arrêt d'une chaîne. Chacun toucherait tous les utilisateurs de cette voie, et pas seulement l'attaquant.

Un accident a déjà montré à quoi ressemble une interruption non planifiée. Le 31 octobre, Chainalysis a indiqué qu'une réorganisation de bloc Ethereum avait poussé THORChain à émettre un remboursement en double à une personne ayant déposé 10 ETH, retardant par inadvertance le blanchiment de fonds volés à Binance. Il s'agissait d'une défaillance opérationnelle, pas d'une restriction délibérée — et des fonds retardés ne sont pas des fonds récupérés.

THORChain just inadvertently delayed the laundering of a significant amount of funds stolen from Binance. The reason? An Ethereum reorg. One happened this morning and caused THORChain to incorrectly issue a double refund to someone who had deposited 10 ETH. This triggered an “emergency pause” on THORChain, preventing all users, including DPRK's money launderers, from using cross-chain swaps. Until the service comes back online, neither the hackers nor anyone else can swap through a majority of THORChain's bridges.

— Chainalysis (@chainalysis) October 31, 2026 — posted on X

Le gel en garde

Le point de contrôle le plus fort est une entreprise qui détient réellement les actifs. L'ETH n'a aucune liste noire d'émetteur, mais un exchange ou un dépositaire détenant de l'ETH volé pour un client peut verrouiller ce compte. Là où des sanctions s'appliquent, les directives de l'OFAC exigent qu'une personne américaine détenant de la monnaie virtuelle bloquée en refuse l'accès et respecte les règles de conservation et de reporting. L'alerte du FBI est une demande, et non une désignation de sanctions ou une ordonnance judiciaire ; chaque détenteur doit donc disposer de sa propre base légale pour agir.

Ce qui compterait comme un progrès

Les mises à jour à prendre au sérieux nommeront le fournisseur, l'action entreprise, les actifs concernés et le moment où cela s'est produit. Une restriction confirmée montre que la voie de l'attaquant se réduit. Un gel en garde montre des actifs détenus. Seul un transfert documenté en retour montre l'argent qui revient — et c'est le chiffre qui mesurera finalement la part des 6 milliards de dollars que la réponse a réellement permis d'économiser.

Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier ou d'investissement.