La plateforme de traçage crypto MistTrack a indiqué que les $TRX volés sur Binance avaient transité par le pont d'échange du Bitget Wallet vers une adresse Ethereum liée au vol chez Phemex, identifiant un chevauchement entre les deux pistes de transactions.

Les enregistrements de TronScan, l'explorateur de blocs public du réseau Tron, corroborent trois sauts successifs de portefeuille à portefeuille dans la route publiée par MistTrack. Selon les calculs de The Defiant, le dernier portefeuille Tron a envoyé environ 317 093 $TRX, le token natif de Tron, vers un routeur d'échange en 10 appels réussis. Les enregistrements Ethereum montrent que la destination a reçu des $ETH de contrats étiquetés Bitget DEX Aggregator et Bitget Swap 2. Les services d'échange de ce type convertissent un actif en un autre via des contrats intelligents, ce qui explique comment les $TRX entrant sur Tron sont apparus sous forme de réceptions en $ETH sur Ethereum.

Cette découverte relie les mouvements de fonds de Binance à un historique de transactions que MistTrack associe à Phemex, une plateforme d'échange de cryptomonnaies, offrant ainsi une nouvelle piste aux enquêteurs. Elle n'établit pas, en elle-même, que la même personne ou le même groupe est à l'origine des deux vols, ni ne détermine si le destinataire commun est un portefeuille contrôlé par l'attaquant ou un intermédiaire. Les chevauchements d'adresses figurent parmi les signaux que les sociétés de traçage signalent lorsqu'elles cartographient les flux de fonds volés, et ces chevauchements peuvent refléter aussi bien des opérateurs communs qu'une réutilisation d'infrastructures intermédiaires.

« Nous avons constaté que l'adresse de destination avait auparavant été utilisée par le hacker de Phemex », a écrit MistTrack dans une publication sur X. Le traqueur a publié les deux séquences d'adresses et relié une commande Bitget Bridge.

La route Tron a commencé par un transfert d'environ 46,38 millions de $TRX depuis le portefeuille identifié par MistTrack comme adresse de départ du hacker de Binance. Des lots plus réduits ont ensuite transité par les portefeuilles suivants, et le chiffre de 317 093 $TRX mesure les entrées de tokens natifs vers le routeur d'échange du dernier portefeuille, et non le montant total volé sur Binance. Le registre de Tron étant public, chaque saut publié peut être vérifié indépendamment auprès des enregistrements de l'explorateur.

Sur Ethereum, la destination commune a reçu 13,61 $ETH, l'actif natif d'Ethereum, de l'avant-dernier portefeuille de la séquence côté Phemex de MistTrack avant de recevoir les paiements étiquetés Bitget. Le parcours Phemex publié s'étend sur plusieurs transferts et dates, dont un transfert de 0,004 $ETH entre ses portefeuilles en amont en décembre 2025. Ces transferts établissent des connexions entre des adresses, pas l'identité de leurs opérateurs.

Le traçage fait suite à un incident de sécurité plus large chez Binance, estimé par la plateforme à environ 6,3 milliards de dollars. Binance a indiqué qu'environ 3 milliards de dollars d'actifs concernés avaient été gelés on-chain et qu'elle couvrirait l'ensemble des pertes grâce à son fonds d'urgence SAFU (Secure Asset Fund for Users) et à ses fonds propres.

Le destinataire Ethereum commun avait déjà renvoyé des fonds : son historique de transactions enregistre un transfert sortant de 23,51 $ETH après la dernière réception étiquetée Bitget figurant dans les enregistrements. Les branches Tron et Ethereum du traçage s'appuyant toutes deux sur des données de registre publiques, les mouvements futurs via les séquences d'adresses publiées pourront être suivis dans les mêmes enregistrements tandis que les enquêteurs poursuivent leurs travaux.