Des hackers nord-coréens déplacent les quelque 6,4 milliards de dollars volés à Binance à un rythme effréné, créant un nouveau portefeuille de cryptomonnaies environ toutes les 25 secondes, selon la société d'analyse blockchain Elliptic, qui a publié lundi son analyse de la campagne de blanchiment.

En moins de quatre jours, l'attaquant a dispersé les fonds sur environ 12 000 portefeuilles répartis sur 11 blockchains, exécutant plus de 40 000 transactions. Elliptic a décrit l'opération comme hautement automatisée, mais a déclaré n'avoir trouvé aucune preuve de l'intervention d'une intelligence artificielle.

Les émetteurs de stablecoins, however, ont toutefois agi plus vite que les voleurs n'ont pu disperser l'argent. Environ 2,85 milliards de dollars, soit 44 % du butin, ont été gelés ou saisis — un contraste marqué avec les quelque 3 % gelés après le piratage de 1,5 milliard de dollars de Bybit par la Corée du Nord en février 2025, qui constituait alors le plus grand vol de cryptomonnaies jamais enregistré. La violation de Binance est plus de quatre fois supérieure.

La vitesse s'est avérée cruciale car les stablecoins représentaient 3,46 milliards de dollars, soit 54 %, des fonds volés, et leurs émetteurs conservent la capacité de les geler. Tether a bloqué les USDT volés sur Ethereum 37 minutes après leur arrivée dans le portefeuille de l'attaquant, tandis que Circle a gelé la totalité des 823 millions de dollars en USDC volés avant qu'ils ne puissent être échangés, a constaté Elliptic.

Avant que ces gelures n'entrent en vigueur, le hacker a converti 434 millions d'USDT en ETH sur des exchanges décentralisés tels qu'Uniswap, emprunté 19 762 ETH sur le protocole de prêt Aave contre 59,9 millions d'USDT supplémentaires, et échangé 234 millions d'USDT contre le token TRX de Tron. Au total, environ 786 millions de dollars en stablecoins ont échappé à l'intervention des émetteurs.

La violation elle-même a commencé jeudi soir, lorsque les attaquants ont commencé à vider les hot wallets de Binance — des portefeuilles connectés à internet que les exchanges utilisent pour traiter les retraits des clients, ce qui en fait la couche la plus exposée de l'infrastructure de conservation d'un exchange. Le FBI a depuis attribué le vol à TraderTraitor, un groupe de hackers lié à l'État nord-coréen que les autorités américaines ont précédemment associé à d'autres vols majeurs de cryptomonnaies, et a publié des centaines d'adresses liées. Binance, qui s'est engagée à couvrir toutes les pertes des clients, a rouvert les retraits dimanche et enregistré environ 3,64 milliards de dollars de sorties nettes au cours des premières neuf heures et demie.

Le blanchiment qui a suivi a été incessant. Tron est devenu le conduit principal, avec une activité de transaction culminant à environ 1 300 transferts en une seule heure. Ce rythme a alimenté la spéculation selon laquelle des agents d'IA orchestraient les mouvements, mais Elliptic a rejeté cette interprétation, citant des horaires fixes, des montants prédéfinis, des tentatives aveugles et des pauses correspondant aux heures de travail humaines. Bien que le blanchiment soit clairement automatisé, la société a écrit : « rien de ce que nous avons vu ne montre un agent d'IA prenant des décisions ».

Des sommes importantes restent intactes. Environ 3,24 milliards de dollars se trouvent sur des adresses liées au vol, principalement en ETH et dans les 18 270 Bitcoin volés, qui n'ont pas bougé depuis le jour de l'attaque. Elliptic estime que ces fonds sont très probablement encore détenus par la Corée du Nord — les enquêteurs des Nations unies ont précédemment rapporté que les vols de cryptomonnaies nord-coréens contribuent à financer les programmes d'armement du pays — tandis que l'argent déjà en mouvement dans le pipeline de blanchiment pourrait être passé à des réseaux chinois de blanchiment d'argent. Seule une quantité négligeable semble avoir été convertie en espèces. Environ 16 millions de dollars ont également transité vers des adresses détenant les produits de l'exploitation de Bitget en septembre.

S'inspirant de la stratégie observée après le piratage de Bybit, Elliptic s'attend à ce que l'attaquant échange ses ETH contre des Bitcoin par petits lots et les convertisse en espèces via des courtiers de gré à gré sur une période de plusieurs mois. De nouveaux gelages seront plus difficiles à obtenir, a déclaré la société, car les ETH et les Bitcoin ne peuvent pas être gelés. Les meilleures chances restantes résident dans les services centralisés, où les finiront par refaire surface — et où les centaines d'adresses publiées par le FBI donnent aux équipes de conformité un outil de filtrage concret.

Le vol de Binance clôt une période particulièrement éprouvante pour la sécurité du secteur des cryptomonnaies. BTCPay Server a exhorté les commerçants à éteindre leurs serveurs lundi amid des signalements d'attaques de hot wallets, et l'exchange brésilien Mercado Bitcoin a suspendu les retraits après un piratage de 40 millions de dollars. On ignore si l'un ou l'autre incident est lié à l'attaque contre Binance.