La Corée du Nord a nié tout lien avec le piratage de Binance tandis que les sociétés d'analyse blockchain traquent des milliards de dollars de fonds volés se déplaçant à travers des milliers de portefeuilles et plusieurs réseaux. Pyongyang a qualifié l'attribution américaine de « provocation politique grave », pendant qu'Elliptic et Chainalysis décrivaient une opération de blanchiment complexe qui continue de passer d'une blockchain à l'autre. Les chercheurs traquent les fonds volés de Binance, et leurs conclusions portent sur l'ampleur et la séquence de ces mouvements.

Un blanchiment s'étendant sur 11 blockchains et 12 000 portefeuilles

Elliptic a indiqué que les pirates ont utilisé environ 12 000 portefeuilles sur 11 blockchains dans les quatre premiers jours suivant l'attaque. La société a comptabilisé plus de 40 000 transactions, avec en moyenne un nouveau portefeuille utilisé toutes les 25 secondes, et a décrit une activité hautement complexe et automatisée.

Une grande partie du blanchiment initial s'est déroulée sur Tron, selon Elliptic. Ce réseau est largement utilisé pour les transferts de stablecoins. Les fonds ont été répartis sur environ 7 700 adresses avant de rejoindre Ethereum via des ponts inter-chaînes — des services qui transfèrent des actifs entre des réseaux autrement distincts — et au moins 147 millions de dollars avaient quitté Tron par cette voie, a précisé la société.

Les pirates ont également échangé des stablecoins volés via des échanges décentralisés — des plateformes permettant de négocier des tokens sans intermédiaire central — contre des cryptoactifs que les émetteurs ne peuvent pas geler, notamment l'ether. Tether et Circle, les émetteurs des stablecoins USDT et USDC, peuvent geler les tokens au niveau de l'émetteur, un contrôle que l'ether ne possède pas. Elliptic a indiqué qu'environ 786 millions de dollars de stablecoins avaient été convertis avant que Tether et Circle ne gèlent les actifs restants. Les mouvements se sont ensuite étendus à d'autres réseaux, dont Solana.

Chainalysis a rapporté que des acteurs liés à la Corée du Nord avaient entamé une nouvelle phase de blanchiment après avoir déplacé plus de 500 millions de dollars via des portefeuilles intermédiaires sur Tron. Parallèlement, Elliptic a identifié les premiers signes de mixing de bitcoin, une technique conçue pour rendre les transactions plus difficiles à retracer.

Fonds gelés, conversions et un rythme plus lent que pour Bybit

Début lundi, environ 28 bitcoins, d'une valeur de 2,2 millions de dollars, étaient passés par 18 transactions de mixing, a indiqué Elliptic. La société a rapporté qu'environ 2,85 milliards de dollars — 44 % des 6,43 milliards de dollars qu'elle estime volés — avaient été gelés ou saisis, tandis qu'environ 3,24 milliards de dollars demeuraient sur des adresses liées au vol, principalement en bitcoins et en ether.

Seule une somme négligeable semble avoir été encaissée. La plupart des activités consistaient en des transferts ou des conversions entre cryptoactifs plutôt qu'en échanges contre des fonds utilisables.

Elliptic a souligné que ce blanchiment s'est déroulé plus lentement qu'après le piratage de Bybit de 1,5 milliard de dollars en février 2025 — le plus vol de crypto le plus important à l'époque — lorsque des hackers nord-coréens avaient déplacé tout l'ether volé en 10 jours. La société s'attend à ce que les fonds restants soient progressivement convertis en bitcoins et potentiellement encaissés via des courtiers de gré à gré — des desks qui règlent de grandes transactions en dehors des carnets d'ordres publics — et des échanges sur plusieurs mois.

Binance restaure les retraits

Binance a indiqué qu'elle rouvrirait progressivement les retraits pour d'autres cryptoactifs sur davantage de réseaux à la suite du piratage de la semaine dernière. La plateforme a également déclaré avoir couvert environ 95 % des montants concernés, les 5 % restant étant constitués de tokens moins liquides dont l'approvisionnement prend plus de temps ; Binance a précisé travailler avec des partenaires du secteur pour acquérir ces actifs.

Une précédente couverture de BlockTelegraph documentait les sorties de fonds de Binance après le piratage et les autorisations de portefeuilles signalées lors d'un autre incident. Un rapport distinct suit les fonds volés se dirigeant vers Zcash. Ces articles couvrent des informations distinctes et n'établissent pas de faits supplémentaires concernant les transferts décrits ici.

La prochaine évolution annoncée est la restauration progressive des retraits par Binance, qui travaille avec des partenaires du secteur pour se procurer les tokens moins liquides restants. Les analyses des sociétés d'analyse décrivent, entre-temps, des fonds qui continuent de circuler via des adresses liées, des conversions et des transactions de mixing.