Les blanchisseurs nord-coréens ont trouvé un usage inédit aux jetons humoristiques préférés d'internet : blanchir une partie des 6,4 milliards de dollars volés sur Binance.

Plutôt que de déplacer directement les fonds du voleur vers le destinataire, ces groupes frappent des meme coins artisanaux et échangent les actifs volés via des pools de liquidité d'exchanges décentralisés, selon un rapport de la société d'analyse blockchain Elliptic. Cette technique rompt le lien onchain direct entre le portefeuille du voleur et celui qui encaisse les produits. Elle montre aussi comment le blanchiment s'adapte à la structure même de la finance décentralisée, où frapper un jeton et alimenter un pool de trading sont accessibles à tous par conception.

Comment fonctionne le schéma

Les blanchisseurs frappent un jeton flambant neuf et l'associent à un actif réel comme NEAR ou un stablecoin dans un pool de liquidité. Ils versent les fonds volés dans le pool via un premier ensemble de portefeuilles pour acheter le jeton, puis le revendent via un ensemble distinct de portefeuilles pour retirer des actifs d'apparence propre.

Le pool étant interposé, aucun fonds volé ne passe directement du portefeuille acheteur au portefeuille collecteur, et les portefeuilles récepteurs ressemblent à de simples traders revendant un meme coin. Cette dissimulation est plus facile à réaliser sur les marchés de meme coins, où les pics de trading autour de jetons fraîchement lancés sont une scène habituelle plutôt qu'un signal d'alerte.

Elliptic, dans des recherches attribuées au cofondateur Tom Robinson, a indiqué que les blanchisseurs avaient déployé cette tactique sur Tron et Near, avec une variante proche observée sur Solana.

Six jetons jetables sur Near

L'exemple le plus clair est apparu sur Near. Entre le 5 et le 7 novembre, les blanchisseurs ont créé au moins six jetons artisanaux, chacun associé à NEAR dans son propre pool. Les pièces affichaient les attributs habituels des meme coins : des logos de dessins animés représentant un singe à nœud papillon, un canard drapé dans un drapeau, un chimpanzé et un renard. L'une présentait même une image « Elon 2028 President » d'Elon Musk, qui n'a aucun lien avec ces jetons. Les noms allaient du grossier (FUK) à une variation sur les dog coins (SINU).

Chaque jeton coûtait environ 25 NEAR — soit à peu près 90 dollars — à créer, une mesure de la faible friction que les chaînes sans permission opposent au lancement d'un jeton de marque. Les six ont suivi le même scénario : lancement, forte activité de trading dans les heures qui suivent grâce à du NEAR volé, puis abandon, la liquidité restante ayant été retirée des pools le 8 novembre.

Au total, environ 117 000 NEAR, soit approximativement 430 000 dollars, sont passés par les six jetons avant qu'une grande partie ne soit dirigée vers des stablecoins ou un pont inter-chaînes.

Traçable, mais plus lent

Les montants restent modestes pour l'instant, rappelant que l'essentiel du butin est toujours immobilisé onchain. Elliptic avait précédemment établi que plus de 3 milliards de dollars de la crypto volée restaient à blanchir, et que les blanchisseurs créaient un nouveau portefeuille environ toutes les 25 secondes pour déplacer les fonds à une vitesse industrielle.

Fait crucial, l'astuce du meme coin ne cache pas réellement l'argent. Elliptic a souligné que la piste reste entièrement traçable onchain ; la manœuvre ne fait que ralentir les enquêteurs, en gagnant du temps dans ce qui constitue essentiellement une course pour déplacer les fonds avant qu'ils ne soient signalés. Ce n'est qu'une couche bon marché et jetable parmi celles que les blanchisseurs nord-coréens empilent.

Elliptic avait observé cette tactique pour la première fois l'an dernier en traçant le vol de 1,5 milliard de dollars chez Bybit, également attribué au groupe TraderTraitor, à l'origine de la violation de Binance.

Pour les équipes de conformité, la société a averti que les fonds provenant d'un pool de liquidité ne doivent pas être présumés propres, en particulier lorsqu'ils impliquent des jetons fraîchement frappés et un petit nombre de portefeuilles de trading. Avec l'essentiel du butin record encore à déplacer, cet avertissement offre concrètement aux exchanges et aux équipes de filtrage un schéma précis à surveiller : des dépôts remontant à des jetons récemment créés et à un groupe restreint de portefeuilles de trading.