Des blanchisseurs nord-coréens frappent leurs propres meme coins sans valeur et y acheminent des fonds volés à Binance, garantissant que les actifs ne transitent jamais directement d'un portefeuille à un autre, a rapporté lundi la société d'analyse blockchain Elliptic.

Entre le 5 et le 7 novembre, les opérateurs ont créé au moins six nouveaux tokens sur la blockchain NEAR — FUK, OLCCL, MEILI, MMLI, DABI et SINU — associé chacun à du NEAR dans un pool de liquidité dédié, acheté les tokens avec du NEAR volé depuis un premier ensemble de portefeuilles, puis revendus via un second ensemble. Environ 117 000 NEAR, soit environ 430 000 dollars, sont passés par les six tokens, a écrit Elliptic.

Ce stratagème n'est qu'un fil among le blanchiment bien plus vaste du vol chez Binance du 29 octobre, que la plateforme évalue à 6,34 milliards de dollars et que le FBI a attribué au groupe nord-coréen TraderTraitor. Rapporté à ce total, le montant d'environ 430 000 dollars transités par les six tokens n'est qu'une fraction — mais il illustre la marque de fabrique de l'opération : de la valeur poussée en avant par de nombreux petits sauts jetables plutôt que par de gros transferts uniques. La mise à jour plus large d'Elliptic recense désormais environ 3 000 BTC — environ 225 millions de dollars — convertis depuis d'autres actifs volés vers de nouvelles adresses bitcoin, tandis qu'environ 11,8 millions de NEAR, soit 43,7 millions de dollars, provenant du vol n'ont toujours pas bougé.

« La plupart des gens considèrent les meme tokens comme des pièces farce dont les prix montent et descendent au gré du battage », a écrit le Dr Tom Robinson, cofondateur et scientifique en chef d'Elliptic. « Les blanchisseurs nord-coréens leur ont trouvé un autre usage. »

Comment fonctionne l'astuce des tokens maison

La technique consiste en un saut en quatre étapes. Les blanchisseurs créent un token avec un outil de lancement public, ouvrent un pool de liquidité l'associant à un actif réel tel que du NEAR ou un stablecoin, achètent le token avec des fonds volés détenus dans un premier ensemble de portefeuilles, puis le revendent dans le même pool depuis un second ensemble de portefeuilles qui récupèrent l'actif réel.

À aucun moment les fonds volés ne transitent directement d'un portefeuille acheteur vers un portefeuille collecteur, car le pool s'intercale entre eux. Pour un observateur non averti, les portefeuilles collecteurs ressemblent à des traders ordinaires ayant vendu un token avec profit. En pratique, chaque token fonctionne comme un tunnel à sens unique : créé pour une seule passe de blanchiment puis abandonné, plutôt que maintenu comme un marché fonctionnel.

Chacun des six tokens NEAR a coûté environ 25 NEAR — environ 90 dollars — à créer. Tous ont été massivement tradés en quelques heures avec du NEAR volé, puis abandonnés. Aucun n'a été tradé depuis le 8 novembre, et cet après-midi-là, les créateurs de quatre d'entre eux ont retiré la liquidité restante. Les tokens forment également une chaîne : cinq des six créateurs ont été financés par un portefeuille venant de vendre un token précédent, entre deux et 13 minutes avant le lancement suivant.

Elliptic avait signalé pour la première fois la même méthode dans le blanchiment du vol chez Bybit de février 2025, également attribué à TraderTraitor, où un token Tron sans valeur avait permis de déplacer au moins 24 millions de dollars. Dans le cas de Binance, la société a également observé la technique sur Tron, ainsi qu'une variante proche sur Solana utilisant des tokens existants faiblement tradés plutôt que des tokens maison.

Une tactique de ralentissement, pas une disparition

Les meme coins ne cachent pas les fonds — chaque étape est publique sur la blockchain. Ce qu'ils achètent, c'est du temps. Chaque saut supplémentaire ralentit les enquêteurs pendant que les blanchisseurs s'empressent de déplacer l'argent avant qu'il ne soit signalé, et à environ 90 dollars pièce, les tokens sont assez bon marché pour être jetés.

Cette tactique s'inscrit dans le schéma plus large suivi par Elliptic depuis le vol : plus de 20 000 portefeuilles sur 16 blockchains, au moins 36 services et au moins 65 000 transactions. Binance a indiqué que l'attaque avait commencé par un faux entretien d'embauche et duré cinq mois avant que la moindre pièce ne bouge, et les sociétés blockchain ont relié la brèche à TraderTraitor en l'espace d'un jour.

La conversion en bitcoin est l'aspect le plus important en dollars. La totalité du SOL volé a déjà été échangée, transférée via des ponts ou mélangée, et une grande partie de la filière XRP a également alimenté le bitcoin. Environ 2,85 milliards de dollars du butin initial ont été gelés, tandis qu'une quantité négligeable a probablement été encaissée à ce jour, selon Elliptic.

La machine de vol de cryptomonnaies de la Corée du Nord n'est pas nouvelle. Elliptic estimait le butin 2025 du régime à plus de 2 milliards de dollars, porté par l'exploit de 1,46 milliard de dollars chez Bybit, et son total cumulé connu au-dessus de 6 milliards de dollars même avant l'incident Binance.

Binance a rouvert les retraits par étapes et a déclaré avoir couvert les pertes des clients sur ses propres fonds. Pour les enquêteurs, l'enjeu est désormais de savoir si les pools de liquidité maison continueront de se multiplier plus vite que les listes de blocage qui les rattrapent — et comment le NEAR qui n'a pas encore bougé finira par être traité.

Cet article a été publié à l'origine sur Bitcoin Magazine et est écrit par Micah Zimmerman.