Des attaquants liés à la Corée du Nord utilisent des meme tokens récemment créés et des pools de liquidité d'échanges décentralisés (DEX) pour déplacer les cryptomonnaies volées lors du piratage de Binance estimé à environ 6,4 milliards de dollars, selon la société d'analyse blockchain Elliptic.

Entre le 5 et le 7 novembre, l'opération a acheminé environ 117 000 NEAR, d'une valeur d'environ 430 000 dollars, via au moins six tokens créés spécifiquement pour cette activité. Les meme tokens, qui existent généralement à des fins de trading et d'intérêt communautaire plutôt que pour une utilité sous-jacente, peuvent être émis à un coût minimal, ce qui en fait des véhicules jetables pratiques pour ce type d'acheminement. Cette technique ajoute des couches de complexité au traçage des transactions sans effacer l'historique on-chain des fonds.

Six meme tokens NEAR associés au flux de blanchiment

Dans une enquête du 9 novembre, Elliptic a identifié six meme tokens créés entre le 5 et le 7 novembre : FUK, OLCCL, MEILI, MMLI, DABI et SINU. Chaque token était associé au NEAR dans un pool de liquidité distinct — une réserve de deux tokens gérée par un contrat intelligent sur un échange décentralisé, permettant des échanges automatisés sans carnet d'ordres traditionnel — ce qui permettait aux attaquants d'échanger les NEAR volés contre des tokens récemment émis, puis de reconvertir ces tokens en NEAR via d'autres portefeuilles. Elliptic a estimé que la création de chaque token coûtait environ 25 NEAR, soit environ 90 dollars.

La société d'analyse a tracé environ 117 000 NEAR, d'une valeur d'environ 430 000 dollars, à travers les six pools de tokens. Elle a constaté que les portefeuilles liés à l'opération contrôlaient presque toute l'activité d'achat et de vente, avec peu de preuves d'une demande extérieure authentique. Les tokens ont été utilisés peu après leur création, puis abandonnés, et les créateurs de quatre d'entre eux ont retiré la liquidité restante du pool le 8 novembre. L'enquête d'Elliptic détaille les constatations on-chain.

Les pools de liquidité compliquent le traçage des cryptos volées

Cette technique consiste à placer un token récemment créé entre les portefeuilles qui reçoivent les fonds volés et ceux qui récupèrent les actifs après les échanges. Un groupe de portefeuilles échange les NEAR volés contre le nouveau token, tandis qu'un autre groupe vend ce token via le pool pour recevoir des NEAR. Ainsi, les fonds ne passent jamais directement entre les portefeuilles acheteurs et collecteurs, ce qui rend la piste des transactions plus difficile à interpréter.

Cependant, cette méthode n'efface pas le registre de la blockchain et ne rend pas les fonds introuvables. Elliptic a indiqué que les transactions restent visibles, mais que chaque échange et portefeuille supplémentaire augmente le travail des enquêteurs et des équipes de conformité. La société a également averti que les entreprises de cryptomonnaies ne devraient pas considérer automatiquement comme légitimes les fonds reçus de pools de liquidité, en particulier lorsque des tokens récemment créés et des schémas de trading inhabituels sont en cause.

L'enquête sur le vol chez Binance révèle une opération de blanchiment plus vaste

L'activité sur NEAR fait partie d'un effort bien plus important pour déplacer les actifs volés lors de l'incident du 29 octobre chez Binance. Elliptic a estimé le vol à environ 6,43 milliards de dollars et a indiqué que l'opération de blanchiment a impliqué plus de 20 000 portefeuilles sur 16 blockchains, ainsi qu'au moins 36 services et 65 000 transactions. Le FBI a attribué l'attaque au groupe TraderTraitor lié à la Corée du Nord, selon l'enquête d'Elliptic. TraderTraitor est une désignation utilisée par les autorités américaines pour les cyberacteurs liés à la Corée du Nord à l'origine de vols de cryptomonnaies ciblant le secteur.

Selon sa mise à jour du 7 novembre, Elliptic a rapporté qu'environ 2,85 milliards de dollars avaient été gelés ou saisis, tandis qu'environ 3,13 milliards de dollars restaient sur des adresses liées au vol. La société a également identifié des activités de blanchiment antérieures impliquant Tron et Solana, montrant que les attaquants ont utilisé plusieurs blockchains et méthodes de transaction. L'enquête d'Elliptic sur le piratage de Binance suit les mouvements des actifs volés.

Le précédent Bybit suscite des inquiétudes pour les équipes de conformité crypto

Elliptic a déclaré avoir précédemment observé une technique similaire lors du blanchiment des fonds volés lors du piratage de Bybit en 2025. Dans ce cas, les attaquants avaient créé un token indésirable sur Tron et utilisé un pool de liquidité en stablecoins pour déplacer au moins 24 millions de dollars. Cette récurrence suggère que la création de tokens temporaires et l'acheminement de fonds via des pools DEX sont devenus une autre méthode dans le manuel de blanchiment attribué aux acteurs liés à la Corée du Nord.

Ces constatations suscitent des inquiétudes pour les exchanges, les plateformes de finance décentralisée et les fournisseurs de conformité qui surveillent les dépôts crypto suspects. L'examen du seul portefeuille émetteur peut s'avérer insuffisant lorsque les actifs arrivent via un pool de liquidité, car les échanges précédents peuvent dissimuler les liens avec une activité illicite lors d'une vérification basique.

Elliptic a indiqué que l'opération sur NEAR impliquait environ 430 000 dollars, tandis qu'environ 11,8 millions de NEAR, d'une valeur d'environ 43,7 millions de dollars au moment de son rapport, restaient immobiles. De nouveaux mouvements de ces fonds pourraient fournir aux enquêteurs des preuves supplémentaires sur l'opération.