La société d'analyse blockchain Elliptic a rapporté lundi que des hackers nord-coréens ont utilisé des memecoins jetables pour acheminer des actifs volés à Binance, une technique qui, selon elle, accroît les risques de filtrage pour les entreprises recevant des fonds de pools de liquidité décentralisés.

Dans son analyse du 9 novembre, Elliptic a retracé 117 000 NEAR (le token natif de la blockchain de layer 1 NEAR), d'une valeur de 430 000 $, à travers six tokens. La création de chaque token a coûté environ 25 NEAR, soit 90 $. La société a indiqué que les transferts demeuraient traçables malgré les étapes de transaction supplémentaires.

Comment les tokens jetables ont masqué l'origine des fonds

Entre le 5 et le 7 novembre, les portefeuilles de blanchiment ont lancé six tokens sur NEAR, a constaté Elliptic. Chacun a été associé à du NEAR dans un pool de liquidité distinct d'un échange décentralisé, où les transactions se règlent contre des réserves mutualisées plutôt qu'entre contreparties nominatives. Un groupe de portefeuilles a acheté les tokens avec du NEAR volé, tandis qu'un autre a vendu ces mêmes tokens pour récupérer les fonds, ne laissant aucun transfert direct entre les deux groupes de portefeuilles.

Elliptic a indiqué que ce schéma pouvait donner aux portefeuilles récepteurs l'apparence de traders rentables. Cependant, les données du réseau ont relié les acheteurs, les vendeurs et les créateurs de tokens aux mêmes fonds volés. Cinq des créateurs de tokens ont reçu des fonds de portefeuilles ayant vendu des tokens antérieurs seulement deux à treize minutes auparavant, selon la société. Des portefeuilles externes ont représenté moins de 1 % du volume de transactions d'un token, et les cinq autres n'avaient aucun acheteur externe.

Les six tokens ont cessé d'être échangés au 8 novembre, et quatre émetteurs ont retiré la liquidité restante cet après-midi-là. Elliptic a identifié environ 11,8 millions de NEAR volés qui demeuraient immobiles au moment de l'instantané rapporté, laissant ce solde comme le marqueur le plus clair pour quiconque suit l'affaire, la société ayant constaté que la technique maintenait les transferts traçables on-chain.

Pourquoi les dépôts de pools de liquidité exigent des vérifications plus approfondies

Elliptic a averti que les fonds provenant de pools de liquidité ne devraient pas automatiquement recevoir une classification propre. Les marchés mutualisés acheminant chaque échange via des réserves communes, la source on-chain immédiate d'un dépôt est le pool lui-même plutôt que la contrepartie de la transaction. La société a identifié les tokens récemment créés, les transactions concentrées et les portefeuilles à usage unique comme signaux d'alerte potentiels.

Selon la société, cette approche n'a pas dissimulé chaque mouvement on-chain. Elle a instead créé un travail de traçage supplémentaire tandis que les actifs volés continuaient de circuler entre les réseaux.

Elliptic a documenté une tactique similaire après le piratage de Bybit en 2025, l'un des plus grands vols de cryptomonnaies jamais enregistrés, rapportant qu'au moins 24 millions de dollars sont passés par un token sans valeur sur Tron. Dans le cas de Binance, elle a observé un autre token Tron fabriqué de toutes pièces le 2 novembre, et le lendemain, les attaquants ont acheminé du SOL volé via des tokens existants faiblement échangés.

L'enquête sur le piratage de Binance se poursuit

Le FBI a attribué le vol du 29 octobre à l'opération TraderTraitor de la Corée du Nord, un groupe de pirates lié à l'État que les agences américaines ont associé à des vols antérieurs d'échanges de cryptomonnaies. Pyongyang a nié toute responsabilité.

Comme Blockonomi l'avait précédemment rapporté, les attaquants ont accédé à l'infrastructure de portefeuilles de Binance après avoir compromis les appareils d'employés. Un rapport distinct de Blockonomi couvrait l'attribution du FBI et les premiers mouvements des cryptomonnaies volées.

Binance a déclaré le 3 novembre que l'incident avait affecté environ 6,34 milliards de dollars. La société a indiqué qu'environ 2,85 milliards de dollars avaient été gelés ou interceptés et que 98 % des actifs affectés avaient été reconstitués. Ces remplacements ont été financés par Binance elle-même, et non par des fonds récupérés.