Des pirates nord-coréens ont créé leurs propres memecoins pour blanchir des fonds volés lors du piratage de 6,3 milliards de dollars de Binance, en utilisant une activité de trading simulée pour faire apparaître des recettes illicites comme des gains commerciaux légitimes.

Selon une analyse de la société d'analyse blockchain Elliptic, les pirates ont déplacé environ 117 000 tokens $NEAR — d'une valeur d'environ 430 000 dollars — via six memecoins créés entre le 5 et le 7 novembre.

L'un de ces tokens présentait une image d'Elon Musk sous une bannière « Elon 2028 President », bien qu'Elliptic ait déclaré qu'aucun élément ne suggère que Musk soit lié à ces tokens. Leurs noms suivaient les conventions habituelles des memecoins, comprenant une blague grossière et le suffixe « inu » couramment utilisé dans les memecoins à thème canin — des détails qui ont aidé ces tokens à passer pour des lancements de memecoins ordinaires.

Le schéma fonctionnait en associant chaque memecoin à du $NEAR dans son propre pool de liquidité sur un échange décentralisé. Les pirates ont ensuite utilisé un ensemble de portefeuilles pour acheter les memecoins avec du $NEAR volé, et un autre ensemble pour revendre ces mêmes memecoins contre du $NEAR. Ainsi, les fonds n'ont jamais transité directement d'un portefeuille à un autre, faisant apparaître l'argent comme le produit d'un trading profitable plutôt que du piratage. Cette distinction importe pour les enquêteurs, dont les techniques de traçage suivent généralement les transferts directs entre adresses — un chemin que cette méthode évite délibérément.

« Les blanchisseurs ont créé six de ces tokens crypto et ne les ont échangés qu'entre eux. Cela donne l'apparence que les fonds volés sont des gains de trading », a déclaré Tom Robinson, cofondateur et scientifique en chef d'Elliptic, à CoinDesk.

Elliptic a constaté que presque tous les échanges provenaient de portefeuilles liés à l'opération de blanchiment, les acheteurs extérieurs représentant moins de 1 % du volume d'un token. Les échanges sur les six tokens se sont arrêtés au 8 novembre.

Le FBI a attribué le vol de Binance du 29 octobre au groupe nord-coréen TraderTraitor. Les pirates ont également utilisé THORChain pour convertir les actifs volés en bitcoin, qui ne peut être gelé par un émetteur central, faisant des pools de memecoins une étape dans une chaîne de blanchiment plus longue. Les quelque 430 000 dollars acheminés via les six tokens ne représentent qu'une infime partie des 6,3 milliards de dollars dérobés.

Elliptic avait identifié une méthode de blanchiment similaire à base de memecoins après le piratage de Bybit en 2025, et a déclaré que ces nouveaux échanges compliquent les efforts pour retracer les fonds volés sans toutefois effacer leur piste. Alors que la méthode est désormais documentée dans deux vols majeurs d'échanges et que la piste demeure intacte, le schéma de blanchiment lui-même — tokens auto-créés, trading entre soi et portefeuilles regroupés — offre aux enquêteurs des marqueurs supplémentaires pour retracer la destination des fonds volés.