Des blanchisseurs liés à la Corée du Nord ont dépensé environ 90 $ chacun pour créer six meme coins sur la blockchain NEAR et les ont utilisés pour déplacer des fonds volés lors du piratage de la plateforme d'échange crypto Binance le 29 octobre, selon la société d'analyse blockchain Elliptic. L'opération reposait sur des tokens autolancés et des pools de liquidité pour rompre le lien on-chain entre les dépôts volés et les portefeuilles qui les ont reçus.

Elliptic a indiqué qu'environ 117 000 NEAR, d'une valeur d'environ 430 000 $, sont passés par ces tokens entre le 5 et le 7 novembre. La société détaille l'opération de blanchiment dans un rapport publié lundi.

Ce schéma rappelle les tactiques que des groupes affiliés à la Corée du Nord ont utilisées à plusieurs reprises après de grandes failures de plateformes d'échange : faire circuler les fonds via des tokens créés par leurs soins, des échanges décentralisés et plusieurs blockchains pour masquer leur origine.

Les six tokens — FUK, OLCCL, MEILI, MMLI, DABI et SINU — ont coûté environ 25 NEAR chacun à lancer via un outil public de création de tokens sur ce réseau de couche un. Ils présentaient des illustrations cartoon de meme coins : l'un représentait un singe avec un nœud rose, un autre un canard devant un drapeau américain, et un troisième montrait Elon Musk sous une bannière « Elon 2028 President ». Elliptic a précisé que rien n'indique qu'Elon Musk ait un quelconque lien avec ces tokens.

Comment les pools ont masqué la piste

Les blanchisseurs ont associé chaque nouveau token à du NEAR dans son propre pool de liquidité — un pot de deux actifs sur un échange décentralisé contre lequel n'importe qui peut échanger. Un groupe de portefeuilles a utilisé du NEAR volé pour acheter le nouveau token auprès du pool, puis un second groupe a revendu le token et retiré du NEAR. Le pool étant placé au milieu, aucun transfert ne reliait directement les deux groupes de portefeuilles. Cette route s'appuie sur une caractéristique structurelle de la finance décentralisée : contrairement aux plateformes centralisées régulées, les échanges décentralisés n'imposent ni vérification d'identité (know-your-customer) ni exigence de compte, ce qui permet aux portefeuilles de faire circuler de la valeur via un pool sans s'identifier.

« Ils n'existent que pour placer un pool entre les fonds volés et le portefeuille suivant », a écrit Elliptic dans une publication sur X.

North Korea's launderers are creating their own meme coins to move funds stolen from Binance. Between November 5 and 7, they launched at least six tokens on NEAR, dressed up with meme-coin logos such as a monkey in a pink bow and a duck in front of a US flag. Stolen NEAR went… — Elliptic (@elliptic) November 9, 2026

Selon Elliptic, les données d'échange ont montré que ces tokens n'avaient aucun autre objectif que le blanchiment. Les portefeuilles liés à l'opération ont placé tous les ordres de vente sur les six tokens et tous les ordres d'achat sur cinq d'entre eux. La seule exception concernait un petit nombre d'achats de FUK le jour du lancement, représentant une infime part de l'activité d'échange de ce token.

Les tokens étaient également liés en chaîne. Dans cinq cas, le portefeuille ayant financé le créateur d'un nouveau token vendait le token précédent seulement 2 à 13 minutes avant le lancement suivant.

Une méthode observée pour la première fois avec Bybit

Elliptic a déclaré avoir repéré cette technique pour la première fois après le piratage de Bybit en 2025, le plus grand vol de cryptomonnaies jamais enregistré, au cours duquel des blanchisseurs avaient utilisé un token Tron sans valeur pour déplacer au moins 24 millions de dollars. Dans le cas de Binance, un token Tron similaire est apparu le 2 novembre, et un jour plus tard, du SOL volé a transité par des tokens Solana existants à faible volume d'échange.

La route NEAR représente moins de 0,01 % des quelque 6,3 milliards de dollars volés à Binance. Le FBI a attribué ce vol au groupe de pirates TraderTraitor de Corée du Nord, un ensemble que les agences américaines associent au groupe Lazarus. Les responsables américains et les experts des Nations unies ont régulièrement identifié le vol massif de cryptos comme une source de revenus pour les programmes d'armement de cet État sous sanctions.

Elliptic a indiqué qu'environ 3 000 bitcoins, d'une valeur d'environ 225 millions de dollars, ont atterri sur de nouvelles adresses bitcoin après avoir été convertis depuis d'autres actifs volés. Environ 11,8 millions de NEAR, d'une valeur de 43,7 millions de dollars, n'ont pas encore bougé.

« La technique ralentit les enquêteurs plutôt que de masquer les fonds », a écrit Tom Robinson, cofondateur d'Elliptic. Il a ajouté que les blanchisseurs nord-coréens « superposent de nombreuses techniques peu coûteuses, chacune ajoutant un peu plus de délai ».

Quelques jours avant l'apparition des tokens, Jonty, fondateur de Pangolin Intelligence, déclarait sur Unchained que ces réseaux déplacent des fonds entre portefeuilles « pour essentiellement échapper au regard des logiciels de surveillance des transactions ».

Elliptic a exhorté les équipes de conformité à ne pas considérer par défaut comme propres les fonds provenant d'un pool de liquidité. Les signaux d'alerte incluent des tokens âgés de quelques jours seulement, des pools comptant peu de traders et des portefeuilles qui n'achètent que ou ne vendent que. La société a conseillé d'appliquer un examen renforcé aux dépôts remontant à des pools présentant ces caractéristiques.

Aucun des six tokens NEAR n'a été échangé depuis le 8 novembre. Cet après-midi-là, quatre des créateurs de tokens ont retiré les fonds encore présents dans leurs pools, selon Elliptic. Il reste donc environ 43,7 millions de dollars en NEAR dormants et les bitcoins nouvellement consolidés comme marqueurs les plus clairs pour les analystes suivant les prochains mouvements — et, selon le schéma multichaîne documenté par Elliptic, une nouvelle salve de tokens autolancés ailleurs signifierait que la campagne est entrée dans une nouvelle phase.