Course contre la montre sur Tron. Trois jours après le casse à 6,3 milliards de dollars, les pirates nord-coréens ont déjà fait transiter 242 millions de dollars du butin Binance par le réseau de Justin Sun. Ils ont aussi commencé à convertir leurs SOL en bitcoins. Le FBI a répondu samedi avec une liste de 628 adresses et une consigne adressée nommément aux opérateurs de nœuds THORChain. Le récit du vol et l’attribution à TraderTraitor sont dans notre bilan des 9,6 milliards dérobés par la Corée du Nord. Ici, on suit l’argent.
Blanchiment du butin Binance : 242 millions passés par Tron en 48 heures
Imaginez un braqueur qui sort de la banque avec des sacs de billets marqués. Il doit les échanger vite, avant que les numéros de série ne circulent. C’est exactement la situation des hackers sur Tron. Environ 628 millions de dollars y avaient atterri le 29 octobre, et Tether a gelé 378,7 millions d’USDT dans la foulée. Il restait donc 249 millions à écouler. Dimanche, l’analyste on-chain SomaXBT a fait les comptes dans une enquête relayée par The Block. Résultat : 242 millions de dollars ont déjà quitté le périmètre en deux jours.
Le détail dit tout de la méthode. En effet, quelque 194 millions sont sortis de Tron par des ponts et des services d’échange instantané. Ces outils convertissent un actif d’une blockchain vers une autre sans passer par un exchange centralisé. Relay en a absorbé 48 millions, THORChain 44 millions, Chainflip 32 millions et Symbiosis 16 millions. Bitget Wallet a vu passer 41,7 millions dont la destination n’est pas encore tracée. Vingt-six millions dorment encore sur Tron. Enfin, 22 millions se sont évaporés en frais, en slippage et en variations de cours.
Par ailleurs, le front Solana s’est ouvert le même jour. Lookonchain a repéré dimanche le début de la conversion des 970 522 SOL volés, soit 95,9 millions de dollars, en bitcoins via Relay. La moitié était déjà en cours d’échange dans l’heure. Au total, Elliptic chiffre le vol à 6,43 milliards, dont 2,85 milliards gelés ou saisis, à 94 % des stablecoins. Le reste du butin Binance pèse 3,25 milliards de dollars, avec 18 327 BTC et 233 millions de XRP. Or aucun émetteur ne peut les bloquer.
Butin Binance : le FBI publie 628 adresses et vise THORChain
Samedi, le Bureau a officialisé ce que TRM Labs et Chainalysis affirmaient depuis jeudi. Son alerte attribue le vol à TraderTraitor. Elle publie aussi 628 adresses à surveiller : 608 sur Ethereum, 19 sur Bitcoin, une seule sur Solana. Aucune adresse Tron. C’est pourtant là que l’argent bouge le plus vite. Ensuite, le FBI demande aux nœuds THORChain, aux services d’échange instantané et aux protocoles DeFi de bloquer toute transaction liée à cette liste.
THORChain n’est pas cité par hasard. Le protocole d’échange inter-chaînes avait déjà servi à recycler le butin de Bybit en février 2025. Il a aussi refusé de bloquer les wallets du hack de Bitget. Il n’a pas encore dit s’il obéirait cette fois. Son cofondateur, lui, a choisi son camp : il s’oppose publiquement à tout gel. Il invoque la neutralité d’un protocole sans permission, rapporte Cointelegraph dans son récapitulatif de la semaine.
THORChain à l’arrêt sur 10 chaînes : le bug qui freine les pirates malgré lui
Pourtant, le hasard a fait une partie du travail que le FBI réclamait. Sur Ethereum, une réorganisation de blocs a remplacé un bloc récent par un bloc concurrent. Elle a provoqué un double remboursement dans les coffres de THORChain, qui a payé deux fois le même dépôt. Les nœuds ont alors suspendu le trading sur 10 des 13 réseaux connectés. Ils étaient toujours à l’arrêt dimanche d’après The Block.
Le protocole qui refuse de censurer les pirates s’est donc coupé lui-même, au moment précis où ils en avaient le plus besoin. En revanche, les 44 millions du butin Binance déjà passés par THORChain sont partis. Le reste attend la réouverture, chaîne par chaîne, que les opérateurs doivent voter.
