Piratage de Binance : 3,1 milliards de dollars que la Corée du Nord n’arrive pas à blanchir

Un butin qui brûle les doigts. Huit jours après le vol de 6,43 milliards de dollars chez Binance, l'exchange rouvre ses retraits réseau par réseau. Chez les voleurs, rien ne se débloque. Selon Elliptic, 3,11 milliards de dollars attendent toujours dans des adresses liées au vol.

Les points clés de cet article :

Environ 3,11 milliards de dollars du piratage de Binance attendent dans des adresses liées au vol, selon Elliptic.

Tether et Circle ont gelé les stablecoins volés en moins d'une heure, sur 2,85 milliards saisis au total.

Le circuit de blanchiment a mobilisé plus de 20 000 wallets sur 16 blockchains, sans trace d'agent d'IA.

Elliptic table sur une conversion en bitcoin, puis des sorties discrètes via des courtiers sur plusieurs mois.

Un magot que plus personne ne peut dépenser

Le piratage du 29 octobre reste le plus gros vol de l'histoire des cryptomonnaies. Le FBI a attribué le cambriolage à TraderTraitor, un collectif de hackers travaillant pour Pyongyang. Le régime nord-coréen, lui, dément toute implication et parle de « grave provocation politique ».

Sur les sommes dérobées, 2,85 milliards de dollars ont déjà été gelés ou saisis, chiffre du rapport actualisé vendredi 6 novembre. Geler, ici, se prend au sens propre : Tether et Circle, les émetteurs des stablecoins volés, peuvent verrouiller leurs jetons à distance.

Autrement dit, la manœuvre équivaut à publier les numéros de série de billets volés, que plus personne ne peut accepter sans se faire repérer. L'opération a d'ailleurs pris moins d'une heure, dans la nuit du 29 octobre.

Résultat, 44% du butin était inutilisable presque immédiatement, un record pour un vol crypto, alors que Bybit n'avait permis d'en geler que 3%. Sur ce coup, les voleurs ont dévalisé la banque sans pouvoir sortir les billets.

Une grosse partie du magot reste immobile, et les 18 270 bitcoins dérobés ont été répartis sur 19 adresses le jour du piratage, sans plus bouger depuis.

Sur Ethereum, les neuf plus grosses adresses des attaquants concentrent 89% de l'ether volé. Elles n'ont plus émis une transaction depuis le 30 octobre.

Seule une somme négligeable semble avoir été transformée en argent dépensable. Le reste, 3,11 milliards de dollars, resterait entre les mains de Pyongyang. Un trésor que les sociétés d'analyse blockchain surveillent en direct.

Car Pyongyang essaie. Le blanchiment a déjà mobilisé plus de 20 000 wallets et 65 000 transactions.

Les attaquants créaient un wallet neuf toutes les 30 secondes, un rythme d'usine.

L'essentiel du travail s'est fait sur Tron. Un wallet de distribution y a expédié 220 millions de dollars de TRX vers des centaines d'adresses neuves, pendant 51 heures d'affilée. La distribution tournait même la nuit, à l'heure de Pyongyang.

Presque tout a ensuite été bridgé vers Ethereum. Tout le SOL volé, environ 87 millions de dollars, est passé par des échanges, des ponts ou des mixeurs.

Les XRP, eux, viennent de se mettre en mouvement. Les attaquants en ont converti environ 50 millions de dollars, principalement via THORChain contre du bitcoin, et il en reste 226 millions à déplacer.

Au total, environ 124 millions de dollars du butin ont déjà pris la forme de bitcoins.

La vitesse de la manœuvre a nourri une rumeur, celle d'agents d'IA aux commandes. Elliptic coupe court dans son rapport :

« Le blanchiment est clairement automatisé, mais rien de ce que nous avons vu ne montre qu'un agent d'IA prend des décisions. »

Elliptic

La suite, la firme la connaît par cœur. Après le piratage de Bybit, la Corée du Nord avait déplacé les 499 000 ETH volés en dix jours, puis mis des mois à les encaisser.

Elliptic attend le même scénario, convertir l'ether en bitcoin puis écouler le tout auprès de courtiers over-the-counter, ces desks qui traitent de gros montants en dehors des plateformes.

L'écosystème, pendant ce temps, tente de sauver le sauvable. Polygon veut un hard fork pour rendre 70 millions de POL volés à Polymarket et Binance.