Le piratage de Binance, qui a provoqué des pertes estimées entre 6,3 et 6,4 milliards de dollars, ouvre une nouvelle séquence de blanchiment. Selon Elliptic, les opérateurs ont créé des memecoins jetables sur les blockchains NEAR, Tron et Solana, afin d’interposer un actif obscur entre les fonds volés et leur destination finale.
🔑 En bref
- Binance a suspendu dépôts et retraits et promet un remboursement intégral de ses clients.
- L’impact total est estimé entre 6,3 et 6,4 milliards de dollars.
- TRM Labs attribue l’attaque à la Corée du Nord, une thèse que Pyongyang conteste.
- Six memecoins créées sur NEAR entre le 5 et le 7 novembre ont servi à blanchir des NEAR volés.
- Environ 11,8 millions de NEAR (43,7 millions de dollars) n’avaient pas encore été déplacés.
Un piratage aux contours encore flous
Le porte-parole de Binance a parlé d’« incident de sécurité », tandis que Changpeng Zhao, fondateur de la plateforme, a déclaré que la situation « ressemble bien à un piratage ». Binance a suspendu tous les dépôts et retraits et indiqué que ses clients seraient intégralement remboursés. La plateforme a précisé qu’un attaquant pourrait avoir compromis l’ordinateur portable d’un ingénieur, entraînant des retraits non autorisés.
Le porte-parole a assuré que Binance « couvrira toutes les pertes » et a évoqué un impact total estimé d’environ 6,3 milliards de dollars. Tether a gelé plus de 1,5 milliard de dollars de cryptomonnaies liées à un « piratage potentiel de Binance », et Circle plus de 800 millions de dollars « associés à l’incident ». Sur le marché, le bitcoin est tombé sous 80 000 dollars, pour la première fois depuis plus d’un mois.
Un montant encore disputé, une attribution non établie
Le total varie selon les sources. Le New York Times et Bloomberg citent 6,3 milliards de dollars, tandis qu’Elliptic et Decrypt retiennent 6,4 milliards de dollars. Les sources disponibles ne permettent pas de réconcilier ces deux estimations. Le tableau suivant synthétise les chiffres clés.
| Indicateur | Montant | Source |
|---|---|---|
| Impact total estimé | 6,3 Md$ | New York Times, Bloomberg |
| Impact total estimé | 6,4 Md$ | Elliptic, Decrypt |
| Vol de Bybit (février 2025) | 1,5 Md$ | Rapports cités |
| Gel par Tether | plus de 1,5 Md$ | Tether |
| Gel par Circle | plus de 800 M$ | Circle |
| Butin non blanchi | plus de 3 Md$ | Elliptic |
TRM Labs affiche une « haute confiance » dans l’implication de « l’unité de piratage d’élite de la Corée du Nord », en s’appuyant sur des caractéristiques proches de vols précédents. Cette attribution n’est pas présentée comme totalement établie : Bloomberg référence aussi un article du 2 novembre intitulé « La Corée du Nord nie son rôle dans le vol crypto de 6,3 milliards de dollars chez Binance ».
Le précédent est lourd. En février 2025, Bybit avait perdu 1,5 milliard de dollars dans une attaque attribuée à des pirates nord-coréens, jusque-là considérée comme le plus grand vol de l’histoire de la cryptomonnaie. Binance rappelle également son passé réglementaire : en 2023, la plateforme a plaidé coupable d’une violation des lois antiblanchiment et payé 4,3 milliards de dollars de pénalités aux États-Unis. Changpeng Zhao avait été condamné à quatre mois de prison, puis a reçu un pardon du président Donald Trump après sa libération. Binance entretient par ailleurs une relation d’affaires avec World Liberty Financial, l’entreprise crypto de la famille Trump.
Le mécanisme : un pool de liquidité comme sas
Selon Elliptic, dont les recherches sont créditées à son cofondateur Tom Robinson, les blanchisseurs ont adapté une méthode déjà observée lors du vol de Bybit, en trois étapes :
- Créer un actif numérique sans valeur et l’associer à un actif réel, comme NEAR ou un stablecoin, dans un pool de liquidité d’un échange décentralisé.
- Faire entrer les fonds volés dans ce pool depuis un premier ensemble de portefeuilles afin d’acheter le jeton.
- Faire vendre ce jeton dans le même pool par un second ensemble de portefeuilles, qui retire l’actif réel.
Les fonds ne transitent donc jamais directement du portefeuille acheteur vers le portefeuille collecteur. Pour un observateur non averti, ce dernier ressemble à un négociant ayant vendu une memecoin avec profit. Les jetons étaient conçus pour être utilisés une seule fois puis abandonnés : personne en dehors de l’opération ne les achetait, et leur prix était fixé par les opérateurs eux-mêmes.
« Nos équipes travaillent sans relâche pour résoudre ce problème de manière sûre et approfondie. »
Porte-parole de Binance, déclaration publique
L’outil public de création, l’échange décentralisé et l’application de portefeuille utilisés n’ont commis aucune faute : les blanchisseurs s’en sont servis comme de n’importe quel utilisateur.
Tron et Solana, même logique
La méthode a été observée sur Tron et NEAR, avec une variante proche sur Solana. Le 2 novembre, Elliptic a identifié sur Tron un jeton sans valeur, créé uniquement pour blanchir des fonds, selon un modèle proche de celui du vol de Bybit. En 2025, une technique comparable avait déjà permis de déplacer au moins 24 millions de dollars via un jeton associé à un stablecoin sur Tron. Le 3 novembre, des SOL volés ont été échangés sur Solana contre des jetons existants peu négociés, puis vendus contre des USDC et transférés vers d’autres chaînes.
NEAR : six memecoins en trois jours
Entre le 5 et le 7 novembre, le cas le plus documenté est apparu sur NEAR. Les blanchisseurs ont créé au moins six nouvelles memecoins, chacune associée à NEAR dans son propre pool de liquidité.
| Jeton | Création (UTC) | Coût de création |
|---|---|---|
| FUK | 5 novembre, 00 h 25 | environ 25 NEAR (90 $) |
| OLCCL | 6 novembre, entre 07 h 19 et 14 h 27 | environ 25 NEAR (90 $) |
| MEILI | 6 novembre, entre 07 h 19 et 14 h 27 | environ 25 NEAR (90 $) |
| MMLI | 6 novembre, entre 07 h 19 et 14 h 27 | environ 25 NEAR (90 $) |
| DABI | 6 novembre, entre 07 h 19 et 14 h 27 | environ 25 NEAR (90 $) |
| SINU | 7 novembre, 10 h 06 | environ 25 NEAR (90 $) |
Les logos reprenaient les codes visuels habituels du genre : un singe au ruban rose, un canard devant un drapeau américain, un chimpanzé, un renard, un insigne doré enflammé et une image d’Elon Musk sous la bannière « Président Elon 2028 ». Elon Musk n’a aucun lien avec ces jetons. Le nom SINU, quant à lui, dérive des memecoins canines suffixées « INU ».
Chaque création a coûté environ 25 NEAR, soit quelque 90 dollars. Les jetons ont été utilisés dès leur lancement : la première vente est intervenue dans les trois heures suivant la création, et au moins trois quarts des échanges ont eu lieu le même jour. Dans chaque cas, la quantité de NEAR entrée dans le pool correspond à celle qui en est sortie. Aucun des six jetons n’avait été échangé depuis le 8 novembre ; ce jour-là, l’après-midi, les créateurs de quatre d’entre eux ont retiré la liquidité restante.
Les portefeuilles acheteurs étaient financés par les fonds volés. Environ 117 000 NEAR, transmis depuis le portefeuille principal via des comptes intermédiaires, sont passés dans les six pools, soit environ 430 000 dollars. Presque la même quantité est ressortie peu après vers des portefeuilles collecteurs, une grande partie étant convertie en stablecoins ou acheminée par un pont inter-chaînes. Ces montants restent modestes au regard du vol : environ 11,8 millions de NEAR, soit 43,7 millions de dollars, n’avaient pas encore été déplacés.
Plusieurs éléments confirment que les jetons n’ont été créés que pour blanchir. Toutes les ventes ont été réalisées par le réseau, qui a acheté chaque unité de cinq des six jetons ; seuls quelques petits achats extérieurs de FUK, moins de 1 % de son volume, ont été observés le premier jour. DABI, MMLI et SINU n’ont chacun qu’un portefeuille acheteur et un portefeuille vendeur. Enfin, cinq des six créateurs ont été financés par un portefeuille ayant déjà vendu un jeton antérieur, entre deux et treize minutes avant le lancement suivant : le produit d’un jeton finançait donc le suivant.
La méthode ne rend pas les fonds invisibles : chaque étape reste enregistrée publiquement sur la blockchain. Son objectif est de ralentir les enquêteurs et de gagner du temps dans une course pour déplacer les fonds avant leur signalement. Elliptic souligne que les blanchisseurs nord-coréens empilent généralement plusieurs techniques peu coûteuses plutôt que de dépendre d’une seule ; les memecoins ne constituent qu’une couche supplémentaire et jetable.
Signaux d’alerte pour la conformité
Pour les équipes de conformité, Elliptic précise qu’un portefeuille ayant reçu des fonds d’un pool de liquidité ne doit pas être considéré comme propre par défaut. Les signaux d’alerte comprennent :
- un jeton créé dans les jours précédents ;
- un pool fréquenté par un petit nombre de portefeuilles ;
- des portefeuilles qui se limitent à acheter le jeton, tandis que d’autres se limitent à le vendre ;
- des portefeuilles neufs, financés peu avant leurs premières transactions, souvent par des sommes rondes.
Les entreprises doivent examiner ce qui est entré dans un pool, et pas seulement qui a payé. Elliptic tient à jour une liste publique de blocage des portefeuilles liés au piratage de Binance ; à mesure que de nouvelles adresses sont identifiées, les dépôts déjà acceptés doivent être contrôlés à nouveau. Son service Elliptic Continuous Monitoring réexamine automatiquement portefeuilles et transactions afin d’identifier les dépôts provenant du réseau de blanchiment.
Perspectives : un test pour la surveillance on-chain
L’affaire dépasse largement Binance. Elle montre comment des acteurs malveillants exploitent des infrastructures ouvertes : chaque étape reste visible sur la chaîne, mais la lenteur des contrôles leur laisse une fenêtre d’action. Si le rôle de la Corée du Nord est confirmé, la pression sur les plateformes et les prestataires de surveillance devrait s’accentuer, et le réexamen rétroactif des dépôts pourrait devenir une pratique courante.
Trois scénarios se dessinent. Dans le premier, la traçabilité publique permet de nouveaux gels et une récupération partielle des fonds. Dans le deuxième, les blanchisseurs parviennent à déplacer l’essentiel du solde restant, notamment les 11,8 millions de NEAR, avant l’entrée en action des gels. Un scénario intermédiaire verrait une partie des fonds gelée et une autre blanchie via des chaînes moins surveillées. Les marchés restent sensibles aux annonces de gels et aux attributions, qui peuvent peser sur les cours dans les deux sens.
Sources
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
