Bitcoins et XRP volés sur Binance en mouvement : 3,1 Md$ pas blanchis, Elliptic

Dans une analyse mise à jour vendredi, Elliptic a révélé qu’environ 42 millions de XRP, d’une valeur de 50 millions de dollars, avaient été transférés depuis jeudi après-midi à partir de portefeuilles liés au piratage du 29 octobre. La plupart de ces fonds ont été échangés contre des bitcoins via le protocole d’échange inter-chaînes THORChain, laissant environ 192 millions de XRP, d’une valeur de 226 millions de dollars, en possession des pirates.

Ces dernières transactions ont porté le montant des cryptomonnaies volées converties en bitcoins à environ 1 650 BTC, soit une valeur de 124 millions de dollars vendredi matin. Ce total a presque doublé par rapport à la veille, le XRP représentant une grande partie de cette augmentation.

Malgré l’accélération de l’activité, Elliptic estime que 3,11 milliards de dollars restent dans des adresses associées au vol, principalement en bitcoins et en ethers. Les 18 270 BTC initialement volés à Binance, d’une valeur d’environ 1,4 milliard de dollars à l’époque, n’ont pas bougé depuis leur répartition entre 19 portefeuilles peu après l’attaque. Les plus importantes réserves d’ether restent également intactes. Elliptic a estimé que seuls environ 3 millions de dollars sur les quelque 1,33 milliard de dollars d’ETH volés avaient été transférés via des circuits de blanchiment, tandis que les neuf plus grands portefeuilles d’ETH sont restés inactifs depuis le 30 octobre. Ces conclusions marquent une nouvelle phase dans les efforts déployés par les pirates pour dissimuler les actifs volés. Comme Bitcoin.com News l’avait précédemment rapporté, les attaquants ont transféré la totalité des 233,46 millions de XRP volés vers six nouveaux portefeuilles le 2 novembre, après que les fonds soient restés inactifs pendant environ 80 heures. Deux de ces portefeuilles ont commencé jeudi à distribuer des XRP vers des dizaines d’adresses supplémentaires, une grande partie de la cryptomonnaie ayant ensuite été échangée contre des bitcoins.

Les actifs Solana ont également été au cœur de cette opération de blanchiment. Elliptic a constaté que la quasi-totalité des SOL volés, d’une valeur d’environ 87 millions de dollars aux cours actuels, a désormais été échangée, transférée entre différentes blockchains ou mélangée via des services de confidentialité. Une grande partie de la valeur convertie a finalement abouti dans des portefeuilles Bitcoin.

Les chercheurs ont également identifié environ 2,5 millions de dollars de bitcoins traités via des transactions de type « coinjoin » à la manière de Wasabi, qui combinent les cryptomonnaies de plusieurs utilisateurs afin de compliquer le suivi sur la blockchain. Une somme supplémentaire de 1,1 million de dollars en ETH et SOL volés a été injectée dans le protocole Privacy Cash à partir du 3 novembre, ce qui a conduit le service à suspendre temporairement les dépôts tout en renforçant ses procédures de filtrage.

Le réseau de blanchiment s’est considérablement étendu depuis la violation. Elliptic a désormais identifié plus de 20 000 portefeuilles répartis sur 16 blockchains, impliquant au moins 36 services et 65 000 transactions. Bitcoin.com News a rapporté lundi que l’opération avait impliqué environ 12 000 portefeuilles et 40 000 transactions à ce stade.

Une semaine après le piratage de Binance

Sur les 6,43 milliards de dollars initialement volés, environ 2,85 milliards ont été gelés ou saisis, en grande partie grâce à l’intervention des émetteurs de stablecoins. Elliptic estime que seul un montant négligeable a effectivement été converti en fonds disponibles. Le transfert d’actifs d’un portefeuille à un autre ou l’échange d’une cryptomonnaie contre une autre ne signifie pas nécessairement que le butin a été réussi à être encaissé. Le FBI a attribué cette attaque à l’opération de piratage nord-coréenne « TraderTraitor », bien que Pyongyang ait nié toute responsabilité.

Binance a révélé mardi que cette violation faisait suite à une campagne de plusieurs mois impliquant des logiciels de développement malveillants, des entretiens d’embauche frauduleux et des outils internes d’intelligence artificielle compromis. Les attaquants ont finalement réussi à accéder à l’infrastructure de signature des portefeuilles et ont effectué des transactions non autorisées sur de nombreuses blockchains.

Elliptic s’attend à ce que les avoirs restants en ether soient progressivement convertis en bitcoin, puis à ce que des tentatives soient faites pour échanger cette cryptomonnaie contre de la monnaie fiduciaire par l’intermédiaire de courtiers de gré à gré et de plateformes de trading.

La société a établi un parallèle avec le piratage de Bybit en février 2025 — le précédent record de vol de cryptomonnaies avec environ 1,5 milliard de dollars dérobés —, lors duquel des pirates nord-coréens avaient converti environ 499 000 ETH volés en l’espace de 10 jours, tandis que le processus de conversion en argent liquide s’était étalé sur plusieurs mois.

Pour l’instant, la majeure partie des fonds provenant de Binance reste traçable, ce qui offre aux plateformes d’échange et aux enquêteurs des possibilités supplémentaires d’identifier et, éventuellement, d’intercepter ces fonds avant qu’ils ne puissent être convertis en liquidités utilisables.