1,4 milliard $ de bitcoins volés par la Corée du Nord à Binance intacts

Des hackers nord-coréens à l'origine du vol de 6,3 milliards de dollars chez Binance

Une fois de plus, Pyongyang est accusé d’avoir orchestré un vol de 6,3 milliards de dollars au détriment de la plus grande plateforme d’échange de cryptomonnaies au monde en termes de volume de transactions. L’enquête préliminaire menée par Binance a suggéré que l’intrusion provenait de l’ordinateur portable d’un ingénieur logiciel dont le système avait été compromis. Cette faille a ensuite fourni aux attaquants un point d’entrée vers l’un des services internes de la plateforme.

Cependant, des analyses techniques ultérieures ont révélé d’autres systèmes compromis, ce qui suggère une opération bien plus sophistiquée qu’un simple vol des identifiants d’un seul employé. Plusieurs sociétés spécialisées dans l’analyse de la blockchain, notamment Chainalysis, Elliptic et TRM Labs, ont attribué ce vol à « Tradertraitor », une hypothèse confirmée le 31 octobre lorsque le FBI a désigné le groupe de hackers nord-coréen comme responsable de l’attaque.

Tradertraitor est étroitement lié au groupe Lazarus ; il opère en tant que sous-groupe spécialisé, motivé par des intérêts financiers, et désigne les campagnes de cyberespionnage et les logiciels malveillants associés au sein de l’appareil de piratage plus large de la Corée du Nord, soutenu par l’État. Le groupe Lazarus a toujours contrôlé d’importants avoirs en bitcoins, et ce dernier vol de 18 270,2 BTC place apparemment la Corée du Nord au troisième rang mondial des États détenteurs de cette cryptomonnaie.

Bien que la liquidation de bitcoins acquis illicitement soit généralement considérée comme un défi de taille, Pyongyang a démontré à plusieurs reprises sa capacité apparente à convertir des actifs volés en fonds utilisables avec une relative facilité.

Les coulisses du vol de bitcoins qui a vidé 95 % d’un « hot wallet » de Binance

Ce dernier vol sur Binance constitue un mystère particulièrement intrigant, car le mécanisme précis à l’origine du détournement des bitcoins reste flou. Les fonds volés, actuellement évalués à 1,4 milliard de dollars, ont fait l’objet de 11 transferts distincts avant d’être répartis dans des portefeuilles contenant des montants variables de BTC.

Au total, les fonds sont désormais répartis sur 19 portefeuilles distincts, toutes les transactions ayant été confirmées à la hauteur de bloc Bitcoin 973732. Les fonds volés provenaient d'un portefeuille «hot» de Binance identifié sous le nom bc1qm34lsc65zpw79lxes69zkqmk6ee3ewf0j77s3h, qui contient actuellement environ 5,495 BTC, d'une valeur de 426 000 $.

Depuis sa création en 2021, cette adresse exceptionnellement active a traité le montant stupéfiant de 16 517 012,48 BTC en transferts entrants et 16 517 006,98 BTC en transactions sortantes. En juin 2022, ce portefeuille affichait un solde de 138 000 BTC et entretenait des relations transactionnelles avec des acteurs majeurs du secteur, notamment des plateformes d’échange centralisées (CEX) telles que Kraken, OKX, Bullish, Bybit, Coinbase et des dizaines d’autres.

Des adresses qui seraient associées à Wintermute, le teneur de marché algorithmique spécialisé dans les cryptomonnaies, ont également interagi avec ce portefeuille à 76 reprises, pour un montant total de plus de 900 millions de dollars en bitcoins. Lorsque Tradertraitor a piraté le portefeuille, celui-ci contenait environ 19 200 BTC ; le groupe de pirates a détourné près de 95 % de ses avoirs en moins de 20 minutes. Sur les 19 portefeuilles attribués aux pirates informatiques de Pyongyang, 17 contiennent exactement 1 000 BTC chacun, tandis que les deux autres détiennent respectivement 832,5 BTC et 437,7 BTC.

Les bitcoins volés restent inactifs alors que les antécédents de blanchiment de la Corée du Nord soulèvent des questions

Pour l’instant, les bitcoins volés restent intacts sur ces adresses, bien que leur inactivité actuelle n’offre aucune garantie d’inactivité permanente. Le fractionnement du butin a multiplié le nombre de sorties à surveiller, mais n’a pas effacé leur origine. Les enquêteurs « on-chain » et les cabinets de renseignement spécialisés dans la blockchain examineront sans aucun doute ces adresses Bitcoin, car les BTC volés restent souvent inactifs pendant de longues périodes avant d’être finalement transférés, même si de tels délais sont loin d’être la norme.

Par ailleurs, les portefeuilles directement attribués au groupe Lazarus par Arkham Intelligence contiennent actuellement une somme relativement modeste de 23,38 BTC, ce qui représente un écart considérable par rapport aux quelque 14 000 BTC qu’ils contrôlaient en mars 2025. Cela suggère que la Corée du Nord a démontré une capacité considérable à disperser systématiquement des milliers de bitcoins et, au final, à trouver des moyens de liquider ces avoirs illicites. Bien qu’un vaste effort de recouvrement soit en cours pour aider Binance à récupérer ses actifs volés, le bitcoin n’offre aucun mécanisme permettant de geler simplement ces fonds.

Les règles immuables du Bitcoin laissent les enquêteurs dans l’expectative

Les émetteurs de stablecoins peuvent immobiliser des actifs grâce à des restrictions intégrées dans les contrats de leurs jetons, mais le Bitcoin ne dispose d’aucune autorité centrale équivalente capable de mettre des adresses sur liste noire ou d’annuler des transactions confirmées. Par conséquent, les enquêteurs doivent identifier des points d’intervention potentiels, tels que des plateformes d’échange, des courtiers ou d’autres intermédiaires par lesquels les fonds volés pourraient éventuellement transiter. Une autre solution consisterait à prendre le contrôle des clés privées correspondantes, ce qui permettrait de saisir les bitcoins. Aucune de ces deux approches ne constitue toutefois une annulation administrative d’une transaction enregistrée sur la blockchain Bitcoin.

Pour l’instant, ce registre transparent fournit une piste probatoire détaillée sans pour autant conférer le contrôle des actifs eux-mêmes. Les enquêteurs peuvent retracer chaque mouvement des bitcoins volés, mais cette visibilité ne leur confère à elle seule aucune autorité pour les transférer.