Des pirates de Binance utilisent des tactiques inédites de blanchiment crypto

Des milliers de transferts indiquent un blanchiment automatisé

La société d’analyse de blockchain Chainalysis a identifié, le 30 octobre, des signes de blanchiment automatisé présumé à la suite d’un vol sur Binance qu’elle a estimé à 6,4 milliards de dollars, qualifiant cet incident de « plus grand vol de cryptomonnaies jamais enregistré ». La société a déclaré :

« Nos enquêteurs observent des schémas de blanchiment inédits concernant les fonds volés lors de l’attaque contre Binance. »

Des milliers de transactions effectuées en peu de temps laissent supposer une automatisation visant à brouiller les pistes. Les enquêteurs ont suivi des transferts répétés entre différentes adresses, y compris des retours vers des portefeuilles utilisés plus tôt dans la séquence. De nombreuses adresses ont d’abord reçu exactement 1 TRX, le token natif de Tron utilisé pour payer les frais de transaction, avant d’accepter davantage de fonds et de transférer les actifs vers d’autres destinations. Chainalysis a ajouté : « Cette séquence répétée suggère l’existence d’un processus automatisé visant à déplacer et à redistribuer les fonds volés. »

Les enquêteurs retracent les accès et un lien avec la Corée du Nord

Richard Teng, co-PDG de Binance, a révélé d’autres points de faille et des contrôles d’approbation contournés, ainsi qu’un mécanisme d’autodestruction qui a détruit les outils et les traces. Chainalysis a retracé les sorties de fonds jusqu’à environ 16 h 20, heure de l’Est, le 29 octobre, et a identifié un portefeuille Ethereum alimenté via Tornado Cash, un mélangeur de cryptomonnaies qui masque les liens entre les dépôts et les retraits. Ce portefeuille a soumis des autorisations signées valides, c’est-à-dire des permissions signées cryptographiquement, permettant à un portefeuille « chaud » de Binance d’exécuter un logiciel déployé par les attaquants et de transférer des actifs vers des adresses contrôlées par ces derniers. Les schémas de blanchiment laissaient initialement supposer l’implication de Tradertraitor, un groupe cybercriminel nord-coréen. Chainalysis a ensuite observé que les actifs volés à Binance se mélangeaient aux gains issus du vol sur Bitget survenu en septembre, précédemment attribué à des acteurs nord-coréens, ce qui a renforcé son attribution de l’attaque à Tradertraitor. Par ailleurs, TRM Labs a attribué l’attaque contre Binance à Tradertraitor avec un haut degré de certitude, en s’appuyant sur des renseignements provenant de la chaîne de blocs et hors chaîne.

La course aux échanges de stablecoins contre le gel des actifs

Chainalysis a expliqué :

« Le gel des fonds prend du temps. Le pirate a tenté de devancer ce processus en transférant rapidement 500 millions de dollars de stablecoins vers un portefeuille dont la fonction était d’échanger ces actifs susceptibles d’être gelés contre des actifs non gelables. »

Ces contrôles de gel et de mise sur liste noire des stablecoins peuvent empêcher les adresses désignées de transférer les tokens concernés, tandis que l’ether natif ne dispose d’aucun mécanisme équivalent contrôlé par l’émetteur.

En près de 20 minutes, le portefeuille a échangé 325 millions de dollars de stablecoins contre environ 285 millions de dollars d’ether, puis a transféré les 175 millions de dollars restants vers des portefeuilles intermédiaires 10 minutes plus tard. Les gel ont commencé à 17 h 14, heure de l’Est, le 29 octobre ; Chainalysis a fait état d’environ 2,8 milliards de dollars gelés dans son rapport du 30 octobre. Binance a quant à lui estimé séparément le montant total à environ 3 milliards de dollars ce jour-là.

La plateforme d’échange a également indiqué avoir réservé plus de 6,34 milliards de dollars de fonds propres pour couvrir cet incident, hors actifs gelés. Sur ce montant, 5 milliards de dollars étaient déjà détenus sous forme de tokens concernés. Des achats via les marchés et les canaux de gré à gré étaient en cours afin de couvrir le reste des actifs.