Fonds volés au piratage de Binance : 12 000 portefeuilles en 4 jours

Des milliers de portefeuilles allongent la piste du blanchiment

Les crypto-actifs volés à Binance ont transité par environ 12 000 portefeuilles répartis sur 11 blockchains en moins de quatre jours, a rapporté le 2 novembre la société d’analyse de blockchains Elliptic. Son analyse de cette opération de blanchiment impliquant 12 000 portefeuilles a permis de suivre plus de 40 000 transactions à la suite du vol de 6,43 milliards de dollars survenu le 29 octobre. Elliptic a déclaré :

« Le blanchiment est extrêmement complexe et manifestement automatisé. »

Chainalysis avait identifié des schémas suspects de blanchiment automatisé le 30 octobre, observant des transferts répétés entre adresses et des retours vers des portefeuilles utilisés précédemment. De nombreuses adresses destinataires recevaient exactement 1 TRX, la cryptomonnaie native de Tron, à titre de frais de transaction avant d’accepter et de transférer des soldes plus importants. Cette séquence récurrente suggérait qu’un logiciel redistribuait le produit du vol.

Le vol lui-même a impliqué des points d’entrée supplémentaires et a contourné les contrôles d’approbation, a déclaré Richard Teng, co-PDG de Binance, dans une vidéo partagée le 30 octobre. Il a décrit une enquête s’étendant au-delà d’un ordinateur portable initialement soupçonné d’avoir été compromis. Un mécanisme d’autodestruction a également détruit les outils d’attaque et les traces, compliquant l’enquête de la plateforme d’échange.

Des virements automatisés mènent vers des coffres-forts et le mélange de bitcoins

Elliptic a identifié des délais fixes, des montants prédéfinis et des tentatives de réessai automatiques. Ces schémas indiquaient l’utilisation de scripts logiciels conventionnels. La société n’a trouvé aucune preuve qu’un logiciel d’intelligence artificielle prenait des décisions concernant les transferts.

Le pirate a également utilisé des « lending vaults », des contrats de protocole qui acceptent les dépôts et traitent les retraits, pour effectuer des dépôts depuis une adresse et des retraits vers d’autres sans transfert direct entre elles. Le mélange de bitcoins a débuté le 1er novembre : environ 28 BTC, d’une valeur de 2,2 millions de dollars, ont transité par 18 « coinjoins » dès le début du 2 novembre. Les « coinjoins » combinent les entrées et sorties de bitcoins de plusieurs utilisateurs dans des transactions partagées, rendant les mouvements individuels plus difficiles à tracer.

Ces tentatives de transfert d’actifs ont coïncidé avec la suspension d’urgence des échanges sur Thorchain. Le protocole, qui permet d’échanger des cryptomonnaies entre différentes blockchains, a activé des mesures de sécurité après un écart comptable portant sur 10 ETH le 31 octobre. Chainalysis a indiqué que ce dysfonctionnement avait involontairement retardé le blanchiment lié au vol sur Binance.

Les plateformes d’échange sous pression pour bloquer les tentatives de retrait

Le 31 octobre, le Federal Bureau of Investigation (FBI) a attribué le vol subi par Binance à la Corée du Nord, identifiant l’activité comme étant le fait de Tradertraitor, un groupe de hackers soutenu par l’État nord-coréen. En collaboration avec les Services secrets américains et le service des enquêtes criminelles de l’IRS, il a observé des conversions principalement en ether. Les autorités ont exhorté les plateformes d’échange, les opérateurs d’infrastructures et les services de finance décentralisée à bloquer les transactions impliquant les adresses répertoriées. L’intervention dépend en partie des actifs concernés. Le gel des stablecoins et les contrôles par liste noire permettent aux émetteurs d’empêcher les adresses désignées de transférer des tokens, même lorsque les détenteurs contrôlent les clés de leur portefeuille. Les plateformes d’échange peuvent, de leur côté, restreindre les dépôts ou geler des comptes, offrant ainsi un autre levier d’intervention pour les cryptomonnaies ne faisant pas l’objet d’un gel contrôlé par l’émetteur. Le graphique d’Elliptic retrace le parcours des actifs volés depuis leur forme initiale le 29 octobre, en passant par les échanges, les gels et les avoirs restants au 2 novembre. Il montre que 2,85 milliards de dollars ont été gelés, tandis que le pirate a conservé environ 1,43 milliard de dollars en bitcoins répartis sur 40 adresses et 1,37 milliard de dollars en ether répartis sur 857 adresses. Une somme distincte de 16 millions de dollars a été transférée vers des adresses contenant le produit de l’exploitation de Bitget, ce qui indique que certains fonds provenant des deux vols ont été regroupés.

Le fait de convertir une cryptomonnaie en une autre ne constitue pas en soi une opération de retrait. Elliptic a estimé qu’environ 3,24 milliards de dollars restaient dans des adresses liées au vol à ce moment-là, principalement sous forme d’ether et de bitcoin. La société s’attendait à ce que des tentatives de retrait soient finalement effectuées par l’intermédiaire de courtiers de gré à gré au cours des mois suivants.