Le pirate de Binance transfère 293 M$ de XRP, 242 M$ passent par Tron

Les XRP volés se réveillent

L’adresse de stockage de l’attaquant sur le XRP Ledger (XRPL) a commencé à envoyer des paiements tests de 1 000 XRP vers six nouveaux portefeuilles à 03 h 47 UTC le 2 novembre. Les transferts importants ont eu lieu quelques minutes plus tard.

L’outil de suivi de la blockchain Whale Alert a signalé un transfert de 40 millions de XRP, d’une valeur d’environ 50,4 millions de dollars, depuis une adresse intitulée « Binance Hack 2026 ». Moins d’une minute plus tard, il a signalé un deuxième transfert de 40 millions de XRP, d’un montant identique.

Ces deux alertes ne représentaient qu’une partie de l’opération, puisque l’historique complet du portefeuille fait état de neuf virements importants effectués entre 03 h 52 et 04 h 00 UTC, pour un total d’environ 233,45 millions de XRP. Après ces six virements tests, l’adresse ne contenait plus que 23,7 XRP.

Cinq des portefeuilles destinataires détiennent désormais environ 40 millions de XRP chacun. Le sixième portefeuille contient 33,46 millions de XRP. À 04 h 37 UTC, aucun des six n’avait encore transféré de fonds.

Il s’agit de la réserve dont Bitcoin.com News avait fait état lorsque le XRP avait été la première cible de l’attaque du 29 octobre. À partir de 20 h 05 UTC, cinq portefeuilles Binance ont envoyé 233,46 millions de XRP vers une seule adresse d’attaquant en l’espace d’environ quatre minutes.

Le XRP s'échangeant à près de 1,26 $, ce butin représente désormais environ 293 millions de dollars.

Pourquoi le XRP n’a jamais été gelé

Contrairement aux stablecoins, le XRP natif n’a pas d’émetteur capable de le geler. Ripple a gelé les RLUSD volés liés à l’attaque, mais ces contrôles de gel par l’émetteur ne s’appliquent pas au XRP, et la récupération du XRP dépend de sa traçabilité et du blocage des dépôts par les plateformes d’échange.

La société d’analyse de blockchain Elliptic avait constaté que le XRP était en place au 31 octobre ; ce dernier fractionnement d’un solde important entre plusieurs nouveaux portefeuilles constitue donc probablement une étape du blanchiment. Cela multiplie les pistes à suivre pour les enquêteurs et permet aux fonds d’être transférés en montants plus modestes.

242 millions de dollars déjà transférés via Tron

Ce mouvement de XRP s’accompagne de nouvelles données de traçabilité provenant d’une autre chaîne. Des analystes ont indiqué que le pirate avait transféré environ 242 millions de dollars via des chemins liés à Tron dans les deux jours suivant le piratage. Environ 628 millions de dollars d’actifs sur Tron ont été volés lors de cette attaque.

Le rapport indique qu’après le gel par Tether d’environ 378,7 millions d’USDT, le pirate a transféré des fonds via Relay, Thorchain, Chainflip, Symbiosis et d’autres canaux. 41,7 millions de dollars supplémentaires ont transité par Bitget Wallet, et leur destination reste encore à confirmer.

Thorchain, un protocole d’échange inter-chaînes, a constitué l’une des principales voies d’acheminement. Un dysfonctionnement du réseau a interrompu ce flux, le FBI ayant fait pression sur les opérateurs de nœuds pour qu’ils bloquent les transactions liées au piratage. La partie en bitcoins n’a pas non plus été transférée.

Enfin, Bitcoin.com News a récemment rapporté que le butin de 1,4 milliard de dollars en bitcoins de la Corée du Nord restait également en place au moment de la rédaction de cet article.

Un afflux progressif vers Gate

Le pirate explore également les plateformes d’échange centralisées : selon le compte d’analyse on-chain Lookonchain, il aurait déposé 250 000 dollars sur la plateforme d’échange de cryptomonnaies Gate en l’espace de 12 heures. Bien que cette somme soit infime par rapport au butin total, elle montre que le pirate teste des voies de sortie passant par des plateformes de conservation.

Le moment est toutefois mal choisi pour Gate, dont le PDG avait appelé à une alliance en matière de sécurité à l’échelle du secteur quelques jours après la violation. Au moment de la rédaction de cet article, Gate n’avait pas commenté publiquement ces dépôts.

Les autorités américaines ont attribué ce vol à la Corée du Nord. Binance affirme avoir couvert environ 95 % du montant concerné grâce aux fonds de l’entreprise. Les prochains jours s’annoncent passionnants !