Les blanchisseurs d'argent nord-coréens se sont tournés vers des meme coins jetables pour dissimuler les gains issus du piratage de Binance, qui s'élève à environ 6,3 milliards de dollars. Elliptic a identifié des tactiques de ce type sur trois blockchains, ce qui complique davantage, à moindre coût et de manière répétée, les efforts visant à retracer les actifs volés.
Piratage Binance en Corée du Nord : 6,3 Md$ et des « meme coins »
ÉCRIT PAR
PARTAGER
Points clés
- Des portefeuilles liés contrôlaient la quasi-totalité des transactions sur ces jetons jetables.
- Les blanchisseurs ont réinvesti le produit des ventes pour financer le lancement de nouveaux jetons.
- Les actifs volés convertis en bitcoins ont atteint environ 225 millions de dollars.
Les « meme coins » compliquent la traçabilité du piratage de Binance
Les blanchisseurs nord-coréens ont utilisé des meme coins et des jetons obscurs sur les réseaux Tron, Solana et Near, a expliqué le 9 novembre Tom Robinson, cofondateur et directeur scientifique d’Elliptic. Tron et Near impliquaient des jetons nouvellement créés ; Solana s’appuyait sur des actifs existants. Robinson a écrit :
« La plupart des gens considèrent les jetons « meme » comme des cryptomonnaies fantaisistes dont les cours fluctuent au gré de l’engouement médiatique. Les blanchisseurs nord-coréens leur ont trouvé une autre utilité : ils créent des jetons que personne d’autre ne souhaite acheter et s’en servent pour dissimuler les mouvements de fonds volés. »
Sur Near, un groupe a acheté les nouveaux jetons avec des cryptomonnaies volées via des pools de liquidité. D’autres portefeuilles ont vendu dans ces mêmes pools et ont encaissé des recettes presque équivalentes, en séparant les adresses d’envoi et de réception.
Six jetons créés entre le 5 et le 7 novembre ont représenté environ 117 000 NEAR (430 000 $), sans pratiquement aucun échange externe. Chaque lancement a coûté environ 90 $. Cinq créateurs ont reçu des fonds provenant de ventes de jetons antérieures peu avant de lancer ces jetons de remplacement.
Le 31 octobre, le Federal Bureau of Investigation (FBI) a attribué le vol sur Binance du mois dernier à la Corée du Nord, identifiant l’opération comme « Tradertraitor », un groupe nord-coréen soutenu par l’État ciblant les entreprises de cryptomonnaies.
Cependant, la Corée du Nord a nié toute responsabilité dans ce piratage le 3 novembre. Kim Yo-jong, sœur du dirigeant nord-coréen Kim Jong Un, a qualifié les accusations du FBI de « grave provocation politique » visant à nuire à la réputation du pays.
Le vol sur Binance a déclenché une course contre la montre pour éviter les gel des fonds
Chainalysis a découvert que les actifs volés lors de l’attaque contre Binance du 29 octobre avaient été mélangés aux gains issus du vol commis chez Bitget en septembre. La société s’est appuyée sur ce recoupement pour attribuer le vol de Binance à Tradertraitor. Son analyse s’est fondée sur l’activité observée sur la blockchain dans les heures qui ont suivi l’attaque.
Le pirate a tenté d’échapper aux gels de fonds en procédant à des conversions rapides en stablecoins, échangeant 325 millions de dollars de fonds contre environ 285 millions de dollars en ether en près de 20 minutes. L’ether ne dispose pas des mécanismes de gel contrôlés par l’émetteur dont bénéficient ces stablecoins.
Elliptic a signalé le 2 novembre un token Tron sans valeur créé uniquement à des fins de blanchiment, et le Solana volé a transité le lendemain par des tokens peu négociés. Elliptic avait déjà retracé au moins 24 millions de dollars via un stratagème similaire après le vol de Bybit en 2025. Expliquant cette approche par couches, Robinson a déclaré :
« Les blanchisseurs nord-coréens s’appuient rarement sur une seule technique. Au contraire, ils superposent de nombreuses techniques peu coûteuses, chacune ajoutant un peu plus de temps. Les jetons « mèmes » créés maison ne constituent qu’une couche supplémentaire. »
Des milliers de portefeuilles mènent au bitcoin
Au 2 novembre, les actifs volés avaient transité par environ 12 000 portefeuilles répartis sur 11 blockchains. La chronologie fixe et les tentatives répétées à l’aveugle d’opérations ayant échoué, sans ajustement, indiquaient une automatisation conventionnelle. Elliptic n’a trouvé aucune preuve de décisions guidées par l’IA.
Une mise à jour du 7 novembre a recensé plus de 20 000 portefeuilles, 16 blockchains et au moins 65 000 transactions. Elliptic a suivi les conversions en environ 2 300 bitcoins, d’une valeur de 175 millions de dollars à l’époque, à partir d’actifs tels que Solana, XRP et Tron.
Les fonds convertis ont atteint environ 3 000 bitcoins, d’une valeur de 225 millions de dollars au 9 novembre. Elliptic a également retracé environ 7 000 ether (d’une valeur d’environ 15 millions de dollars) vers Tornado Cash, un service de mixage permettant de retirer des dépôts groupés vers différentes adresses. La société a estimé que seul un montant négligeable avait probablement été retiré. Concernant l’exposition via les pools de trading, le directeur scientifique d’Elliptic a mis en garde :
« Un portefeuille ayant reçu ses fonds d’un pool de liquidités ne doit pas être considéré comme « propre » par défaut, car il peut se trouver à seulement deux échanges de fonds volés. »
Les autorités policières internationales mettent en garde contre une campagne de cyberattaques nord-coréennes qui a infecté 30 000 ordinateurs dans le but de voler des cryptomonnaies.
Lire: De faux entretiens d'embauche dans le secteur informatique aident la Corée du Nord à dérober des millions en cryptomonnaies
Cet article a été traduit de l'anglais à l'aide de l'IA. La version originale en anglais fait foi ; les traductions automatiques peuvent contenir des inexactitudes, en particulier dans la terminologie juridique et réglementaire.
À propos de l'auteur
ÉCRIT PARKevin Helms
Kevin Helms est un journaliste spécialisé dans les cryptomonnaies, avec une expertise en Bitcoin, en réglementation de la blockchain et sur les marchés mondiaux des actifs numériques.
