TRM Labs et ZachXBT attribuent le piratage de Binance au Lazarus nord-coréen

Les enquêteurs pointent du doigt Pyongyang

La traque du pirate de Binance a désormais un suspect principal : la société d’analyse de blockchain TRM Labs attribue l’attaque à Tradertraitor (qui fait partie de l’écosystème Lazarus), qu’elle qualifie d’unité de piratage d’élite nord-coréenne. La société est parvenue à cette conclusion avec un haut degré de certitude, en s’appuyant sur des renseignements on-chain et off-chain, et a estimé le butin à environ 6,36 milliards de dollars au moment où chaque actif a été dérobé. L’enquêteur indépendant ZachXBT était parvenu à une conclusion similaire quelques heures plus tôt, et lorsqu’on lui a demandé qui était à l’origine de ce détournement, il a répondu :

« Il s’agit probablement du groupe Lazarus (RPDC) »

Cela dit, ces publications ne confirment pas automatiquement la responsabilité de qui que ce soit, et aucun gouvernement n’a encore officiellement désigné de coupable. Ari Redbord, responsable mondial des politiques chez TRM, a déclaré à Al Jazeera que cette attaque était sans précédent et qu’elle serait par la suite considérée comme un tournant dans l’histoire des cryptomonnaies, ajoutant :

« Lorsque la Corée du Nord commet des vols de cette ampleur, l’argent sert à financer la prolifération d’armes et d’autres activités déstabilisatrices. »

Un mode opératoire connu, mais quatre fois plus important

L’équipe de TRM estime que le déroulement et les signatures de l’attaque correspondent au vol subi par Bybit au début de l’année dernière, que le FBI a attribué au même groupe, ainsi qu’au piratage de Kelpdao en avril 2026. La société d’analyse de chaînes de blocs Chainalysis a estimé de son côté que le montant volé s’élevait à environ 5,912 milliards de dollars, soit près de quatre fois celui du vol de Bybit.

La préparation a été méthodique : le chercheur on-chain 0xQuit a découvert que le relais de l’attaquant avait été financé par trois retraits Tornade Cash de 0,1 ETH chacun au cours des deux jours précédents, avec un contrat de délégation déployé à 15 h 59 UTC. Un autre analyste a indiqué que le pirate avait répété le détournement six heures plus tôt sur trois nouveaux portefeuilles, en transférant des montants tests de plusieurs tokens. L’attaque a eu lieu à 20 h 24 UTC, lorsque 167 464 ETH ont été transférés hors du portefeuille « hot » Binance 14. Bitcoin.com News a expliqué hier en détail le fonctionnement de cette manœuvre de délégation de portefeuille, ainsi que la manière dont les premières conclusions de Binance indiquaient que l’ordinateur portable d’un ingénieur DevOps avait été compromis.

Les réseaux sociaux ont ajouté une touche moqueuse à toute cette affaire, un commentateur affirmant que le pirate avait lancé une cryptomonnaie « meme » appelée « LAZARUS » sur Pump.fun. Bitcoin.com News n’a pas pu vérifier si le déployeur était lié aux portefeuilles du pirate.

Où va l’argent ?

Contrairement à Bybit, où les fonds volés ont été transférés à toute vitesse via des ponts, ce blanchiment s’est appuyé sur des transactions de grande envergure. TRM a indiqué que le pirate avait vendu environ 325 millions d’USDT à des teneurs de marché contre environ 122 300 ETH, avec une décote de plus de 10 %. Il a également emprunté environ 19 760 ETH sur Aave contre 60 millions d’USDT. Les gel de fonds ont permis de récupérer une grande partie des fonds, et Binance a déclaré que le montant total gelé avait atteint environ 3 milliards de dollars. Néanmoins, TRM estime que l’attaquant détient plus de 420 000 ETH et 18 270 BTC, soit environ 2,4 milliards de dollars hors de portée des émetteurs, les bitcoins transitant par une « peel chain », une méthode de blanchiment qui fractionne les fonds en une longue série de transferts plus modestes.

Onchain Lens a rapporté que le groupe transférait plus d’un milliard de dollars en ETH vers de nouveaux portefeuilles, probablement en vue d’un mélange. TRM s’attend à ce que la prochaine étape implique des ponts inter-chaînes, des services d’échange et des courtiers de gré à gré (OTC).

Une année record pour les vols de cryptomonnaies

Ce vol s’inscrit dans ce que Defillama qualifie d’« année la plus piratée de l’histoire des cryptomonnaies », avec plus de 8 milliards de dollars volés à ce jour en 2026. À titre de comparaison, les cybercriminels avaient dérobé 2,87 milliards de dollars lors de près de 150 incidents en 2025.

L’attaque contre Binance est également survenue quelques heures après que Polymarket a suspendu ses opérations en raison d’une faille distincte, ce qui montre sur combien de fronts les équipes de sécurité doivent lutter simultanément.

Les répercussions pourraient être sans précédent

TRM a déclaré qu’il alertait ses partenaires via son réseau Beacon et a exhorté les plateformes d’échange à filtrer les dépôts en les comparant aux adresses identifiées comme appartenant aux attaquants. Parallèlement, Binance a promis une analyse technique détaillée une fois son enquête préliminaire terminée.

La question clé est désormais celle de la rapidité, car chaque heure pendant laquelle les ETH et les BTC de l’attaquant restent non mélangés donne aux enquêteurs davantage de temps pour repérer les sorties de fonds, tandis que les antécédents de la Corée du Nord laissent penser que le groupe tentera de monnayer ses gains via des bureaux de gré à gré avant que la piste ne se refroidisse.