Les blanchisseurs nord-coréens du piratage de Binance ont commencé à créer leurs propres memecoins sur NEAR et à ne les échanger qu’entre eux, a indiqué lundi 9 novembre la société d’analyse de blockchains Elliptic. Six jetons jetables, créés entre le 5 et le 7 novembre, ont fait passer environ 117 000 NEAR (près de 430 000 dollars) de fonds volés d’un groupe de portefeuilles à un autre, selon l’analyse d’Elliptic. Aucun des six n’a été échangé depuis le 8 novembre.
La somme est minuscule face aux 6,43 milliards de dollars qu’Elliptic estime volés chez Binance le 29 octobre. Ce qui compte, c’est la méthode. Elliptic avait déjà observé cette astuce de blanchiment après le vol de Bybit en 2025, et son retour dans le blanchiment du piratage de Binance montre que le groupe que l’entreprise et le FBI appellent TraderTraitor réutilise ce qui a fonctionné. L’essentiel des NEAR volés, environ 11,8 millions de jetons, n’avait pas bougé au moment de la publication d’Elliptic.
L’attaque elle-même est racontée dans notre article sur le piratage de 6,4 milliards de dollars chez Binance, et l’attribution dans notre papier sur le FBI qui désigne TraderTraitor.
Blanchiment du piratage Binance sur NEAR : le fonctionnement de la boucle
Le montage repose sur un pool de liquidité d’échange décentralisé, la cagnotte commune de deux jetons qui permet à n’importe qui d’échanger l’un contre l’autre à un prix fixé par l’équilibre de la cagnotte. Elliptic décrit la boucle en quatre étapes :
- Les blanchisseurs créent un nouveau memecoin et l’associent à NEAR dans un blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool d’un échange décentralisé. Selon Elliptic, la création d’un jeton coûte environ 25 NEAR, soit près de 90 dollars.
- Des portefeuilles « acheteurs », alimentés en NEAR volés, versent ces NEAR dans le pool et reçoivent le nouveau jeton.
- D’autres portefeuilles, « collecteurs », revendent le jeton au pool et en retirent des NEAR.
- Le jeton est abandonné. Elliptic décrit la même vie pour chacun : créé, échangé massivement en quelques heures avec des NEAR volés, puis laissé de côté.
Tout l’intérêt tient dans le trou au milieu. « À aucun moment les fonds volés ne passent directement d’un portefeuille acheteur à un portefeuille collecteur, parce que le pool se trouve entre les deux », a écrit Elliptic, cité par The Block. Dans un explorateur de blocs, les portefeuilles collecteurs ressemblent à des traders qui ont acheté tôt une petite pièce et l’ont revendue avec profit.
Elliptic ajoute un détail qui aide le déguisement : les portefeuilles acheteurs et collecteurs portent des noms aléatoires générés par une application de portefeuille très répandue, si bien que les noms ne les relient pas. Le financement, lui, les relie. Selon Elliptic, les NEAR volés entrés dans chaque jeton correspondaient aux NEAR sortis.
Six jetons en trois jours, tous muets depuis le 8 novembre
Elliptic a nommé les six symboles et donné l’heure de création de chacun. Le premier, FUK, est apparu à 00 h 25 UTC le 5 novembre ; le dernier, SINU, à 10 h 06 UTC le 7 novembre. Pour les quatre jetons du 6 novembre, Elliptic indique une fenêtre commune plutôt qu’une heure pour chacun.
| Jeton | Créé (UTC) | Ce que relève Elliptic |
|---|---|---|
| FUK | 5 nov., 00 h 25 | Le seul avec des acheteurs extérieurs : de petits achats le premier jour, moins de 1 % de son volume |
| OLCCL | 6 nov., entre 07 h 19 et 14 h 27 | Toutes les ventes faites par le réseau de blanchiment |
| MEILI | 6 nov., entre 07 h 19 et 14 h 27 | Toutes les ventes faites par le réseau de blanchiment |
| MMLI | 6 nov., entre 07 h 19 et 14 h 27 | Un portefeuille acheteur et un portefeuille vendeur |
| DABI | 6 nov., entre 07 h 19 et 14 h 27 | Un portefeuille acheteur et un portefeuille vendeur |
| SINU | 7 nov., 10 h 06 | Un portefeuille acheteur et un portefeuille vendeur |
La preuve que ces jetons ont été conçus pour blanchir se trouve dans le schéma des échanges. Des portefeuilles du réseau de blanchiment ont réalisé toutes les ventes des six jetons et acheté chaque unité de cinq d’entre eux. Cinq des six créateurs de jetons ont été financés par un portefeuille qui vendait un jeton précédent de la série entre 2 et 13 minutes avant le nouveau lancement. Chaque jeton a été vendu pour la première fois dans les trois heures suivant sa création, et au moins les trois quarts de ses échanges ont eu lieu en une seule journée.
« Les blanchisseurs ont fabriqué six de ces jetons crypto et ne les ont échangés qu’entre eux », a déclaré Tom Robinson, cofondateur et directeur scientifique d’Elliptic, à CoinDesk.
Les logos relevaient du répertoire habituel des memecoins : un singe avec un nœud rose, un canard devant un drapeau américain, un chimpanzé, un renard, un badge doré en flammes, et une photo d’Elon Musk sous une bannière « Elon 2028 President ». Selon Elliptic, rien n’indique que Musk ait un lien avec ces jetons. Dans l’après-midi du 8 novembre, les créateurs de quatre jetons avaient retiré la liquidité qui restait dans leurs pools.
L’argent a ensuite quitté NEAR. Presque le même montant que celui entré, environ 117 000 NEAR, est sorti des portefeuilles collecteurs peu après, en grande partie vers des stablecoins ou par un pont inter-chaînes, d’après Elliptic. L’entreprise n’a précisé ni le stablecoin ni le pont.
430 000 dollars sur 6,43 milliards : un retard, pas un camouflage
Ramenée à sa proportion, la voie des memecoins a porté moins d’un centième de pour cent du vol. Elliptic ne la présente pas comme un moyen de cacher l’argent. Selon ses termes, la technique « ne cache pas tant les fonds qu’elle ne ralentit ceux qui les suivent ».
Chaque échange reste public sur la blockchain NEAR. Ce que les blanchisseurs achètent, c’est du temps : un analyste doit reconnaître qu’un jeton est factice, cartographier les portefeuilles autour de lui et signaler les adresses collectrices avant que les plateformes ne les ajoutent à leurs listes de blocage. Elliptic résume la logique en une phrase : « le blanchiment est une course pour déplacer les fonds avant qu’ils ne soient signalés ». Les jetons coûtent peu, donc les blanchisseurs peuvent en fabriquer beaucoup et jeter chacun après usage. Elliptic y voit l’une des nombreuses couches peu coûteuses que les blanchisseurs nord-coréens empilent les unes sur les autres.
Elliptic prend aussi soin de mettre les outils hors de cause. L’entreprise affirme que l’outil de lancement de jetons, la plateforme d’échange et l’application de portefeuille concernés n’ont rien fait de mal : les blanchisseurs s’en sont servis comme n’importe quel client.
Le précédent est le piratage de Bybit en février 2025, qu’Elliptic attribue lui aussi à TraderTraitor. Les blanchisseurs avaient alors créé un jeton sans valeur sur Tron, l’avaient associé à un stablecoin dans un pool et avaient fait sortir les fonds par des portefeuilles neufs. Au moins 24 millions de dollars ont transité ainsi, selon Elliptic. L’opération Bybit était plus vaste dans son ensemble : environ 499 000 ETH ont été blanchis en dix jours, surtout en bitcoin, et l’encaissement a pris des mois : les fonds ont fini en USDT sur Tron et sont passés par des services de gré à gré chinois soupçonnés, d’après le suivi continu d’Elliptic.
Tron aussi a eu son jeton maison, Solana une variante différente
NEAR n’est pas la seule chaîne où Elliptic a vu la méthode. Le 2 novembre, l’entreprise a repéré sur Tron un jeton sans valeur créé uniquement pour blanchir, proche du modèle Bybit. Environ 220 millions de dollars du butin Binance ont transité par Tron au total, et wallet. It becomes permanent when the provider withdraws.">il n’en reste qu’environ 0,5 million, selon le décompte d’Elliptic.
Sur Solana, les blanchisseurs n’ont rien créé. Du 3 novembre à 15 h 30 UTC au 4 novembre à 09 h 07 UTC, environ 725 000 SOL (autour de 67 millions de dollars) ont quitté le portefeuille d’origine du vol. Une partie a été échangée contre des jetons Solana « enveloppés » qui existaient déjà mais s’échangeaient peu, puis vendue contre de l’USDC et déplacée vers d’autres chaînes. Environ 2 300 SOL sont passés dans le mixeur Privacy Cash, et Elliptic indique qu’il ne restait qu’environ 430 SOL dans les adresses liées au 4 novembre.
Où se trouve le reste des 6,43 milliards de dollars au 9 novembre
Le suivi d’Elliptic, mis à jour pour la dernière fois à 13 h 15 UTC le 9 novembre, chiffre à 2,85 milliards de dollars la part du vol gelée ou saisie, et à environ 3,0 milliards de dollars celle qui dort encore dans des adresses liées à l’attaquant, surtout en ether et en bitcoin. Le montant réellement encaissé est probablement négligeable, selon l’entreprise. Elle situe la part gelée à environ 44 %, contre environ 3 % après Bybit.
| Actif | Situation selon Elliptic (9 nov.) |
|---|---|
| Ether | Environ 3 M$ déplacés sur 1,27 Md$ ; environ 68 300 ETH dans environ 830 adresses ; environ 7 000 ETH (environ 15 M$) envoyés à Tornado Cash depuis le 8 novembre |
| Bitcoin | 18 270 BTC dans 19 adresses, immobiles depuis le 29 octobre ; environ 3 000 BTC (environ 225 M$) issus de la conversion d’autres actifs volés ; environ 130 BTC (environ 10 M$) passés par des coinjoins |
| XRP | Environ 139 M XRP (environ 154 M$) sortis des adresses de l’attaquant, surtout vers du BTC ; environ 95 M XRP (environ 105 M$) restants |
| NEAR | Environ 2 M$ déplacés sur 42 M$ ; environ 11,8 M NEAR (environ 43,7 M$) immobiles |
| SOL | Environ 90 M$, tout échangé, transféré par pont ou mixé ; environ 430 SOL restants |
| Tron | Environ 220 M$ transités ; environ 0,5 M$ restants |
Deux mouvements sont nouveaux depuis le week-end. Le premier est Tornado Cash : environ 7 000 ETH sont entrés dans le mixeur d’Ethereum depuis le 8 novembre, en quelque 100 dépôts dans son pool de 10 ETH et une soixantaine dans son pool de 100 ETH. Cela reste une petite tranche de l’ether, et les neuf plus grosses adresses d’ether, qui en détiennent 89 %, n’ont pas bougé depuis le 30 octobre.
Le second est THORChain. Selon Elliptic, les échanges de XRP de l’attaquant via ce protocole inter-chaînes ont repris dans l’après-midi du 8 novembre, alors que THORChain avait suspendu les échanges de XRP le 7 novembre. La pause plus large décidée plus tôt par THORChain est racontée dans notre article sur l’arrêt des échanges de THORChain. Elliptic n’explique pas comment les échanges ont pu passer, et aucun des trois comptes rendus ne contient de commentaire de THORChain.
Sur NEAR même, Elliptic compte environ 412 000 NEAR (autour de 1,5 million de dollars) sortis du principal compte de NEAR volés le 7 novembre, une part des quelque 2 millions de dollars déplacés jusqu’ici. Les 11,8 millions de NEAR restants valent environ 43,7 millions de dollars au cours d’Elliptic ; The Block, aux prix de sa propre publication, a retenu environ 42,7 millions.
Ce qu’Elliptic a laissé de côté dans son analyse
Elliptic n’a publié ni adresses de contrats ni hachages de transactions, et n’a pas nommé l’échange décentralisé ni la plateforme de lancement utilisés sur NEAR. Tous les chiffres sur les six jetons reposent donc sur son analyse ; CoinDesk et The Block reprennent les mêmes nombres à partir d’elle.
Ni le rapport d’Elliptic ni les articles de CoinDesk et de The Block ne contiennent de réaction de Binance, de la NEAR Foundation ou d’une plateforme de NEAR. Elliptic ne mentionne aucun gel ni retrait de cotation des six jetons. Leurs pools étaient déjà vides ou inactifs à la sortie de l’analyse, ce qui limite ce qu’un gel aurait pu changer.
CoinDesk a chiffré le vol à 6,3 milliards de dollars dans son titre ; Elliptic et The Block retiennent 6,4 milliards, et le suivi d’Elliptic donne 6,43 milliards.
Pourquoi les traders de memecoins NEAR et les plateformes doivent y regarder à deux fois
Les conseils d’Elliptic visent les équipes de conformité, mais ils décrivent ce que peut croiser tout utilisateur de NEAR qui échange des jetons très récents. L’argent qui sort d’un pool de liquidité n’est pas propre par défaut, dit l’entreprise, surtout quand le jeton est neuf. Elle liste les signes apparus dans ce dossier :
- le jeton a été créé ces derniers jours ;
- le pool compte très peu de traders ;
- certains portefeuilles ne font qu’acheter et d’autres ne font que vendre ;
- des portefeuilles neufs sont alimentés peu avant les échanges, souvent par montants ronds.
Ici, des acheteurs extérieurs n’ont participé qu’à un seul jeton, FUK, pour moins de 1 % de son volume. Quiconque a acheté dans ces pools a échangé contre le réseau de blanchiment lui-même. Elliptic tient une liste de blocage publique des adresses liées au piratage de Binance et demande aux entreprises de revérifier les dépôts déjà validés chaque fois que la liste s’allonge.
Les prochains chiffres à surveiller sont les 11,8 millions de NEAR et les 18 270 BTC qui n’ont pas bougé, ainsi que le rythme des dépôts dans Tornado Cash, commencés le 8 novembre.