Le département américain de la Justice a annoncé jeudi 12 novembre avoir obtenu l’autorisation d’un tribunal de saisir ou d’immobiliser plus de 1,2 milliard de dollars des cryptos volées à Binance vers le 29 octobre, un vol que le FBI attribue à des pirates militaires nord-coréens baptisés TraderTraitor. Dans ce même communiqué de son service de presse, le département indique que les efforts conjoints des autorités et du secteur privé ont permis de geler plus de 2,7 milliards de dollars sur les plus de 6 milliards dérobés. C’est la première étape juridique pour retirer l’argent aux voleurs. Ce n’est pas une confiscation, et rien n’a été restitué à personne.
Ces 1,2 milliard de dollars ne sont pas de l’argent frais arraché aux portefeuilles des pirates. C’est une tranche de ce qui avait déjà été gelé dans les premiers jours après le piratage de Binance, surtout par des émetteurs de stablecoins. Ce qui a changé jeudi, c’est le statut juridique de cette tranche : un tribunal a désormais permis au gouvernement de s’en saisir, ou au moins de la maintenir bloquée, le temps que la procédure avance.
Vendredi 13 novembre vers 17 h 45 UTC, soit un jour plus tard, aucune plainte, aucun mandat ni numéro de dossier n’était public, Binance n’avait pas réagi à l’annonce et le département n’avait publié aucun nouveau chiffre. Le communiqué ne nomme pas le tribunal. Cet article prolonge notre compte rendu de la mise en cause de TraderTraitor par le FBI le 1er novembre : les États-Unis avaient alors attribué l’attaque et demandé aux opérateurs de bloquer des adresses, sans avoir touché à un seul dollar.
Ce que le DOJ a dit des fonds du piratage Binance le 12 novembre
Le communiqué, que le département a mis à jour le 12 novembre, donne quatre chiffres et très peu de paperasse. Plus de 6 milliards de dollars volés. Plus de 2,7 milliards gelés. Plus de 1,2 milliard couvert par une autorisation judiciaire de saisie ou d’immobilisation. Environ la moitié de l’attaque stoppée, selon les mots de la Division criminelle.
Tysen Duva, procureur général adjoint qui dirige cette division, affirme que la riposte a permis de « stopper net environ la moitié de cette attaque historique ». M. Scott Proctor, procureur général adjoint principal chargé de la sécurité nationale, présente le dossier comme une affaire d’armement : « le gouvernement nord-coréen finance son régime paria et son programme d’armes illicite grâce au vol de cryptomonnaies ». blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il ajoute que sa division utilisera tous les moyens pour « saisir et restituer les gains mal acquis de la Corée du Nord », sans dire à qui quoi que ce soit serait restitué.
Plusieurs équipes sont citées. La section de cybersécurité de la Division de la sécurité nationale et la section des crimes informatiques et de la propriété intellectuelle de la Division criminelle travaillent sur le dossier avec le parquet fédéral du district de Columbia, qui, selon le département, a collaboré avec des prestataires de services d’actifs virtuels pour arrêter les fonds. L’antenne du FBI de Los Angeles, par sa division cyber et son unité des actifs virtuels, coordonne le recouvrement avec les services secrets et la brigade criminelle du fisc américain (IRS-CI).
Le communiqué rappelle aussi l’alerte cyber publiée la semaine précédente par le FBI, les services secrets et l’IRS-CI, qui demandait aux plateformes d’échange et autres prestataires de bloquer les transactions liées aux adresses des pirates. Selon le texte, ceux-ci continuent de déplacer l’argent par des ponts, des mixeurs et des plateformes.
Le même communiqué traite d’une seconde opération, sans lien : la saisie de l’infrastructure cloud de FaceStealer, un système nord-coréen de faux appels vidéo que le FBI relie à plus de 400 millions de dollars de vols en 18 mois. Le FBI n’a pas pu dire si FaceStealer a joué un rôle dans l’attaque contre Binance, a rapporté The Record. Cette saisie fait l’objet d’un article à part.
Gelés, saisissables, confisqués : trois choses différentes
Chacune des trois étapes donne au gouvernement un pouvoir différent sur les jetons.
Geler, c’est qu’un émetteur ou une plateforme bloque les jetons là où ils se trouvent. Pour les stablecoins en dollars comme l’USDT et l’USDC, l’émetteur peut mettre une adresse sur liste noire, et les jetons ne bougent plus. Jusqu’à cette semaine, les fonds de Binance étaient simplement gelés chez les émetteurs de jetons, écrit Bitcoin Magazine dans son analyse de l’annonce. Un gel arrête le voleur. Il ne décide pas à qui appartiennent les jetons.
L’autorisation judiciaire de saisir ou d’immobiliser est l’étape suivante. Un juge a admis que le gouvernement puisse prendre le contrôle des actifs, ou les maintenir immobilisés, parce qu’il y a des raisons de penser qu’ils proviennent d’un crime. Le département a pesé ses mots : il parle de saisir ou d’immobiliser, sans dire quelle part relève de chaque verbe.
La confiscation vient en dernier. C’est la décision de justice qui transfère la propriété aux États-Unis, en général après une plainte en confiscation civile, un avis aux personnes qui pourraient réclamer les biens et un délai pour ces réclamations. Ce n’est qu’ensuite que l’argent peut être versé aux victimes ou conservé. Rien de tout cela n’a été annoncé pour les fonds de Binance.
Les titres qui affirment que les États-Unis ont saisi 1,2 milliard de dollars vont plus vite que les faits, et le communiqué lui-même n’est pas cohérent sur ce point. La procureure fédérale du district de Columbia, Jeanine Ferris Pirro, y parle de « saisir plus de 1,2 milliard de dollars de leurs actifs volés », alors que le texte du département dit saisir ou immobiliser. Ce qui existe aujourd’hui est une autorisation portant sur une partie des fonds gelés, pas une confiscation achevée. Pour les bases sur les jetons contrôlés par un émetteur, voir notre entrée de glossaire sur les stablecoins.
D’où viennent les 2,7 milliards de dollars gelés
Le département de la Justice n’a pas dit qui a gelé quoi. Les déclarations antérieures des émetteurs comblent une partie du vide, même si aucune source ne relie leurs chiffres au total du département.
Le 30 octobre, lendemain du vol, le directeur général de Circle, Jeremy Allaire, a dit que son entreprise avait gelé plus de 800 millions de dollars d’USDC, et celui de Tether, Paolo Ardoino, que Tether avait gelé près de 1,57 milliard de dollars d’USDT, a rapporté Finance Magnates. Cela faisait ensemble plus de 2,37 milliards. Les services secrets disaient alors travailler avec Circle. Binance estimait à environ 3 milliards de dollars le total gelé par ses partenaires du secteur.
Le 3 novembre, Binance a dit qu’environ 2,85 milliards de dollars avaient été gelés ou interceptés, selon Bitcoin Magazine. La société d’analyse blockchain Elliptic donne le même chiffre de 2,85 milliards en gelés ou saisis, sur 6,43 milliards qu’elle compte comme volés.
Le chiffre du département, plus de 2,7 milliards de dollars, se situe un peu en dessous de ces décomptes privés, sans que l’écart soit expliqué. Il peut ne compter que ce que le gouvernement sait documenter, ou écarter des jetons gelés par des plateformes hors de sa portée ; le communiqué ne le précise pas.
| Chiffre | Montant | Source et date |
|---|---|---|
| Volé à Binance | Plus de 6 milliards de dollars | Département de la Justice, 12 novembre |
| Volé à Binance | 6,43 milliards de dollars | Suivi d’Elliptic |
| Couvert par Binance sur ses fonds propres | 6,34 milliards de dollars | Binance, via Bitcoin Magazine, 12 novembre |
| USDT gelés par Tether | Près de 1,57 milliard de dollars | Paolo Ardoino, via Finance Magnates, 30 octobre |
| USDC gelés par Circle | Plus de 800 millions de dollars | Jeremy Allaire, via Finance Magnates, 30 octobre |
| Gelés ou interceptés | Environ 2,85 milliards de dollars | Binance (3 novembre) et Elliptic |
| Gelés | Plus de 2,7 milliards de dollars | Département de la Justice, 12 novembre |
| Autorisation judiciaire de saisir ou d’immobiliser | Plus de 1,2 milliard de dollars | Département de la Justice, 12 novembre |
Sur les chiffres arrondis du département, l’autorisation judiciaire couvre environ 44 % de ce qui est gelé, et le total gelé représente environ 45 % de ce qui a été volé.
Ce que le communiqué ne dit pas
L’annonce est avare des détails qu’un acte de procédure contiendrait normalement. Aucune plainte ni aucun mandat n’apparaissait sur CourtListener vendredi matin ; Bitcoin Magazine relève qu’aucune pièce judiciaire n’a été publiée avec l’annonce, et The Record ne nomme aucun tribunal non plus.
- Le tribunal qui a accordé l’autorisation, et le numéro du dossier.
- La nature des actifs qui composent les 1,2 milliard de dollars, et les émetteurs ou plateformes qui les détiennent.
- La répartition de ces 1,2 milliard entre saisie et immobilisation.
- Qui a aujourd’hui la garde des jetons.
- Tout calendrier de confiscation, ou de procédure de réclamation.
Les procureurs n’ont pas non plus dit quelle part des fonds gelés est en bitcoin. L’alerte du FBI de fin octobre indiquait que les actifs volés étaient convertis surtout en ether, relève Bitcoin Magazine.
Le district de Columbia n’apparaît dans le communiqué que comme bureau partenaire. Certains médias ont écrit qu’un tribunal de Washington avait rendu l’ordonnance. Le communiqué ne le dit pas, et cet article non plus.
Binance a déjà remboursé ses clients : à qui irait l’argent ?
Les personnes qui ont perdu des jetons dans ce piratage, les clients de Binance, ont déjà été remboursées par Binance elle-même. La plateforme dit avoir couvert les actifs touchés, soit 6,34 milliards de dollars, en remplaçant les jetons avec l’argent de l’entreprise : son fonds Secure Asset Fund for Users, une partie de son fonds d’assurance des contrats à terme et sa trésorerie, selon Bitcoin Magazine. C’est un remplacement, pas un recouvrement. Notre premier article sur le piratage de Binance racontait comment l’attaque a commencé.
Si les jetons gelés étaient un jour confisqués, la partie qui a le plus clairement subi une perte est donc Binance, qui en a supporté le coût. Reste à savoir si la plateforme déposera une réclamation et si le département la soutiendrait. Ni le communiqué ni aucune déclaration disponible n’abordent la question. Binance n’avait pas commenté l’annonce vendredi soir, et ni The Record ni Finance Magnates ne rapportent de réaction de sa part.
Selon les règles américaines de confiscation, les victimes demandent en général une remise des biens une fois la confiscation ordonnée. Ici, les utilisateurs sont déjà indemnisés, ce qui laisse la plateforme porter la perte. La promesse de Proctor de « restituer » les gains est le seul indice du communiqué, et elle ne désigne aucun bénéficiaire.
L’autre moitié bouge encore, lentement
L’analyse en continu du blanchiment par Elliptic, mise à jour vers 07 h 30 UTC le 13 novembre, donne le tableau le plus net de l’argent que les États-Unis n’ont pas arrêté. Environ 2,8 milliards de dollars restent dans des adresses liées au vol, surtout en ether et en bitcoin. Les neuf plus grosses adresses, qui détiennent 89 % de l’ether des attaquants, n’ont pas bougé depuis le 30 octobre. Quelque 68 300 ETH de plus sont répartis entre environ 830 adresses plus petites. Depuis le vol, le blanchiment a mobilisé près de 27 000 portefeuilles sur au moins 16 blockchains, compte Elliptic.
Une partie du reste est en mouvement. Environ 11 000 ETH sont entrés dans le mixeur Tornado Cash depuis le 8 novembre, d’après Elliptic. Plus tôt, environ 12 200 ETH avaient transité par le protocole interchaînes THORChain vers du bitcoin au 4 novembre, et THORChain a suspendu certains échanges à plusieurs reprises entre le 31 octobre et le 12 novembre. La conclusion d’Elliptic sur l’encaissement tient en peu de mots : une part négligeable a probablement été convertie en argent réel à ce stade.
Les pirates essaient aussi des méthodes plus récentes. Elliptic a constaté qu’ils créaient leurs propres jetons sans valeur pour faire passer la valeur volée par des pools d’échanges décentralisés, si bien que les fonds ne vont jamais directement d’un portefeuille à un autre, rapporte The Record. Nous avions détaillé cette découverte dans notre article sur les memecoins NEAR utilisés pour le blanchiment ; pour l’instant, seule une petite somme a circulé ainsi.
The Record rapporte aussi que Michael Barnhart, chercheur chez DTEX, décrit TraderTraitor comme l’une des unités issues de l’éclatement d’APT38 après le braquage de la banque centrale du Bangladesh en 2016, un groupe qui remet d’ordinaire vite les fonds volés à des blanchisseurs chinois contre une somme forfaitaire ou un pourcentage. Elliptic trace la même ligne : les coins déjà en cours de blanchiment sont peut-être entre les mains de réseaux chinois, tandis que ceux qui n’ont pas bougé sont très probablement toujours détenus par la Corée du Nord.
La Corée du Nord dément, les États-Unis continuent de tracer
Pyongyang rejette l’accusation. Kim Yo Jong, sœur du dirigeant Kim Jong Un, a dénoncé l’attribution du FBI, et les médias d’État ont parlé d’une « grave provocation politique », a rapporté Yonhap le 3 novembre en citant l’agence KCNA, d’après CNBC. Elliptic et Chainalysis rattachent tous deux le vol à des acteurs nord-coréens. Le département de la Justice n’a pas répondu au démenti dans son communiqué.
Les procureurs affirment que leur travail pour tracer, geler, saisir et confisquer les fonds se poursuit. Concrètement, les prochains signes publics seraient une plainte en confiscation civile, qui nommerait le tribunal et listerait les actifs, ou un nouvel avis du FBI ajoutant des adresses que les plateformes devraient bloquer.
Ce que cela change pour les utilisateurs en Europe
Selon les chiffres des émetteurs eux-mêmes, l’essentiel des premiers gels a porté sur deux stablecoins en dollars, l’USDT et l’USDC : le pouvoir des émetteurs de bloquer des jetons est donc au cœur de ce dossier. Pour les détenteurs d’USDC de la zone euro, l’unité européenne de Circle est suivie par l’Autorité bancaire européenne depuis le 12 novembre, comme nous l’expliquions dans notre article sur la reprise de la supervision de l’USDC par l’ABE.
Pour les clients français de Binance, l’échéance qui compte est sans rapport avec le piratage : la plateforme ferme leurs comptes le 31 décembre.
Dates et questions à suivre
Aucune date n’est fixée pour la suite de cette affaire. Les questions ouvertes sont en revanche concrètes. Le département déposera-t-il une plainte en confiscation, et devant quel tribunal ? Les quelque 1,5 milliard de dollars de jetons gelés, pas encore couverts par une ordonnance, en recevront-ils une à leur tour ? Les neuf adresses dormantes qui détiennent l’essentiel de l’ether des attaquants vont-elles se mettre à bouger ?
Et qui réclamera l’argent au bout du compte ? Binance a versé 6,34 milliards de dollars de ses propres fonds. Si une partie des 1,2 milliard est confisquée, c’est la réclamation à surveiller.