Piratage Binance : le FBI désigne la Corée du Nord et demande de bloquer ses adresses, sans sanction de l’OFAC à ce stade

Le FBI a affirmé le samedi 31 octobre que la Corée du Nord était derrière le vol de « plus de 6 milliards de dollars » chez Binance, en désignant le groupe qu’blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il appelle TraderTraitor environ deux jours après le piratage du 29 octobre. Dans la même notice, il demande aux entreprises privées du secteur, dont les opérateurs de THORNode, de bloquer les transactions liées à une liste d’adresses. Publiée avec les services secrets américains et l’IRS Criminal Investigation, la notice est une demande et rien de plus. À la lecture de la page des actions récentes de l’Office of Foreign Assets Control (OFAC), le bureau du Trésor américain chargé des sanctions, tôt dimanche, aucune mesure liée au piratage n’y figurait.

FBI Cyber Branch a mis en ligne l’avis sur X à 22 h 36 min 58 s GMT samedi, selon securities.io. Le message affirme que la Corée du Nord « était responsable du vol de plus de 6 milliards de dollars américains en actifs virtuels » à l’échange, vers le 29 octobre, et renvoie vers la liste d’adresses hébergée sur le site du FBI.

Seul le texte de ce message a pu être lu directement. La page du FBI a refusé la connexion, la liste est donc restée hors de portée : les décomptes d’adresses ci-dessous viennent de CoinDesk, et aucune adresse de la liste n’a été vérifiée sur un explorateur de blocs. Le vol lui-même est détaillé dans l’article de Coindaro sur le piratage de Binance ; celui-ci traite de la démarche du FBI et de ce qu’elle peut produire.

Piratage Binance : ce que dit la notice du FBI sur les adresses nord-coréennes

Le FBI désigne l’activité sous le nom de TraderTraitor, l’étiquette déjà employée pour le vol de Bybit en février 2025. CoinDesk présente le groupe comme une sous-unité du Lazarus Group, tandis que Reuters parle d’une unité nord-coréenne soutenue par l’État. Le terme remonte à un avis conjoint du gouvernement américain d’avril 2022, AA22-108A, consacré aux chevaux de Troie déguisés en logiciels de trading de cryptomonnaies, rappelle ChainCatcher.

Deux observations accompagnent l’attribution. Le FBI, les services secrets et l’IRS Criminal Investigation ont vu les pirates convertir les actifs volés « principalement en Ethereum », et s’attendent à de nouveaux blanchiments via la finance décentralisée (DeFi) et les services d’échange instantané. Cette seconde remarque dit à qui s’adresse la demande.

Les trois agences « exhortent » les entreprises privées à bloquer les transactions avec les adresses que le groupe utilise pour blanchir l’argent, ou issues de ces adresses. Le message cite en premier les opérateurs de THORNode, puis les opérateurs de nœuds RPC, les plateformes d’échange instantané, les services DeFi, les sociétés d’analyse de blockchains et les autres prestataires de services sur actifs virtuels. Toute personne détenant des informations est invitée à joindre un bureau local du FBI ou ic3.gov, indique securities.io, qui ajoute que le FBI se dit déterminé à « identifier, atténuer et perturber les activités illicites de cybercriminalité et de vol d’actifs virtuels de la Corée du Nord ».

CoinDesk, qui a lu la liste, fait état de plus de 600 adresses Ethereum, de moins de 20 adresses bitcoin et d’une seule adresse Solana. Reuters, Newsweek et securities.io ne donnent aucun chiffre.

Securities.io comme CoinDesk décrivent des adresses qui détiennent ou ont détenu des actifs volés : une adresse listée peut donc déjà être vide. Elliptic compte de son côté 19 adresses bitcoin qui contiennent les BTC volés, ce qui correspond au « moins de 20 » de CoinDesk. La correspondance est tout ce qu’on peut affirmer : les deux listes n’ont pas pu être comparées.

La liste est aussi l’image figée d’une cible mouvante. Jonathan Levin, directeur général de Chainalysis, a dit à CoinDesk que les attaquants ont déjà utilisé « des milliers d’adresses » et qu’il en attend « des dizaines de milliers dans les semaines à venir ». La liste de blocage gratuite qu’Elliptic tient pour ce vol compte à elle seule plus de 1 000 adresses.

Pyongyang nie depuis des années recourir à des unités cyber liées à l’État pour l’espionnage ou le vol financier, rappelle Reuters, et la mission nord-coréenne à Genève ainsi que l’ambassade en Chine n’ont pas répondu à l’agence. Interrogé samedi par un journaliste de la Maison-Blanche, Donald Trump a déclaré « nous nous renseignons » et que son administration « en parlerait avec la Corée du Nord », d’après CoinDesk. C’est une réaction postérieure à son « On ne sait pas » de vendredi.

Une demande de blocage, pas une sanction de l’OFAC

Une notice du FBI dit à la profession ce que le bureau sait et ce qu’il souhaite. Une inscription de l’OFAC est une mesure juridique. Quand l’OFAC a listé l’adresse de repli du piratage de Ronin le 14 avril 2022, Elliptic en a décrit l’effet, dans The Record : l’interdiction faite aux « personnes et entités américaines de transiger avec cette adresse ».

L’OFAC inscrit bel et bien des portefeuilles quand il le décide. Le 28 octobre, la veille du vol chez Binance, il a sanctionné un réseau d’informaticiens nord-coréens ainsi que huit portefeuilles. Cette mesure précède le piratage et n’a aucun lien avec lui. Le dernier élément de la page des actions récentes de l’OFAC, à la lecture d’environ 05 h 50 UTC dimanche, date du 29 octobre : une licence générale modifiée relative à l’Iran. Une recherche de couverture médiatique sur une action de l’OFAC visant les adresses du piratage de Binance n’a rien donné non plus.

L’OFAC a sanctionné le Lazarus Group lui-même le 13 septembre 2019, en application du décret 13722, a précisé le Trésor. Ce que cela implique pour une entreprise qui traite précisément ces adresses relève des juristes, et aucune des sources lues ne répond à cette question à propos de la notice. Le message ne mentionne aucune pénalité en cas de refus, pas plus que la couverture consultée, même si la page du FBI n’a pas pu être lue. De même, aucune source n’indique qu’un particulier qui recevrait sans le savoir des fonds d’une adresse listée serait responsable de quoi que ce soit, et rien ne le laisse entendre ici.

Le débat plus large sur les logiciels que personne ne contrôle n’est pas tranché devant les tribunaux. Les sanctions américaines contre le mixeur Tornado Cash ont été levées en mars 2025 après leur annulation en justice. Son cofondateur Roman Storm a été reconnu coupable sur un chef en août 2025, le jury restant partagé sur deux autres, dont l’association de malfaiteurs en vue de violer les sanctions. Son nouveau procès est fixé au 26 avril 2027, selon The Block en août, sa requête en acquittement n’étant alors pas encore tranchée.

En Europe, le tableau est plus mince. L’Union européenne a inscrit Chosun Expo en juillet 2020, première application de son cadre de sanctions cyber, en des termes prudents qui reliaient la société à APT38 et au Lazarus Group, selon la presse de l’époque. Que le traitement de fonds nord-coréens par un prestataire européen enfreigne ou non les sanctions de l’UE ne ressort d’aucun élément consulté. Aucune déclaration sur la notice du FBI n’a été relevée de la part de l’ESMA, de l’ABE, de l’AMF française, ni de la Consob ou de l’OAM italiennes.

Deux jours, et non cinq : la vitesse d’attribution des États-Unis

La rapidité est inédite. TRM Labs date les premiers transferts de 20 h 05 UTC le 29 octobre : le message du FBI est donc arrivé environ 50 heures plus tard. Pour Bybit, la même étape avait pris cinq jours. Pour Ronin, Harmony et DMM Bitcoin, elle a pris des semaines, voire des mois, comme le montre le tableau. L’attribution de Harmony est tombée le 23 janvier 2023, sept mois après un vol de 100 millions de dollars.

Les deux notices les plus récentes sont construites de la même façon. La notice Bybit du 26 février 2025, lisible en entier sur ic3.gov, encourageait les entreprises à « bloquer les transactions avec les adresses que les acteurs de TraderTraitor utilisent, ou issues de ces adresses ». Cette fois, le verbe est « exhorter ». La liste des destinataires d’alors allait des opérateurs de nœuds RPC aux plateformes d’échange, ponts, sociétés d’analyse de blockchains, services DeFi et autres prestataires. Elle ne nommait ni THORChain ni les opérateurs de THORNode, alors que THORChain a ensuite fait transiter une bonne part de cet argent. La nouvelle notice les cite en premier. La liste est aussi bien plus longue : 51 adresses à l’époque, contre plus de 600 adresses Ethereum aujourd’hui, selon le décompte de CoinDesk, sans compter les autres réseaux.

Les acteurs privés ont pourtant parlé les premiers. Le rapport de TRM, daté du 29 octobre avec des données en chaîne jusqu’à 00 h 30 UTC le 30, attribuait le vol avec un haut degré de confiance. Chainalysis évoquait un « haut degré de confiance », rapporte cryptonews.net. Elliptic avait désigné TraderTraitor comme coupable probable et a mis sa page à jour à 23 h 55 UTC samedi, après la prise de parole du FBI. Aucune source n’explique pourquoi le FBI a été plus rapide cette fois.

Qui peut vraiment bloquer les adresses nord-coréennes ?

Une liste de blocage ne vaut que là où quelqu’un a le pouvoir d’agir. Le vol de Binance a déjà réparti les acteurs en trois groupes, et une demande du FBI n’apporte presque rien au premier et rien au deuxième.

Le premier groupe peut geler d’emblée : les émetteurs de stablecoins et, sur certains réseaux, les instances de gouvernance. Elliptic a vérifié 2,85 milliards de dollars gelés ou saisis, soit 44 % des 6,43 milliards qu’il recense, presque tout en USDT et USDC, d’après des données arrêtées vers 04 h 30 UTC le 31 octobre. Les autres bilans sont plus anciens ou plus étroits. TRM évoque environ 2,7 milliards de dollars au 30 octobre à 00 h 30 UTC, Binance a avancé 3 milliards la même nuit, d’après le suivi en direct de Cointelegraph, et CoinDesk fait état de plus de 2,4 milliards gelés par les seuls émetteurs de stablecoins. Selon Elliptic, Arbitrum et Optimism sont les deux seuls réseaux où tout ce qui a été volé a été mis à l’abri, dans les deux cas par la gouvernance, et Tether a commencé à placer sur liste noire certaines adresses réceptrices sur Tron.

Le deuxième groupe, ce sont les actifs eux-mêmes. Le bitcoin, l’ether et le XRP n’ont aucun émetteur à solliciter. Rien de ce qui a été volé sur Bitcoin, le XRP Ledger, Solana ou NEAR n’a été gelé, relève Elliptic, parce que « les actifs natifs n’ont pas d’émetteur capable de les geler ». Il chiffre à environ 3,21 milliards de dollars, aux prix du 31 octobre, ce que l’attaquant contrôle hors de portée de tout émetteur, dont 519 104 ETH et 18 270 BTC. Le décompte antérieur de TRM, daté du 30 octobre, retient plus de 420 000 ETH et 18 270 BTC, soit environ 2,4 milliards de dollars. Elliptic ajoute qu’aucun de ces bitcoins n’avait atteint un service à sa dernière mise à jour.

Le troisième groupe est celui que vise la demande du FBI : les services par lesquels les cryptomonnaies doivent passer pour redevenir dépensables. Plateformes d’échange, services de swap instantané, ponts et opérateurs de nœuds ne peuvent rien saisir sur un portefeuille que contrôle l’attaquant, mais ils peuvent refuser le flux, et la liste leur donne un référentiel de comparaison. Les sociétés d’analyse étiquettent les adresses et laissent le blocage à leurs clients. Elliptic indique que ses alertes ont déjà permis de geler une partie des fonds volés, et que plus de 3 milliards de dollars ne peuvent désormais être stoppés qu’à leur arrivée sur une plateforme ou un autre service.

Tout cela est volontaire, et le bilan de la dernière demande est mince. Aucun chiffre n’a été trouvé sur le nombre d’entreprises qui ont agi après les 51 adresses de Bybit, ni sur le nombre de ces adresses effectivement bloquées.

THORChain, premier test de la demande du FBI

THORChain permet d’échanger des cryptomonnaies natives d’une chaîne à l’autre, de l’ether contre du bitcoin par exemple, sans opérateur central. Ses échanges sont assurés par des opérateurs de nœuds, les opérateurs de THORNode de la notice. Les faits expliquent pourquoi ils sont nommés : ZachXBT a affirmé le 30 octobre, via le suivi en direct de Cointelegraph, que des fonds volés chez Binance et chez Bitget avaient été mêlés à une même adresse après être passés par THORChain.

Bybit a montré comment cela peut tourner. Une centaine d’opérateurs bénévoles faisaient alors fonctionner le réseau et toute action exigeait l’accord d’une majorité, rapportait DL News en mars 2025. Le 26 février 2025, jour de la notice du FBI, certains opérateurs ont suspendu les échanges sur Ethereum et d’autres ont annulé cette suspension en moins de 30 minutes, a raconté à ce média un développeur resté anonyme. Lazarus a ensuite blanchi environ 900 millions de dollars via THORChain dans la semaine suivante, selon l’analyse de la chercheuse Taylor Monahan, et les opérateurs restés actifs ont touché environ 5,5 millions de dollars de frais sur ces transactions.

John-Paul Thorbjornsen, de l’équipe de développement d’origine, avait alors expliqué à DL News que les opérateurs ne craignaient pas de poursuites et pouvaient installer un correctif pour filtrer les adresses sanctionnées. Il avait aussi dit qu’arrêter Lazarus aurait supposé de stopper tout le réseau, sans plus aucun échange. Ce correctif a deux limites. L’article ne précisait pas son degré de déploiement, et un filtre d’adresses sanctionnées ne couvrirait pas forcément une liste que l’OFAC n’a pas sanctionnée. L’avocat Yuriy Brisov, du cabinet D&A Partners, a déclaré à DL News que « la nature décentralisée » du réseau ne le met pas totalement à l’abri des conséquences juridiques. Le même article ne relevait aucun signe d’enquête visant THORChain ou ses opérateurs, dont beaucoup sont publiquement connus et installés aux États-Unis.

Jusqu’ici, la réponse de THORChain a porté sur les données. Le cofondateur Chad Barraford a indiqué que les opérateurs de THORNode ne détiennent rien de plus que ce qui est public et accessible en temps réel, et que les forces de l’ordre peuvent l’obtenir sans assignation, a rapporté TokenPost tard le 31 octobre, heure américaine, sans le citer. Il n’a pas dit si les opérateurs bloqueront ces adresses.

Un élément complique la situation ce week-end. Les échanges de THORChain sont déjà suspendus pour une autre raison, rapportée. Crypto Briefing a indiqué le 31 octobre qu’une réorganisation d’Ethereum avait conduit le réseau à rembourser deux fois le même dépôt de 10 ETH, ce qui a déclenché une pause d’urgence sur 12 des 13 chaînes. L’API de THORNode montrait toujours le trading à l’arrêt sur 11 chaînes sur 13 à la lecture de 05 h 56 UTC dimanche. THORChain n’a pas confirmé ce récit, et Crypto Briefing précise lui-même que le déclencheur était l’erreur de remboursement, non une action contre les fonds volés. Rien n’indique que la pause réponde au FBI, et elle ne dit rien de ce que feront les opérateurs à la reprise des échanges.

Ce qu’il faut suivre après la notice du FBI

Le premier point est l’OFAC. En 2022, l’attribution s’était accompagnée d’une inscription le 14 avril, de trois autres adresses Ethereum le 22 avril, puis, le 6 mai, de quatre portefeuilles supplémentaires et du mixeur de bitcoins Blender.io, soit une séquence à 8 puis 22 jours. Rien ne prouve qu’elle se reproduira. Si c’était le cas, la demande deviendrait une mesure juridique pour les personnes américaines.

Le deuxième est de savoir si les opérateurs de THORNode disent ou font quelque chose à la reprise des échanges, et si les services d’échange instantané rendent publics d’éventuels blocages. Le troisième est la liste elle-même : avec les dizaines de milliers d’adresses qu’attend Chainalysis, une liste du FBI de quelques centaines d’entrées prendra du retard sans mise à jour, et aucune n’est annoncée dans la couverture consultée.

Les 19 adresses bitcoin d’Elliptic sont le repère le plus net. Aucune n’avait touché un service à la dernière mise à jour, et la plupart détiennent 1 000 BTC chacune : un mouvement devrait se voir sans difficulté.