Le FBI attribue officiellement à des pirates informatiques soutenus par l’État nord-coréen le vol record de cryptomonnaies commis contre la plateforme Binance. L’agence demande à l’industrie des cryptomonnaies de l’aider à empêcher le blanchiment des fonds dérobés.
- Le FBI attribue officiellement à la Corée du Nord le vol de 6,3 milliards de dollars contre Binance.
- Les pirates ont vidé des portefeuilles chauds en moins de 20 minutes.
- Binance affirme que l’attaque dépasse un seul ordinateur compromis.
- Le blanchiment semble automatisé et se poursuit via des centaines d’adresses.
L’attaque a eu lieu le 29 octobre. Les pirates ont vidé des portefeuilles chauds de Binance, des portefeuilles numériques connectés à internet, sur plusieurs blockchains, et ont transféré l’essentiel des fonds en un peu moins de 20 minutes. Binance estime l’impact à environ 6,3 milliards de dollars, ce qui en ferait le plus important vol de cryptomonnaies jamais recensé.
Dans les heures qui ont suivi, les sociétés d’analyse de la blockchain TRM Labs et Chainalysis ont relié l’attaque au groupe nord-coréen TraderTraitor. Binance avait d’abord indiqué que l’intrusion pouvait avoir commencé par l’ordinateur portable compromis d’un ingénieur DevOps, et s’était engagée à couvrir l’ensemble des pertes.
Une attribution formalisée par le FBI
Le FBI a publié son alerte le 31 octobre, soit deux jours après le vol. « Le FBI, avec les partenaires du USSS et de l’IRS-CI, a observé que des acteurs de TraderTraitor convertissent les actifs volés principalement en Ethereum (ETH). Il est prévu que ces actifs soient ensuite blanchis en étant convertis via des services DeFi et des échanges instantanés, en vue des étapes suivantes de blanchiment », indique l’agence.
L’alerte recense 608 adresses Ethereum, 19 adresses Bitcoin et une adresse Solana qui détiennent actuellement, ou ont détenu, le produit du vol. Avec le Secret Service et l’IRS-CI, le FBI demande aux opérateurs de nœuds THORChain et de nœuds RPC, aux échanges instantanés, aux services DeFi et aux sociétés d’analyse de la blockchain de refuser les transactions liées à ces adresses. L’agence avait déjà attribué au même groupe le vol de 1,5 milliard de dollars subi par Bybit en février 2025.
Binance évoque une attaque plus large qu’un seul ordinateur
Binance a depuis précisé ses premières constatations. Dans un communiqué, le co-directeur général Richard Teng affirme : « Notre enquête initiale suggérait que l’incident de sécurité pouvait impliquer un ordinateur portable compromis, mais notre enquête ultérieure a révélé des points de compromission supplémentaires. » Il décrit une attaque complexe, qui « n’a pas été menée par une seule personne », et indique que l’attaquant a utilisé une fonctionnalité de délégation d’Ethereum, l’EIP-7702, qui « n’est pas passée par nos contrôles d’approbation habituels ». Binance n’a pas encore détaillé ces points de compromission supplémentaires et promet une analyse technique post-mortem une fois les faits vérifiés. Selon Richard Teng, l’attaquant a également déployé un mécanisme d’autodestruction qui a effacé ses outils et ses traces, ce qui complique l’enquête. Les retraits ont repris par étapes à partir du 1er novembre, en commençant par le réseau Bitcoin. Dimanche en milieu de matinée, l’échange indiquait avoir traité environ 4,6 milliards de dollars de retraits et 1 milliard de dollars de dépôts. Il affirme avoir remplacé environ 95 % du montant volé avec ses propres fonds et achète le reste des jetons, moins liquides, sur le marché et de gré à gré.
Un blanchiment qui semble automatisé
La société Elliptic chiffre le vol à 6,43 milliards de dollars répartis sur 11 blockchains, dont 2,85 milliards de dollars ont été gelés ou saisis sur la chaîne. Selon ses dernières données, l’attaquant contrôle encore environ 3,25 milliards de dollars d’actifs qu’aucun émetteur ne peut geler, répartis sur plus de 800 adresses, dont environ 584 000 ETH, 18 327 BTC et 233 millions de XRP. Elliptic souligne que le blanchiment « ne dort pas », contrairement aux schémas de travail humains observés lors du vol contre Bybit.
Le principal portefeuille distribuant les fonds sur Tron a continué à effectuer des versements toutes les heures pendant plus d’une journée. Lorsqu’un pont inter-chaînes a refusé les dépôts, le système a redirigé l’argent vers la même destination via des portefeuilles nouvellement créés. Fin octobre, environ 196 millions de dollars avaient transité de ce portefeuille vers une quarantaine… vers quelque 200 autres portefeuilles, THORChain constituant la principale voie de sortie, à hauteur d’environ 31 millions de dollars. Elliptic ne peut pas établir si l’automatisation repose sur des agents d’IA ou sur des scripts classiques, et s’attend à un blanchiment étalé sur plusieurs mois, comme après le vol contre Bybit. Chainalysis relève de son côté des schémas de blanchiment indiquant une automatisation, notamment des milliers de transactions en peu de temps et de nombreuses adresses récentes dont le premier transfert était exactement de 1 TRX.
