Comment la Corée du Nord blanchit le vol de 6,4 milliards de dollars chez Binance

Les fonds volés à Binance le 29 octobre sont blanchis à la vitesse de la machine, et toute entreprise qui touche aux flux d'échange a désormais besoin d'un logiciel de comptabilité crypto capable de tracer les contreparties, de signaler les expositions et de conserver une piste d'audit. La société d'analyse blockchain Elliptic rapporte qu'en moins de quatre jours, l'attaquant a utilisé environ 12 000 portefeuilles sur 11 blockchains et plus de 40 000 transactions. Environ 3,24 milliards de dollars se trouvent encore dans des adresses liées au vol, ce qui laisse une large fenêtre d'exposition pour les équipes financières.

Ce qui s'est passé et où se trouve l'argent maintenant

Le 29 octobre, 6,43 milliards de dollars en crypto-actifs ont été volés à Binance, l'une des plus grandes plateformes d'échange au monde. Les fonds étaient répartis sur 11 blockchains différentes. Binance a indiqué que l'attaque a commencé par l'ordinateur portable compromis d'un ingénieur. Le vol lui-même s'est déroulé de 20h05 à 23h56 UTC. Le FBI a ensuite attribué l'attaque à TraderTraitor et publié les adresses de l'attaquant. La mise à jour d'Elliptic a été actualisée pour la dernière fois le 2 novembre 2026, et elle avertit que la situation évolue rapidement et peut être incomplète.

Les chiffres clés

Les chiffres d'Elliptic donnent un aperçu utile de la situation selon ses dernières données on-chain :

Elliptic indique qu'un montant négligeable a probablement été encaissé jusqu'à présent. Les fonds qui n'ont pas bougé sont très probablement encore détenus par la Corée du Nord. Ceux en cours de blanchiment pourraient déjà être entre les mains de réseaux de blanchiment chinois, que la Corée du Nord a déjà utilisés par le passé.

Pourquoi les stablecoins ont compté en premier

Étant donné que 54 % du butin était en stablecoins tels que USDT et USDC, et que des émetteurs comme Tether et Circle peuvent les geler, la priorité absolue de l'attaquant était de les échanger contre des actifs non gelables, comme ETH et TRX. Sur Ethereum, Tether a gelé les USDT volés 37 minutes après leur arrivée. Avant cela, l'attaquant a échangé 434 millions d'USDT contre de l'ETH sur des échanges décentralisés comme Uniswap, et a emprunté 19 762 ETH sur Aave en garantie de 59,9 millions d'USDT supplémentaires. Sur Tron, il a échangé 234 millions d'USDT contre du TRX sur SunSwap avant que Tether ne gèle le reste. Circle a gelé l'intégralité des 823 millions d'USDC volés avant que la moindre partie n'ait été échangée.

Comment le blanchiment s'est déroulé

Elliptic décrit une opération par étapes. Aucune des techniques individuelles n'est nouvelle, mais combinées, elles rendent la traçabilité beaucoup plus difficile.

Tron : fractionnement et ponts

Après la première heure, presque rien n'a bougé sur Tron pendant environ cinq heures. Puis, à 02h19 UTC le 30 octobre, un unique portefeuille de distribution a commencé à envoyer 684,6 millions de TRX en petits montants vers des centaines de nouvelles adresses. Les fonds se sont répartis sur environ 7 700 adresses. En deux heures et demie, l'attaquant a effectué ses premiers transferts via six ponts inter-chaînes différents, principalement pour des montants de test. La quasi-totalité des TRX a été payée en ETH sur Ethereum, et au moins 147 millions de dollars ont été transférés hors de Tron jusqu'à présent.

Le 31 octobre, l'attaquant a ajouté des routes. À partir de 03h36 UTC, une partie des TRX a été échangée contre du USDD, un stablecoin qui se présente comme résistant à la censure. À partir de 05h18 UTC, une adresse a placé 128 millions de TRX dans un coffre de prêt JustLend, en déposant depuis une adresse et en retirant vers 16 nouvelles, sans transfert direct les reliant. Le portefeuille de distribution a également accéléré, atteignant jusqu'à 37 millions de TRX par heure. Son dernier transfert a eu lieu à 05h33 UTC le 1er novembre, après 1 113 transferts en 51 heures.

Ethereum, Bitcoin et autres chaînes

Sur Ethereum, les ETH arrivants ont été transférés vers des adresses nouvellement créées qui sont ensuite restées inactives. Environ 68 700 ETH sont désormais répartis sur environ 850 adresses plus petites, la plupart détenant entre 10 et 100 ETH. Les neuf plus grandes adresses détiennent 89 % des ETH de l'attaquant et n'ont pas bougé depuis le 30 octobre. Les 18 270 BTC volés ont été répartis sur 19 adresses et n'ont pas bougé depuis.

Depuis le 1er novembre, d'autres chaînes ont commencé à bouger. Des NEAR ont été déplacés vers de nouveaux comptes à partir de 07h00 UTC. Une partie des ETH stationnés a recommencé à bouger par lots d'environ 10 ETH. Environ la moitié des SOL est allée vers une nouvelle adresse. Le 2 novembre, l'intégralité des 233 millions de XRP a été envoyée vers six nouvelles adresses, où elle se trouve toujours.

Le premier mixage

Pour la première fois, une partie des fonds volés a été mélangée. À partir de 05h55 UTC le 1er novembre, des bitcoins provenant des fonds Tron sont entrés dans des coinjoins utilisant WabiSabi, le protocole derrière Wasabi Wallet et des outils similaires. À 06h02 UTC le 2 novembre, environ 28 BTC (2,2 millions de dollars) avaient été passés par 18 coinjoins, chacun avec entre 101 et 491 entrées. Un coinjoin combine les bitcoins de nombreux utilisateurs en une seule transaction, ce qui brise le lien visible entre les pièces entrantes et sortantes. Elliptic s'attend, sur la base du cas Bybit, à ce que l'attaquant échange des ETH contre des bitcoins puis tente d'encaisser via des courtiers OTC et des plateformes d'échange.

Automatisation, pas nécessairement IA

La vitesse a suscité des spéculations sur l'implication d'agents IA pour déplacer les fonds. Selon Elliptic, les preuves pointent vers une automatisation classique : minutage fixe, montants définis, tentatives aveugles et nouvelles tactiques introduites par étapes à quelques heures d'intervalle. Il y a aussi eu des pauses qui ressemblent à des rythmes de travail humains. Pour les praticiens, le point pratique reste le même dans les deux cas : l'ampleur seule indique l'usage de logiciels, et le traçage manuel ne suivra pas.

Ce que cela signifie pour les entreprises et les directeurs financiers

Pour un lecteur B2B, le risque principal est l'exposition indirecte. Répartir les fonds sur des milliers d'adresses signifie que de petits dépôts d'apparence ordinaire peuvent remonter au vol. Elliptic note que les montants plus faibles attirent moins l'attention des plateformes qui filtrent les fonds entrants, et peuvent être blanchis par lots au rythme choisi par l'attaquant. Un client, une contrepartie ou un bureau OTC pourrait recevoir des fonds entachés sans signe évident d'alerte.

Implications comptables et d'audit

Un bon logiciel de comptabilité d'actifs numériques et un logiciel de tenue de livres crypto doivent permettre à une équipe de faire quatre choses rapidement :

• Enregistrer la source on-chain de chaque transfert entrant, avec les adresses de portefeuille et les hachages de transaction liés aux écritures comptables.
• Réexaminer les reçus historiques par rapport aux listes d'adresses nouvellement publiées, étant donné que les attributions et les ensembles d'adresses ne cessent de croître.
• Documenter la décision lorsqu'un reçu signalé est retenu, retourné ou déclaré, afin qu'un auditeur puisse suivre le raisonnement.
• Isoler les soldes affectés pour information si les actifs d'une contrepartie sont gelés ou si ses retraits sont limités.

Si votre entreprise détient des soldes chez une plateforme affectée, ou prête à une telle plateforme, la question de la dépréciation, de la restriction et de la communication vous incombe, à vous et à votre auditeur. Cet article ne définit pas de traitement, car cela dépend de faits et de cadres que la source ne couvre pas. Ce que la source confirme, c'est la nécessité de registres propres et horodatés de chaque position et transfert, ce qui est exactement ce qu'un logiciel de comptabilité crypto est censé fournir.

Points AML et fiscaux

Du point de vue AML, la vitesse du blanchiment réduit le temps de réaction des entreprises. Notre couverture connexe détaille ce que les entreprises doivent faire maintenant après l'attribution à TraderTraitor et comment le blanchiment automatisé modifie les attentes en matière de surveillance. Les entreprises doivent vérifier que le filtrage couvre les adresses sur les 11 chaînes concernées, et pas seulement Ethereum et Bitcoin, et que les sauts via des ponts et des coffres de prêt sont suivis plutôt que traités comme des impasses.

Côté fiscal, un comptable conseillant un client ayant reçu des fonds ultérieurement liés au vol doit documenter comment et quand les fonds sont arrivés, la contrepartie et les mesures prises une fois le lien connu. Savoir si de tels reçus affectent les déclarations du client relève des règles de l'autorité fiscale compétente et d'un avis juridique, et la source n'aborde pas ce point.

Ce que les déclarants individuels doivent faire

Si vous êtes un particulier détenant des cryptos sur une grande plateforme d'échange, vous n'êtes pas à l'origine de cela, et rien dans la source ne suggère que les clients ordinaires doivent modifier leurs déclarations fiscales pour cette raison. Les étapes pratiques concernent les registres.

Tenez vos propres registres

• Exportez votre historique de transactions depuis chaque plateforme et portefeuille que vous utilisez, et conservez-le dans un endroit que vous contrôlez.
• Notez les dates des dépôts, retraits ou échanges que vous avez effectués autour de l'incident, surtout si des retraits ont été retardés.
• Soyez prudent lorsque vous recevez des cryptos de sources inconnues, y compris d'acheteurs OTC. Les fonds liés à un vol connu peuvent être signalés par la plateforme sur laquelle vous les déposez.

Une bonne tenue de livres facilite grandement la démonstration de l'origine de vos pièces si une plateforme vous le demande. Si vous utilisez un outil de suivi, vérifiez qu'il enregistre la source on-chain de chaque transfert, et pas seulement le montant et la date.

Prochaines étapes pratiques cette semaine

Pour les entreprises

Chargez les adresses publiées par le FBI et toute liste de blocage de fournisseur dans votre filtrage. Notre couverture de la liste de blocage gratuite de l'exploit Binance est un point de départ. Réexaminez les reçus entrants récents par rapport aux listes, confirmez votre politique de rétention et d'escalade des fonds signalés, et briefez l'équipe mission sur qui valide. Parce qu'Elliptic indique que la situation évolue et que sa description peut être incomplète, prévoyez de répéter le filtrage à mesure que de nouvelles adresses sont publiées.

Pour les particuliers

Sauvegardez vos registres, limitez vos dépôts à des sources que vous pouvez identifier et évitez de courir après des pièces à prix réduits proposées par des inconnus. Si une plateforme vous interroge sur l'origine des fonds, répondez avec des documents plutôt qu'avec des suppositions.

Foire aux questions

Quelle part de l'argent volé à Binance a été récupérée ?

Elliptic rapporte que 2,85 milliards de dollars ont été gelés ou saisis. Environ 3,24 milliards de dollars restent dans des adresses liées au vol, principalement des ETH et des BTC, et un montant négligeable a probablement été encaissé.

Pourquoi l'attaquant a-t-il d'abord échangé les stablecoins ?

Des émetteurs comme Tether et Circle peuvent geler les stablecoins. Sur les 6,43 milliards de dollars pris, 54 % étaient en stablecoins, donc l'attaquant s'est rapidement tourné vers des actifs comme ETH et TRX qui ne peuvent pas être gelés.

Est-ce l'IA qui effectue le blanchiment ?

Elliptic indique que les preuves pointent vers une automatisation conventionnelle, comme des minutages fixes, des montants définis et des tentatives aveugles, ainsi que des pauses qui ressemblent à des rythmes de travail humains. Elle ne conclut pas à l'implication d'agents IA.

Comment un logiciel de comptabilité crypto peut-il aider face à ce type d'événement ?

Il peut relier chaque transfert entrant à sa source on-chain, permettre un réexamen par rapport aux listes d'adresses mises à jour et conserver une piste documentée des décisions pour les auditeurs. Il soutient votre jugement mais ne remplace pas l'examen de conformité.

Les utilisateurs ordinaires de plateformes d'échange doivent-ils modifier leurs déclarations fiscales ?

La source ne le dit pas. Les particuliers doivent conserver des registres complets de transactions et vérifier les règles de leur juridiction ou consulter un conseiller qualifié s'ils ont des préoccupations spécifiques.

Ce qu'il faut en retenir

L'étape suivante, si la comparaison d'Elliptic avec Bybit tient, est la conversion en bitcoin et l'encaissement via des courtiers OTC et des plateformes d'échange. C'est là que les entreprises et les particuliers sont les plus susceptibles de rencontrer ces fonds, donc les registres que vous tenez maintenant comptent. Pour un contexte plus large, consultez notre page pilier sur le reporting de conformité crypto.

Source : Elliptic