Des pirates nord-coréens blanchissent 242 millions de dollars de fonds Binance via Tron
Dans les 48 heures suivant le vol, le groupe TraderTraitor de Corée du Nord avait déjà déplacé 242 millions de dollars des fonds dérobés à Binance sur la blockchain Tron et à travers un ensemble de ponts inter-chaînes, selon l'analyste onchain SomaXBT. L'ampleur et la rapidité de l'opération ont suscité une intervention directe du FBI, contraignant les équipes de conformité à réexaminer dès maintenant leur exposition à l'infrastructure de routage DeFi et leurs obligations au titre de la législation américaine sur les sanctions.
Ce qui s'est passé : le vol et l'itinéraire immédiat de blanchiment
Les attaquants ont dérobé environ 6,3 milliards de dollars à Binance lors de l'incident initial. Sur Tron seul, ils détenaient initialement environ 628 millions de dollars. Tether a agi rapidement, gelant 378,7 millions d'USDT sur deux portefeuilles d'attaquants, ce qui laissait au groupe environ 249 millions de dollars encore mobilisables sur Tron. Sur ce montant, 242 millions de dollars ont été blanchis en deux jours, selon l'analyse onchain de SomaXBT.
La décomposition des 242 millions de dollars
La ventilation des 242 millions de dollars par l'analyste fait apparaître trois grandes destinations. Environ 194 millions de dollars ont quitté Tron entièrement via des ponts et des services de swap. Environ 26 millions de dollars sont restés sur le réseau Tron au moment de la publication. Les 22 millions de dollars restants ont été absorbés par les frais, le slippage et l'évolution défavorable des prix lors de l'exécution.
Quatre services inter-chaînes ont collectivement acheminé environ 140 millions de dollars des sorties hors de Tron. Relay a traité la part la plus importante avec 48 millions de dollars, recevant 37,64 millions d'USDT et 39,28 millions de TRX sur 735 dépôts. THORChain a traité 44 millions de dollars, les attaquants y ayant envoyé 185,1 millions de TRX et 3,83 millions d'USDT en 2 697 dépôts individuels. Chainflip a reçu 49,47 millions d'USDT sur 571 dépôts, bien qu'une grande partie de ces swaps ait échoué et que les fonds aient été remboursés vers de nouveaux portefeuilles Tron avant d'être soumis à nouveau. Symbiosis a traité environ 16 millions de dollars sur 1 367 dépôts plus petits de TRX. Un montant supplémentaire de 41,7 millions de dollars a transité par Bitget Wallet, dont la destination finale n'avait pas été confirmée au moment de la publication.
Du côté récepteur des flux THORChain, le protocole a versé 17 019 ETH à 170 adresses Ethereum et 53,25 BTC à 20 adresses Bitcoin. Les pirates ont absorbé environ 12 % de coûts en frais et slippage sur l'ensemble de ces transactions. Les interfaces front-end ont perçu environ 145 800 RUNE, soit près de 95 000 dollars, en commissions d'affiliation sur ces mêmes flux.
Le pivot vers Solana
Séparément, dimanche, les attaquants ont commencé à convertir 970 522 SOL, d'une valeur d'environ 95,9 millions de dollars, en Bitcoin via des swaps opérés par Relay. Le portefeuille Solana des pirates, la seule adresse Solana publiée par le FBI, a déplacé 486 970 SOL dans l'heure précédant une publication du compte de surveillance blockchain Lookonchain tôt le dimanche matin. Les swaps se sont poursuivis après que le FBI avait déjà publié l'adresse du portefeuille, signe de la confiance du groupe dans la rapidité de son exécution face à celle de toute réponse.
L'attribution du FBI et la demande de blocage
Le FBI a formellement attribué le vol à TraderTraitor samedi dans un avis publié conjointement avec le U.S. Secret Service et l'IRS Criminal Investigation. L'avis décrit TraderTraitor comme un groupe parrainé par l'État nord-coréen, actif depuis au moins 2020, qui vole et blanchit des cryptomonnaies pour financer le régime nord-coréen. L'industrie de la cybersécurité suit ce groupe sous plusieurs désignations, dont Lazarus Group, APT38 et BlueNoroff. Le FBI avait déjà attribué le piratage de 1,5 milliard de dollars de Bybit en février 2025 au même groupe.
Ce que le FBI a publié et qui était visé
Le FBI a publié une liste de 608 adresses Ethereum, 19 adresses Bitcoin et une adresse Solana liées à l'attaque. Fait notable, aucune adresse Tron n'apparaissait sur la liste, bien que Tron ait été la principale chaîne de blanchiment. L'agence a exhorté les opérateurs de THORNode de THORChain, les opérateurs de nœuds RPC, les plateformes d'échange instantané, les services DeFi et d'autres fournisseurs à bloquer immédiatement les transactions liées à ces adresses. Les données de Mempool.space ont confirmé que les 18 270 BTC se trouvaient toujours dans les 19 adresses Bitcoin de la liste du FBI au moment de la publication.
Chad Barraford, cofondateur technique de THORChain, a répondu samedi soir, confirmant que les opérateurs de THORNode ne disposaient d'aucune information au-delà de ce qui était déjà public onchain. Il n'a pas précisé si les opérateurs de nœuds se conformeraient à la demande de blocage du FBI. Une réorganisation Ethereum sans lien avec l'affaire, survenue samedi, avait déjà déclenché une pause d'urgence sur THORChain après un double remboursement d'un dépôt de 10 ETH. Cette pause a incidemment interrompu les échanges sur 10 des 13 chaînes connectées au protocole, dont Tron, Ethereum et Bitcoin, ce qui a temporairement bloqué les pirates en même temps que tous les autres utilisateurs. Les échanges depuis Tron étaient interrompus depuis environ midi samedi et l'étaient toujours dimanche après-midi.
La mécanique de l'opération
La société d'analyse blockchain Elliptic a fourni certaines des analyses structurelles les plus claires sur la manière dont le blanchiment a été exécuté. Le principal portefeuille de distribution Tron des pirates a effectué des paiements toutes les heures pendant 31 heures consécutives, sans jamais s'interrompre plus de 46 minutes. Les mêmes montants de swap revenaient à plusieurs reprises dans les dépôts THORChain, un montant spécifique apparaissant 19 fois. Lorsqu'un pont rejetait un dépôt, des scripts automatisés renvoyaient immédiatement les fonds depuis de nouveaux portefeuilles vers la même adresse de destination.
Tom Robinson, cofondateur d'Elliptic, a conclu que l'activité ne semble pas impliquer d'agents d'IA. Il a décrit le schéma comme « répétitif et statique : les mêmes montants, le même rythme, les mêmes itinéraires, heure après heure », et l'a attribué à des opérateurs humains utilisant des scripts pour la couche d'exécution répétitive. Les transactions de test et les approvisionnements en montants ronds indiquaient une prise de décision humaine au-dessus de l'automatisation. C'est une distinction importante pour les équipes de conformité qui évaluent le modèle de menace : la sophistication réside dans la préparation et le volume, non dans une obfuscation nouvelle pilotée par l'IA.
Lors du piratage de Bybit en février 2025, Elliptic avait noté que le blanchiment suivait des schémas compatibles avec des horaires de travail humains. L'opération Binance ne montre aucun rythme de ce type, avec une exécution continue 24 heures sur 24.
Le gel des stablecoins et les limites de l'intervention des émetteurs
Elliptic a vérifié que 2,85 milliards de dollars des fonds volés avaient été soit gelés, soit saisis, soit environ 44 % des 6,43 milliards de dollars qu'elle compte comme volés. De ce montant gelé, 94 % sont constitués de stablecoins. L'asymétrie est frappante : aucun fonds n'a été gelé sur Bitcoin, le XRP Ledger, Solana ou NEAR. Environ 3,25 milliards de dollars, dont 18 327 BTC et 233 millions de XRP, se trouvent dans des actifs où aucun émetteur central ne dispose d'un pouvoir de gel. Chainalysis a par ailleurs rapporté que les pirates déposaient des stablecoins dans des protocoles DeFi sur Tron en échange de jetons de certificat de dépôt, qui ne peuvent pas être gelés par un émetteur, une démarche délibérée pour sortir de la portée des émetteurs de stablecoins.
Implications en matière de conformité AML pour les entreprises et les praticiens
L'opération de blanchiment Binance cristallise plusieurs obligations de conformité que les entreprises liées à la DeFi et leurs conseillers comptables doivent traiter dès maintenant.
Obligations OFAC et FinCEN
L'avis du FBI, publié avec le Trésor, déclenche des obligations immédiates de filtrage pour toute personne américaine ou entreprise ayant un lien avec les États-Unis. Les 628 adresses publiées par le FBI constituent une liste d'adresses sanctionnées de facto à des fins opérationnelles, avant même toute mise à jour formelle d'une désignation OFAC. Toute entreprise dont l'infrastructure, y compris les routeurs de swap, les contrats intelligents de ponts ou les portefeuilles sous garde, a traité des transactions depuis ou vers ces adresses devrait examiner ses obligations de déclaration d'activité suspecte (SAR) au titre du Bank Secrecy Act. Ne pas déclarer lorsqu'il existe des motifs raisonnables de soupçonner des produits d'infraction, y compris ceux d'un groupe parrainé par un État désigné, constitue en soi une infraction fédérale.
L'aveu public de Symbiosis selon lequel son filtrage présente des « lacunes » face à des « tentatives rapides et sophistiquées » est une reconnaissance franche que de nombreux protocoles DeFi n'ont pas été conçus avec une surveillance des transactions de niveau BSA à l'esprit. Pour les équipes de conformité qui conseillent des plateformes DeFi ou des entreprises natives de la crypto interagissant avec ces protocoles, cet aveu est un indicateur de risque important. Toute entreprise exposée aux flux de Symbiosis, Relay, THORChain ou Chainflip pendant la fenêtre de blanchiment de 48 heures devrait mener sans délai un examen rétrospectif au regard de la liste d'adresses du FBI.
Considérations comptables et de tenue de registres
Pour les cabinets comptables et les directeurs financiers qui tiennent des comptes d'actifs crypto, la première question est de savoir si des positions au bilan, des créances sur contreparties ou des actifs sous garde présentent un lien de provenance avec la chaîne de blanchiment. Avec un logiciel de comptabilité crypto robuste qui ingère les données de transactions onchain, les entreprises peuvent tracer les entrées au regard de la liste d'adresses publiée par le FBI et produire une piste d'audit documentant que l'examen a été effectué et son résultat. Cette documentation compte : en cas d'enquête réglementaire, démontrer un filtrage proactif fait la différence entre coopération et culpabilité.
Pour toute entreprise ayant reçu des fonds désormais traçables jusqu'aux adresses des attaquants, même via des sauts intermédiaires, se pose une question de comptabilisation. Ces actifs peuvent devoir être traités comme soumis à une rétention juridique ou à un trust constructif plutôt que librement disponibles, dans l'attente d'un avis juridique. Selon ASC 350 ou IAS 38, un actif dont le titre est juridiquement contesté ne peut pas être simplement comptabilisé à la juste valeur sans information à fournir.
Diligence raisonnable sur les protocoles DeFi
L'appel direct du FBI aux opérateurs de nœuds, plutôt qu'à un intermédiaire régulé, reflète la structure décentralisée de THORChain. Mais cette structure n'exonère pas les opérateurs de nœuds d'une analyse de responsabilité. L'évaluation des risques de financement illicite en DeFi publiée par le Trésor américain en 2023 a identifié les protocoles DeFi comme un vecteur prioritaire de blanchiment d'argent. Les opérateurs de nœuds qui sont des personnes américaines et qui continuent de traiter des transactions provenant d'adresses listées par le FBI après un avis public peuvent s'exposer au titre de l'International Emergency Economic Powers Act, selon que le Trésor formalise ou non la liste d'adresses en désignation OFAC.
Les entreprises qui utilisent THORChain, Relay, Chainflip ou un routage inter-chaînes similaire dans leurs produits ou les flux de travail de leurs clients devraient examiner leurs conditions de service, leurs propres programmes de conformité OFAC et si la structure de gouvernance du protocole crée un lien quelconque avec une personne américaine qui place l'ensemble du protocole sous juridiction américaine. C'est un territoire juridique évolutif, et l'avis du FBI publié samedi montre clairement que l'agence surveille.
Le schéma plus large des opérations crypto liées à la RPDC est cohérent avec les actions antérieures du Trésor. Un examen des sanctions du Trésor contre les programmes crypto des travailleurs IT nord-coréens montre que le gouvernement américain élargit méthodiquement son cadre de désignation pour couvrir l'ensemble de l'écosystème de blanchiment, et pas seulement les acteurs du vol initial.
Ce que les équipes de conformité doivent faire cette semaine
Le rythme de cette opération, 242 millions de dollars déplacés en 48 heures sur des centaines de portefeuilles, signifie que les fenêtres d'examen rétrospectif sont courtes avant que les fonds ne soient davantage obscurcis. Les mesures pratiques pour les équipes de conformité et de comptabilité comprennent les points suivants.
Actions de filtrage immédiates
Filtrez tous les enregistrements de transactions au regard des 628 adresses publiées par le FBI. Si votre logiciel de comptabilité d'actifs numériques se connecte directement aux données onchain, effectuez une correspondance rétroactive sur les 72 dernières heures et documentez le résultat. Toute correspondance, directe ou à un saut de distance, doit être escaladée à votre responsable AML et à votre conseil juridique avant tout mouvement supplémentaire des actifs concernés.
Mettez à jour immédiatement votre liste de blocage interne pour y inclure les adresses publiées par le FBI. N'attendez pas une mise à jour formelle d'une désignation OFAC ; l'avis du FBI, du Secret Service et de l'IRS-CI constitue un motif suffisant pour un gel précautionneux dans l'attente d'un examen juridique.
Si votre entreprise exploite ou conseille un protocole DeFi ou un pont inter-chaînes, évaluez si vous avez une exposition de personne américaine parmi vos opérateurs de nœuds, développeurs ou détenteurs de jetons de gouvernance. Cette évaluation influe directement sur la question de savoir si la compétence de l'OFAC s'attache au traitement de ces fonds par votre protocole.
Examinez vos obligations de déclaration SAR. Selon les directives de FinCEN, une SAR doit être déposée dans les 30 jours suivant la détection d'une transaction suspecte, ou 60 jours si un délai supplémentaire est nécessaire pour identifier un suspect. L'avis du FBI fournit des motifs raisonnables de soupçon. Le compte à rebours a commencé.
Questions fréquentes
L'avis du FBI crée-t-il des obligations juridiques immédiates pour les protocoles DeFi ?
L'avis lui-même n'est pas une désignation formelle de l'OFAC, mais c'est un avertissement public des forces de l'ordre indiquant que des adresses spécifiques sont liées à un groupe parrainé par l'État nord-coréen. Toute personne américaine ou entreprise ayant un lien avec les États-Unis qui traite des transactions impliquant ces adresses après la publication de l'avis s'expose au titre de l'IEEPA et du BSA. Un conseil juridique doit être consulté avant toute décision de poursuivre le traitement ou de bloquer.
Tether a gelé un important montant d'USDT. Pourquoi cela n'a-t-il pas pu arrêter le blanchiment ?
Tether peut geler les USDT détenus dans les portefeuilles qu'il peut identifier, mais le gel est réactif. Au moment où il a agi, les attaquants avaient déjà commencé à déplacer des fonds via des ponts qui convertissent les USDT en actifs non gelables tels que l'ETH, le BTC et le TRX. Chainalysis a noté que les pirates échangeaient également des stablecoins contre des jetons de certificat de dépôt sur des protocoles DeFi basés sur Tron, précisément pour sortir de la portée de tout gel émis par un émetteur.
Que doit faire un directeur financier si son entreprise a reçu des fonds susceptibles d'être à un saut d'une adresse d'attaquant ?
Arrêter, documenter et obtenir un avis juridique avant de déplacer les actifs. Ne les traitez pas comme librement disponibles. En droit américain, le fait de traiter en connaissance de cause avec des produits d'un vol commis par un groupe désigné peut engager une responsabilité civile ou pénale. Le traitement comptable doit refléter l'incertitude juridique : déterminez si une information sur un passif éventuel est nécessaire et si l'actif doit être isolé dans l'attente d'une résolution.
Pourquoi Chainflip n'a-t-il pas pu bloquer les fonds même après avoir bloqué les pirates de Bybit ?
Les sources rapportent que de nombreux swaps Chainflip ont échoué pour les fonds du piratage Binance, mais que les swaps échoués ont été automatiquement remboursés vers de nouveaux portefeuilles Tron et soumis à nouveau. Chainflip avait mis en place des blocages après Bybit, mais l'utilisation par les attaquants de nouveaux portefeuilles à chaque nouvelle soumission signifiait que la liste de blocage était dépassée par la génération de portefeuilles. Cela illustre une faiblesse connue du blocage fondé sur les adresses : il exige des mises à jour de liste quasi en temps réel pour être efficace face à un adversaire automatisé et bien doté en ressources.
Est-ce pertinent pour les entreprises non américaines ?
Oui. La règle de voyage du GAFI et les lois AML locales de l'UE, du Royaume-Uni et de la plupart des juridictions de la zone Asie-Pacifique exigent des VASP qu'ils filtrent les transactions au regard des listes de sanctions et déclarent les activités suspectes. Une attribution à la RPDC par le FBI, combinée aux sanctions existantes du Conseil de sécurité de l'ONU contre la Corée du Nord, crée des obligations pour les entités régulées dans le monde entier, pas seulement celles soumises à la juridiction américaine. Les entreprises de l'UE devraient également tenir compte de leurs obligations au titre du règlement UE 2016/1686 et du régime consolidé de sanctions contre la RPDC.
Source : The Block