Piratage Binance : le blanchiment tourne en pilote automatique

L'exploit de 6,43 milliards de dollars qui a frappé Binance le 29 octobre 2026 est entré dans une phase nouvelle et opérationnellement significative. Les analystes blockchain d'Elliptic ont confirmé que les fonds distribués via le portefeuille Tron principal ne se déplacent pas à un rythme humain. Le schéma est cohérent avec un blanchiment automatisé, piloté par logiciel, qui fonctionne en continu, jour et nuit, à la vitesse de la machine. Pour les responsables de la conformité, les auditeurs et les directeurs financiers qui s'appuient sur des logiciels de comptabilité crypto avec filtrage à un instant donné, cela remet directement en cause les dispositifs de contrôle existants.

Ce qui s'est passé et ce que l'on observe

Le 29 octobre 2026, environ 6,43 milliards de dollars ont été volés à Binance sur onze blockchains. Sur ce total, 2,85 milliards de dollars ont été vérifiés comme gelés. Le reste est en mouvement. L'équipe Data and Intelligence d'Elliptic a commencé à tracer les flux de fonds immédiatement et a publié une liste de blocage gratuite et mise à jour en continu des adresses attribuées.

Le portefeuille de distribution Tron

Le portefeuille de distribution principal opérant sur Tron a envoyé environ 93,5 millions de dollars vers une centaine de portefeuilles, environ 150 au total. Il est réapprovisionné par lots d'environ 40 millions de dollars. Durant la nuit, le rythme s'est accéléré pour atteindre entre 3 et 7 millions de dollars par heure. La plus longue pause enregistrée dans l'activité a été de 46 minutes. Il n'y a eu aucune interruption nocturne. Les transferts entre portefeuilles sont généralement espacés de moins de 30 secondes, et les quelque 150 portefeuilles récepteurs transmettent généralement les fonds dans les deux minutes suivant leur réception.

THORChain et le routage automatisé

Environ 25 millions de dollars ont été acheminés via THORChain, à raison d'environ 100 swaps toutes les deux heures depuis minuit le 31 octobre. Les montants des swaps sont très répétitifs : une valeur spécifique est apparue 19 fois, signal clair d'une exécution scriptée et fondée sur des règles plutôt que d'une décision humaine. Lorsque des dépôts sur un pont ont été rejetés, le système a automatiquement renvoyé les fonds vers la même destination depuis des portefeuilles fraîchement créés, contournant le rejet sans délai apparent ni intervention manuelle.

Ce comportement se distingue opérationnellement des schémas de blanchiment observés lors des précédents vols crypto à grande échelle, où les mouvements de fonds tendaient à suivre les rythmes de travail humains, avec des ralentissements la nuit et le week-end. Les fonds de Binance sont déplacés par quelque chose qui ne dort pas.

Pourquoi le blanchiment automatisé change le calcul en matière de LBC/FT

Le passage à un blanchiment piloté par logiciel n'est pas un simple détail technique. Il a des conséquences directes sur l'adéquation des contrôles de conformité que la plupart des entités réglementées appliquent actuellement.

Le filtrage à un instant donné ne suffit plus

Un portefeuille qui passe un contrôle propre à 9 heures un lundi peut recevoir des fonds du cluster de l'exploit à 3 heures du matin le dimanche. Avec des transferts survenant à des intervalles inférieurs à la minute sur plus de 150 portefeuilles, le profil de risque d'une adresse de contrepartie donnée peut changer dans les heures qui suivent la réalisation d'un contrôle. Les listes de blocage statiques, revues chaque semaine ou même chaque jour, ne peuvent pas suivre ce rythme.

L'implication pour toute entreprise utilisant un logiciel de comptabilité crypto ou un logiciel de comptabilité d'actifs numériques doté de capacités de surveillance des transactions est claire : la fréquence de filtrage doit correspondre à la vitesse de la menace. Une surveillance continue, avec des recontrôles automatisés déclenchés par des événements au niveau du réseau, est la réponse opérationnellement appropriée. Un contrôle unique à l'entrée en relation ou un cycle de rapprochement mensuel est structurellement inadéquat face à un adversaire opérant à ce rythme.

L'exposition indirecte, le risque caché

Les systèmes de blanchiment automatisés sont spécifiquement conçus pour créer une distance entre les fonds volés et leur destination. Chaque saut par un portefeuille intermédiaire, et chaque swap via un pont inter-chaînes ou un agrégateur de DEX, ajoute une couche de séparation. Un portefeuille de contrepartie peut n'avoir jamais reçu de fonds directement de l'adresse de l'exploit, mais se trouver à deux ou trois sauts de celle-ci. Les entreprises qui ne filtrent que l'exposition directe passeront à côté. Un filtrage efficace doit tracer chaque saut intermédiaire jusqu'à l'acteur connu le plus proche, y compris les portefeuilles créés quelques minutes avant le transfert.

Pour les entreprises qui traitent les implications comptables et de conformité du piratage de Binance et de la suspension des retraits, cette dimension d'exposition indirecte ajoute une couche de complexité à toute évaluation interne des risques déjà en cours. La question n'est pas seulement de savoir si une adresse de contrepartie figure sur une liste de sanctions, mais si elle se situe au sein d'un cluster de portefeuilles qui reçoivent et transmettent des fonds entachés en temps réel.

Implications comptables pour les entreprises et les directeurs financiers

Au-delà de l'angle LBC/FT, il existe des considérations de bilan et de piste d'audit que les équipes comptables doivent traiter dès maintenant, et non à la clôture annuelle.

Dépréciation d'actifs et fonds gelés

Les 2,85 milliards de dollars de fonds gelés et vérifiés représentent des actifs immobilisés à la suite d'une action des forces de l'ordre ou de la plateforme. Toute entité détenant des créances sur ces actifs gelés, que ce soit en qualité de dépositaire, de créancier ou de contrepartie, fait face à des questions comptables relatives à la recouvrabilité, à la dépréciation et à la publication d'informations. Selon IFRS 9, les instruments financiers soumis à une incertitude significative quant à leurs flux de trésorerie nécessitent une réévaluation. Selon US GAAP, des considérations similaires s'appliquent au niveau de l'entité pour les actifs dont le contrôle a été matériellement compromis.

Fonds entachés reçus sans le savoir

Si le portefeuille d'une entreprise reçoit des fonds ensuite rattachés au cluster de l'exploit, une obligation de déclaration naît indépendamment de toute intention. La plupart des cadres LBC/FT, y compris la Recommandation 16 du GAFI et ses transpositions nationales, exigent des entreprises qu'elles déposent des déclarations d'activités suspectes (SAR) lorsqu'elles prennent conscience que les fonds reçus peuvent être le produit d'un crime. La nature automatisée et rapide de ce schéma de blanchiment signifie que les entreprises pourraient recevoir des fonds entachés sans aucun indice immédiat d'anomalie. Cela fait de la surveillance continue non seulement une bonne pratique, mais un prérequis pour respecter en temps voulu les obligations de déclaration de SAR.

Risque de contrepartie et dossiers d'entrée en relation client

Les équipes d'audit qui examinent des portefeuilles d'actifs numériques ou des positions de trésorerie devront confirmer que le filtrage des contreparties a été effectué, et documenté, à des intervalles appropriés tout au long de la période. Un dossier KYC mis à jour lors de l'entrée en relation en 2025 ne s'acquitte pas de cette obligation pour une transaction exécutée en octobre 2026. Les auditeurs travaillant selon ISA 240 (responsabilités de l'auditeur relatives à la fraude) examineront si les contrôles de l'entreprise étaient capables de détecter en temps voulu des transactions impliquant des fonds entachés. Des enregistrements de filtrage contemporains, horodatés, constituent la base de preuves de cette évaluation.

Mesures pratiques pour les équipes de conformité et de comptabilité

Actions immédiates

Premièrement, obtenez et chargez immédiatement la liste de blocage d'Elliptic dans les systèmes de filtrage. La liste de blocage est gratuite, ne nécessite aucun compte et est disponible au format CSV et via MCP. Elle est mise à jour en quasi-temps réel à mesure que de nouvelles adresses sont attribuées. Deuxièmement, réalisez un contrôle rétroactif de toutes les transactions exécutées depuis le 29 octobre 2026, couvrant à la fois la réception directe et l'exposition indirecte via des portefeuilles intermédiaires. Troisièmement, vérifiez si votre logiciel de tenue de comptabilité crypto ou de comptabilité d'actifs numériques actuel dispose de la capacité de surveillance continue activée, plutôt que de vous appuyer sur des exécutions par lots ou planifiées.

Contrôles permanents

Configurez des alertes automatisées qui déclenchent un recontrôle chaque fois qu'un portefeuille précédemment évalué reçoit de nouveaux afflux, en particulier de contreparties inconnues ou d'adresses nouvellement créées. Assurez-vous que le seuil d'alerte est calibré sur la vitesse de la menace : une fréquence d'alerte quotidienne n'est pas appropriée lorsque des transferts ont lieu toutes les 30 secondes. Conservez et horodatez toutes les sorties de filtrage, car elles feront partie de toute piste d'audit si une SAR doit être déposée ou si un régulateur demande des preuves de diligence raisonnable.

Le contexte plus large compte aussi. Le blanchiment automatisé ne se limite pas à cet événement. Comme nous l'avons exposé dans notre article précédent sur la manière dont les agents IA peuvent désormais appeler directement un mixeur crypto, l'infrastructure technique permettant des flux de fonds illicites à la vitesse de la machine devient plus accessible, et non moins. L'exploit de Binance est un exemple important et visible d'un schéma que les équipes de conformité doivent considérer comme un changement structurel de l'environnement de menace, et non comme un incident isolé.

Ce que les régulateurs attendront

Les régulateurs des juridictions membres du GAFI ont été clairs : les contrôles LBC/FT doivent être fondés sur les risques et proportionnés. Le mot clé est proportionné : des contrôles proportionnés au profil de menace d'hier peuvent ne plus l'être aujourd'hui. Lorsqu'un exploit de cette ampleur est publiquement connu, et lorsque le schéma de blanchiment automatisé a été décrit en détail par une société reconnue de renseignement blockchain, les régulateurs s'attendront raisonnablement à ce que les entités surveillées aient évalué leur exposition et adapté leurs contrôles en conséquence.

L'inaction après la divulgation publique d'un exploit et d'un schéma de blanchiment connus pourrait être traitée comme une défaillance de contrôle lors de tout examen de supervision ultérieur. La piste documentaire des prochains jours compte énormément. Les équipes de conformité doivent consigner quels contrôles ont été exécutés, quand, contre quelle version de la liste de blocage et quel en a été le résultat. Cette trace fait la différence entre démontrer un environnement de contrôle réactif et être incapable d'expliquer une lacune.

Questions fréquentes

Qu'est-ce qui distingue ce schéma de blanchiment des précédents piratages crypto ?

La différence principale réside dans le rythme et la continuité. Les précédents vols crypto à grande échelle montraient généralement des mouvements de fonds suivant les rythmes de travail humains, plus lents la nuit et le week-end. Dans le cas présent, le portefeuille de distribution principal a fonctionné sans aucune interruption nocturne, la plus longue pause enregistrée étant de seulement 46 minutes. Les montants répétitifs des swaps et le reroutage automatisé autour des dépôts sur pont rejetés indiquent une exécution pilotée par logiciel plutôt qu'un contrôle manuel.

Mon entreprise a-t-elle l'obligation de déposer une SAR si nous avons reçu des fonds indirectement de l'exploit ?

Dans la plupart des juridictions membres du GAFI, l'obligation de SAR est déclenchée lorsqu'une entreprise sait ou a des motifs raisonnables de soupçonner que des fonds sont le produit d'un crime, que la réception ait été directe ou indirecte. Si un contrôle rétroactif montre qu'un portefeuille avec lequel vous avez traité se situe dans le cluster de l'exploit, vous devez immédiatement solliciter un avis juridique. L'obligation est sensible au facteur temps : la plupart des régimes exigent un dépôt dans un délai défini à compter de la prise de connaissance.

Comment les fonds gelés issus de l'exploit doivent-ils être traités au bilan ?

Cela dépend de la nature de votre exposition. Si votre entreprise détient des actifs directement gelés par une plateforme ou une action des forces de l'ordre, vous devrez évaluer la recouvrabilité et déterminer si une charge de dépréciation est requise selon votre référentiel applicable (IFRS 9 ou US GAAP). Si votre exposition est indirecte, via une contrepartie ou un dépositaire, la question de la publication et de la classification dépend de l'importance de la créance et de la probabilité de recouvrement. Sollicitez l'avis d'un auditeur qualifié.

Une exécution quotidienne de la surveillance des transactions est-elle suffisante ?

Étant donné que, dans ce cas, les transferts surviennent aussi fréquemment que toutes les 30 secondes, une exécution quotidienne de la surveillance ne détectera pas une nouvelle exposition dans un délai opérationnellement utile. Une surveillance continue ou en quasi-temps réel, avec des alertes automatisées sur les changements de score de risque, est la réponse appropriée tant que cet exploit est actif. Une fois la menace immédiate retombée, une revue fondée sur les risques de votre fréquence de surveillance standard est recommandée.

Où puis-je obtenir la liste de blocage de l'exploit ?

Elliptic a publié une liste de blocage gratuite et mise à jour en continu des adresses attribuées à l'exploit. Elle ne nécessite aucun compte, est disponible au format CSV et via MCP, et est mise à jour à mesure que les enquêteurs tracent de nouvelles adresses. Étant donné que l'attaquant déplace encore des fonds, la liste de blocage doit être téléchargée et chargée à nouveau à chaque exécution d'un contrôle, plutôt que de se fier à une version obtenue à une date antérieure.

Source : Elliptic