Piratage de Binance : repérer les expositions avec un logiciel de comptabilité crypto

Si votre société détient des cryptoactifs, les quelque 6,43 milliards de dollars volés à Binance le 29 octobre constituent désormais une question d'exposition réelle pour vos équipes financières et de conformité, et non plus un simple titre de presse. Les fonds volés sont blanchis à grande vitesse, plus de 3 milliards de dollars restent non gelés, et les personnes les mieux placées pour repérer les entrées tachées sont celles qui consultent vos registres chaque jour. Cela fait de votre logiciel de comptabilité crypto, et de la discipline de données qui le sous-tend, une composante de l'environnement de contrôle.

Ce qui s'est passé et pourquoi les équipes financières sont concernées

Les faits

Le 29 octobre, des cryptoactifs d'une valeur d'environ 6,43 milliards de dollars ont été dérobés sur la plateforme d'échange Binance. Peu après, la société d'analyse blockchain Elliptic a attribué le vol au groupe cybercriminel nord-coréen TraderTraitor, et le Federal Bureau of Investigation (FBI) américain l'a depuis attribué au même groupe. Les voleurs utilisent des techniques automatisées de blanchiment pour déplacer les fonds.

Les émetteurs de stablecoins Tether et Circle ont déjà gelé des stablecoins d'une valeur d'environ 2,8 milliards de dollars, soit environ 44 % du total volé. Cela laisse encore plus de 3 milliards de dollars non gelés, et les pirates s'emploient déjà à en tirer profit. La source s'attend à ce que ce processus se poursuive dans les jours et semaines à venir.

Qui est exposé

Le risque ne se limite pas aux plateformes d'échange. Les prestataires de services sur actifs virtuels (VASP), les émetteurs de stablecoins, les institutions financières et autres sociétés qui manipulent des cryptoactifs pourraient tous recevoir des produits blanchis. Pour un cabinet comptable, un auditeur ou une équipe de trésorerie d'entreprise, la question pratique est simple : l'un des portefeuilles que nous détenons, recevons ou déclarons a-t-il pu être en contact avec ces fonds ?

Cette question concerne autant la finance que la conformité. Les encaissements de trésorerie, les dépôts clients, les règlements de gré à gré et les paiements de contrepartie apparaissent d'abord dans les livres. Si la couche de tenue de comptes ne peut pas montrer l'origine d'une entrée, l'équipe de conformité filtre à l'aveugle.

L'angle des sanctions

TraderTraitor n'est pas désigné, mais le risque est réel

La source est prudente sur ce point. TraderTraitor n'a pas été spécifiquement désigné à ce jour. Il est toutefois étroitement lié à d'autres acteurs étatiques nord-coréens désignés. Par ailleurs, les sanctions plus larges administrées par l'Office of Foreign Assets Control (OFAC) du Trésor américain interdisent l'exportation de services financiers vers la Corée du Nord. La source conclut que l'exposition à des fonds issus de ce piratage présente un risque important de sanctions pour les entreprises concernées.

Pour un directeur financier ou un contrôleur de gestion, l'absence de désignation nominative n'est pas un refuge. Une entreprise qui reçoit puis traite des produits liés à des acteurs nord-coréens pourrait faire l'objet de questions, indépendamment de la manière dont le groupe est répertorié. C'est un jugement à confier à votre conseil juridique et à votre MLRO, mais l'équipe financière doit être en mesure de fournir les faits rapidement.

Listes d'adresses et filtrage

La source indique qu'une liste d'adresses associées au vol est mise à jour en continu et compte désormais plus de 9 500 adresses uniques. Les équipes de conformité peuvent filtrer ces adresses pour identifier l'exposition sur les fonds entrants, bloquer ou rejeter des actifs le cas échéant, et étayer les rapports de sanctions et les déclarations d'opérations suspectes (SAR) complémentaires.

L'implication comptable est pratique. Les résultats du filtrage ne sont utiles que s'ils peuvent être rattachés à des écritures comptables précises. Vos enregistrements doivent inclure les adresses de portefeuille, les hachages de transaction, les horodatages et les identifiants de contrepartie sous une forme interrogeable, et non enfouis dans des feuilles de calcul exportées.

Pourquoi un filtrage direct seul manquera ces fonds

Exposition indirecte et sauts

La source explique que le blanchiment est un processus automatisé complexe conçu pour éloigner les auteurs des fonds d'origine. Un VASP ou une institution où les voleurs tentent d'encaisser ne sera généralement exposé qu'indirectement, et seulement après que les fonds ont transité par de nombreux portefeuilles intermédiaires, ou sauts. Vérifier si une adresse de contrepartie figure sur une liste ne permettra donc de détecter que très peu de choses. Le filtrage doit être configuré pour évaluer l'exposition indirecte aux adresses liées à la Corée du Nord.

Les seuils peuvent être fixés trop haut

Les fonds sont également fractionnés en petits montants et mélangés à des fonds d'autres portefeuilles pour diluer leur lien avec la source. La source avertit que si la surveillance ne signale l'exposition liée aux sanctions qu'à un niveau élevé, par exemple 25 % ou plus de l'exposition d'un portefeuille, une entreprise peut ne pas identifier les fonds liés au piratage. Les équipes de conformité sont invitées à revoir les seuils d'exposition en pourcentage et à envisager de les ajuster.

Les équipes financières devraient poser une question simple à leurs collègues de la conformité : quel seuil en pourcentage appliquons-nous, et qui l'a approuvé ? Si la réponse est une valeur par défaut que personne n'a révisée, cet événement est l'occasion de le faire.

Rapidité de l'attribution

La source rapporte que 7 à 11 millions de dollars de fonds sont blanchis par heure, en utilisant un grand nombre de nouvelles adresses. De nouvelles attributions reliant des portefeuilles auparavant non étiquetés aux acteurs nord-coréens sont donc constamment établies. Un portefeuille qui était propre la semaine dernière peut ne pas l'être aujourd'hui. La source souligne que les scores de risque des adresses déjà filtrées doivent être mis à jour automatiquement lorsque de nouvelles attributions sont faites, afin que les alertes parviennent à l'équipe lorsqu'elles correspondent aux critères de surveillance.

Pour les comptables, la leçon concerne l'examen rétrospectif. Si un portefeuille de contrepartie est ultérieurement attribué, vous devez pouvoir examiner les encaissements historiques provenant de ce portefeuille. Cela n'est possible que si l'historique des transactions est complet et conservé.

Signaux d'alerte et ce que vos enregistrements doivent montrer

Indicateurs comportementaux de blanchiment

La source note que, les signaux liés aux sanctions devenant obscurcis pendant le blanchiment, les équipes de conformité doivent s'appuyer sur des indicateurs comportementaux et transactionnels. Elle identifie plusieurs schémas :

• Échanges inter-actifs et inter-chaînes. Les pirates échangent déjà des actifs via des services et se déplacent entre les blockchains Bitcoin, Ethereum, Tron, Near et Solana. L'exposition peut survivre à des échanges répétés, la couverture multi-chaînes est donc importante.
• Exposition aux mixeurs. Avant le vol, les pirates ont approvisionné leurs portefeuilles via le mixeur Tornado Cash, que l'OFAC a sanctionné en août 2022 pour avoir facilité le blanchiment d'argent nord-coréen, bien que ces sanctions aient depuis été levées. Les acteurs liés à la Corée du Nord ont une longue histoire d'utilisation de mixeurs, et les équipes doivent surveiller les transactions inhabituelles les impliquant dans les jours et semaines à venir.
• Superposition par de nombreux sauts. Les piratages majeurs impliquent presque toujours des flux complexes qui font transiter les produits par un grand nombre de portefeuilles intermédiaires. Le filtrage peut être configuré pour attribuer des scores de risque élevés aux activités présentant ces caractéristiques.

Implications pour les livres comptables

Pour les lecteurs B2B, trois points comptables en découlent.

Premièrement, les données de provenance sont un contrôle, pas une réflexion après coup. Un logiciel de comptabilité d'actifs numériques qui capture les données sources on-chain au niveau de la transaction, et pas seulement les soldes de fin de période, vous permet de répondre à une requête d'exposition sans reconstituer l'historique à la main. Un logiciel de tenue de comptes crypto qui normalise l'activité multi-chaînes dans un seul registre est particulièrement utile lorsque les fonds ont sauté entre Bitcoin, Ethereum, Tron, Near et Solana.

Deuxièmement, réfléchissez à la manière dont vous traiteriez les encaissements dont on découvre plus tard qu'ils sont tachés. La source n'aborde pas le traitement comptable ; c'est donc une question à soumettre tôt à vos auditeurs et à votre conseil juridique : comment un afflux suspect serait-il signalé, isolé ou conservé, et comment cela serait-il documenté ? Disposer d'une procédure interne convenue avant qu'une alerte n'arrive est bien préférable à l'improvisation.

Troisièmement, la piste d'audit et les preuves comptent. La source note que l'identification de l'exposition fournit également des informations susceptibles d'aider les forces de l'ordre à soutenir d'autres gels d'avoirs ou d'autres actions perturbatrices. Des enregistrements propres et horodatés rendent toute SAR ou tout rapport de sanctions plus rapide et mieux étayé.

Une note pour les déclarants particuliers

Si vous êtes un particulier qui négocie ou détient des cryptos, vous n'êtes pas censé mettre en place un programme de filtrage. Mais si vous avez récemment reçu des fonds d'un portefeuille inconnu ou d'une contrepartie pair-à-pair, conservez les enregistrements : adresses, hachages, dates et motif du paiement. Si une plateforme d'échange ou une banque vous demande l'origine des fonds, vous voudrez répondre vite et précisément. Les plateformes d'échange et autres entreprises vont probablement renforcer leurs contrôles pendant que ce blanchiment se déroule, des retards sur les dépôts sont donc possibles.

Prochaines étapes pratiques

Pour les entreprises et les directeurs financiers

La source présente ce piratage comme une occasion de revoir la gestion du risque de criminalité financière et le cadre de contrôle, et énumère sept étapes, dont seule la première est visible dans le matériel fourni : examiner les rapports d'audit ou d'assurance historiques pour identifier les constats antérieurs de lacunes dans les contrôles de criminalité financière. À partir de là, une liste de contrôle raisonnable côté finance ressemble à ceci :

1. Récupérer les rapports d'audit et d'assurance antérieurs et vérifier les constats ouverts sur les contrôles de criminalité financière.
2. Confirmer avec la conformité que le filtrage couvre l'exposition indirecte, et pas seulement les contreparties directes.
3. Demander quels seuils d'exposition en pourcentage sont utilisés, et s'ils ont été revus après cet événement.
4. Vérifier que les données de transaction au niveau du portefeuille sont complètes, conservées et interrogeables sur chaque chaîne utilisée.
5. Documenter une procédure d'escalade interne pour un afflux suspect, y compris qui décide, qui est informé et ce qui est consigné.
6. Informer le MLRO ou le conseil juridique de toute exposition à des mixeurs ou à des flux rapides multi-sauts dans l'activité récente.

Pour les cabinets comptables et d'audit

Si vous servez des clients actifs dans les cryptos, attendez-vous à des questions. Les clients voudront savoir s'ils ont été exposés, et les auditeurs voudront des preuves des contrôles qui ont permis de répondre à cette question. Considérez cela comme un point de départ pour la planification de mission : demandez aux clients comment ils filtrent, à quelle fréquence les scores de risque sont actualisés, et comment cela se rattache au registre. Lorsque la réponse est manuelle et périodique, la vitesse de ce blanchiment, à 7-11 millions de dollars par heure, montre pourquoi cela peut être trop lent.

Pour une lecture complémentaire sur cet incident, voir notre couverture de TraderTraitor, le traçage et ce que les entreprises doivent faire maintenant et l'article sur le blanchiment automatisé et la comptabilité crypto. Pour le cadre plus large, notre hub de reporting de conformité crypto couvre les obligations de déclaration derrière ces contrôles.

FAQ

Combien a été volé à Binance et qui est blâmé ?

Environ 6,43 milliards de dollars de cryptoactifs ont été volés le 29 octobre. La source indique que l'incident a été attribué au groupe nord-coréen TraderTraitor, et que le FBI américain l'a depuis attribué au même groupe.

Quel montant a été gelé ?

Tether et Circle ont gelé des stablecoins d'une valeur d'environ 2,8 milliards de dollars, soit environ 44 % du total volé. Plus de 3 milliards de dollars de cryptoactifs restent non gelés.

TraderTraitor fait-il l'objet de sanctions ?

Pas de désignation spécifique à ce jour, selon la source. Il est étroitement lié à des acteurs étatiques nord-coréens désignés, et les sanctions plus larges de l'OFAC interdisent l'exportation de services financiers vers la Corée du Nord, l'exposition comporte donc toujours un risque important de sanctions.

Pourquoi ma surveillance pourrait-elle manquer ces fonds ?

Les fonds sont fractionnés, mélangés et passent par de nombreux portefeuilles intermédiaires. Si les seuils ne signalent que les pourcentages d'exposition élevés, par exemple 25 % ou plus, les fonds liés au piratage peuvent passer inaperçus, il convient donc de revoir les seuils.

En quoi un logiciel de comptabilité aide-t-il ici ?

Il ne remplace pas le filtrage, mais des enregistrements de transactions précis au niveau du portefeuille permettent à la conformité de relier les alertes à des écritures comptables spécifiques, d'examiner l'historique lorsque de nouvelles attributions émergent, et d'étayer les SAR par des preuves.

Source : Note de recherche d'analyse blockchain sur le piratage de Binance