Les pirates de Binance blanchissent leur butin via des « meme coins »

Le groupe qui a détourné environ 6,3 milliards de dollars de Binance s'est lancé dans la création de « meme coins ». Personne n'est censé les acheter. Elles n'existent que pour permettre à l'argent volé de se cacher pendant quelques heures.

La nouvelle s'est rapidement répandue sur X, où StalkHQ a signalé le lancement de ces « meme coins », et les détails proviennent d'un rapport publié lundi par la société d'analyse de blockchain Elliptic. Selon Elliptic, des blanchisseurs travaillant pour le groupe nord-coréen TraderTraitor ont créé au moins six jetons jetables sur NEAR entre le 5 et le 7 novembre. L’un d’entre eux représente un singe portant un nœud rose. Un autre montre un canard enveloppé dans un drapeau américain. Un autre encore représente Elon Musk sous une bannière « Elon 2028 President », ce qui, selon Elliptic, n’a aucun rapport avec Musk. Parmi les noms figurent FUK et SINU.

Les montants sont modestes. Environ 117 000 NEAR, soit environ 430 000 dollars, ont transité par ces six jetons, ce qui représente moins de 0,01% du butin. C’est la méthode utilisée qui mérite qu’on s’y attarde.

Nous avions déjà évoqué le piratage lui-même au moment des faits. En résumé: le 29 octobre, des pirates ont détourné des milliards en une vingtaine de minutes, et le PDG Richard Teng a déclaré par la suite que l’attaquant avait utilisé un mécanisme d’autodestruction qui a effacé les outils et les traces au fur et à mesure. Le FBI a désigné TraderTraitor deux jours plus tard. Il s’agit du même groupe que le Bureau avait tenu pour responsable du vol de 1,4 milliard de dollars chez Bybit en 2025.

Comment un token sans valeur permet de blanchir de l’argent réel

L’astuce est simple et peu coûteuse. Chaque jeton coûte environ 25 NEAR, soit environ 90 dollars, à émettre. Les blanchisseurs l’associent à un actif réel comme le NEAR dans un pool de liquidités sur une bourse décentralisée. Un premier ensemble de portefeuilles verse les fonds volés dans le pool et reçoit en échange le nouveau jeton. Un deuxième ensemble de portefeuilles vend ce jeton dans le même pool et en retire des NEAR d’apparence « propre ».

L’argent volé ne passe jamais directement du premier ensemble de portefeuilles au second. Le pool sert d’intermédiaire, et les portefeuilles destinataires donnent l’impression d’être ceux de traders ordinaires ayant vendu une « meme coin » avec un bénéfice. Tom Robinson, cofondateur d’Elliptic, l’a clairement expliqué sur X: les cryptomonnaies ne sont qu’un déguisement, mais chaque étape est enregistrée sur la blockchain et Elliptic a pu la retracer.

Il est difficile de contester les preuves fournies par Elliptic selon lesquelles ces tokens n’ont jamais eu de véritable marché. Les portefeuilles du réseau de blanchiment ont effectué toutes les ventes des six tokens et racheté chaque unité de cinq d’entre eux. Cinq des six créateurs ont été financés par un portefeuille qui avait vendu le jeton précédent quelques minutes plus tôt; chaque jeton a donc servi à financer le suivant. Les six jetons ont tous été vendus dans les trois heures suivant leur lancement, puis déversés sur le marché. Aucun n’a été échangé depuis le 8 novembre, et les créateurs de quatre d’entre eux ont retiré les liquidités restantes cet après-midi-là.

Ce n’est pas nouveau, c’est juste à plus grande échelle

La Corée du Nord avait déjà procédé ainsi auparavant. Elliptic l’avait constaté pour la première fois après le piratage de Bybit, lorsque pas moins de 24 millions de dollars avaient transité par un token sans valeur sur Tron. Cette fois-ci, le groupe a agi en l’espace de quelques jours. Un token Tron est apparu le 2 novembre, puis le 3 novembre, des SOL volés ont été échangés contre des tokens Solana peu négociés avant d’être vendus contre des USDC. Le lot NEAR est arrivé plus tard dans la semaine.

Les « meme coins » constituent une couverture idéale, car des milliers d’entre elles sont lancées chaque jour et la plupart disparaissent en quelques jours. Un portefeuille présentant dans son historique un jeton « cartoon » tout récent ressemble à celui d’un spéculateur, et non à celui d’un blanchisseur d’argent, à moins que quelqu’un ne vérifie la provenance des fonds.

Une diversion par rapport à la machine principale

Elliptic précise clairement que cette couche ne cache rien. Elle ralentit les enquêteurs, et dans une course au blanchiment, le retard est justement le but recherché.

L’opération à plus grande échelle se présente différemment. Le décompte d’Elliptic couvre désormais plus de 20 000 portefeuilles répartis sur 16 blockchains et au moins 36 services. En début de semaine, la société a indiqué que les fonds étaient transférés vers un nouveau portefeuille toutes les 25 secondes environ, et M. Robinson a décrit ce phénomène comme un blanchiment en pilote automatique, probablement automatisé mais sous supervision humaine. Elliptic a elle-même averti que les listes statiques et les contrôles ponctuels ne permettraient pas de détecter un réseau de ce type. Chainalysis a également souligné l’automatisation qui sous-tend ce blanchiment.

D’autres voies sont également ouvertes. Environ 7 000 ETH, soit environ 15 millions de dollars, ont été versés sur Tornado Cash depuis dimanche. Environ 3 000 BTC, soit environ 225 millions de dollars, se trouvent désormais sur de nouvelles adresses Bitcoin, et une partie des fonds volés a transité par THORChain, ce dont les podcasteurs débattaient déjà dans le contexte de l’attribution faite par le FBI.

Une partie du butin n’a jamais pu être blanchie. Le FBI indique que 2,85 milliards de dollars ont été gelés sur la chaîne par Tether, Circle, Ripple, Arbitrum et Optimism. TRM estime ce chiffre plutôt à 2,7 milliards de dollars, tandis que Binance parle d’environ 3 milliards de dollars. Elliptic a également signalé que 11,8 millions de NEAR volés, d’une valeur d’environ 43,7 millions de dollars, n’ont pas encore été transférés.

Une mise en garde de la part de ceux qui surveillent la Corée du Nord de près. Michael Barnhart, de DTEX, a déclaré à Recorded Future News que TraderTraitor avait tendance à transférer rapidement l’argent vers des réseaux de blanchiment chinois; ainsi, une partie de ce que les analystes observent sur la blockchain pourrait provenir de l’activité de ces réseaux. Elliptic continue toutefois d’attribuer l’activité liée aux « meme coins » à la Corée du Nord.

Ce que les équipes de conformité doivent surveiller

Elliptic conseille de cesser de considérer par défaut les fonds des pools de liquidité comme « propres ». Un portefeuille approvisionné via un swap peut se trouver à deux étapes seulement de l’argent volé. Les signaux d’alerte sont les suivants: un token créé au cours des derniers jours, un pool ne comptant qu’une poignée de traders, des portefeuilles qui n’achètent ou ne vendent que, et de nouveaux portefeuilles approvisionnés de montants ronds peu avant le début des transactions. La société publie également une liste noire gratuite des adresses issues du piratage de Binance et précise qu’elle la met régulièrement à jour.

Pour l’instant, le chiffre à surveiller est celui des 11,8 millions de NEAR qui n’ont pas été touchés.