TRM Labs, Chainalysis et ZachXBT ont tous relevé des signes de liens entre le groupe nord-coréen TraderTraitor et l’attaque contre Binance, qui a causé 6,3 milliards de dollars de pertes.

Les chercheurs en cybersécurité resserrent le cercle des suspects derrière l’attaque contre Binance, un vol d’actifs numériques dont les pertes sont estimées à 6,3 milliards de dollars. La société d’analyse de la blockchain TRM Labs, Chainalysis et l’enquêteur spécialisé dans les données on-chain ZachXBT ont tous relevé des signes de liens entre l’incident et TraderTraitor, un groupe de pirates informatiques nord-coréen.

TRM Labs estime avec un haut degré de confiance que TraderTraitor a mené l’attaque. Cette conclusion s’appuie sur des renseignements combinant des données on-chain et off-chain.

Les éléments avancés par ZachXBT portent principalement sur les flux financiers. Selon cet enquêteur, les actifs volés à Binance et lors de l’exploitation antérieure d’une faille chez Bitget ont transité par le protocole THORChain avant de converger vers une même adresse de portefeuille. ZachXBT estime que cela indique probablement qu’un même acteur est à l’origine des deux incidents. L’attaque antérieure contre Bitget avait également été attribuée à TraderTraitor.

Jonathan Levin, cofondateur et PDG de Chainalysis, est parvenu à une conclusion similaire. Selon lui, l’attaque a probablement été menée par TraderTraitor, compte tenu de ses liens avec des attaques antérieures. Chainalysis estime toutefois les pertes à 6,4 milliards de dollars, un montant légèrement supérieur aux 6,3 milliards de dollars avancés par d’autres sources.

Ces conclusions confortent l’évaluation initiale d’Ido Ben-Natan, PDG de la société de sécurité Blockaid. Il avait précédemment déclaré à Cointelegraph que le degré de sophistication de l’attaque et les préparatifs réalisés sur la chaîne présentaient des similitudes avec les méthodes des pirates informatiques nord-coréens.

Les méthodes habituelles de TraderTraitor

TraderTraitor n’est pas inconnu des autorités américaines. Celles-ci ont associé le groupe à certains des plus importants vols d’actifs numériques jamais recensés, notamment l’attaque contre Bybit en février 2025. Le Federal Bureau of Investigation (FBI) a également collaboré avec des enquêteurs américains et japonais pour attribuer à un acteur nord-coréen le vol de plus de 300 millions de dollars sur la plateforme DMM Bitcoin en mai 2024.

Selon le FBI, TraderTraitor cible souvent les employés d’entreprises au moyen de techniques de manipulation psychologique. Dans l’affaire DMM Bitcoin, une personne se faisant passer pour un recruteur a envoyé à un employé de Ginco, fournisseur de services de portefeuilles d’actifs numériques, un test de programmation contenant un logiciel malveillant. Les enquêteurs estiment que l’accès obtenu grâce à cette attaque a probablement servi à manipuler une demande de transaction légitime, détournant ainsi les actifs vers des portefeuilles contrôlés par les pirates.

Cette méthode pourrait expliquer la question qui reste en suspens dans l’affaire Binance : comment l’attaquant a-t-il obtenu la signature nécessaire pour autoriser le portefeuille chaud de la plateforme via la fonctionnalité EIP-7702 d’Ethereum ? Si elle était confirmée, cette affaire renforcerait la position de TraderTraitor comme principale menace pour le secteur des actifs numériques, avec des pertes dépassant largement le précédent record d’environ 1,5 milliard de dollars chez Bybit.