Des pirates nord-coréens ont blanchi environ 242 millions de dollars volés à Binance via Tron en deux jours, principalement par l’intermédiaire de Relay et THORChain, malgré la pression du FBI.

Selon SomaXBT, analyste de données on-chain et contributeur de la Security Alliance (SEAL), un groupe de pirates nord-coréens a blanchi environ 242 millions de dollars volés à Binance sur la blockchain Tron en seulement deux jours. L’attaquant a dérobé environ 628 millions de dollars à Binance via Tron et, après le gel de 378,7 millions d’USDT par Tether, il restait environ 249 millions de dollars à blanchir. Sur les 242 millions de dollars traités, environ 194 millions ont quitté Tron via des ponts et des services d’échange, 26 millions sont restés sur le réseau et environ 22 millions ont été perdus en frais, en glissement et en raison des fluctuations de prix.

Les sorties de fonds se sont réparties entre plusieurs canaux : Relay a traité 48 millions de dollars, THORChain 44 millions, Chainflip 32,1 millions et Symbiosis 16 millions, pour un total d’environ 140 millions de dollars. Bitget Wallet a traité 41,7 millions de dollars supplémentaires, mais leur destination finale n’a pas été déterminée.

Cette évolution intervient alors que le FBI, en coordination avec les Services secrets et la division des enquêtes criminelles de l’Internal Revenue Service (IRS-CI), a officiellement attribué le vol d’environ 6,4 milliards de dollars au groupe TraderTraitor, également connu sous les noms de Lazarus Group, APT38 ou BlueNoroff. Le FBI a publié une liste de 608 adresses Ethereum, 19 adresses bitcoin et 1 adresse Solana liées à l’affaire, mais aucune adresse Tron, et a appelé les opérateurs de nœuds THORNode, de nœuds RPC, de plateformes d’échange instantané et de services DeFi à bloquer les transactions concernées.

Les ponts interchaînes sous pression

Chad Barraford, cofondateur et responsable technique de THORChain, estime que les opérateurs de nœuds ne disposent d’aucune information autre que les données publiques, mais n’a pas indiqué si les adresses citées par le FBI avaient été bloquées. Ironie du sort, une réorganisation de la chaîne Ethereum a conduit THORChain à rembourser deux fois un dépôt de 10 ETH, déclenchant une suspension d’urgence qui a par inadvertance empêché les pirates d’utiliser la plupart des ponts. Dimanche après-midi, les transactions étaient toujours suspendues sur 10 des 13 chaînes connectées. Auparavant, l’attaquant avait transféré 185,1 millions de TRX et 3,83 millions d’USDT vers THORChain au moyen de 2.697 dépôts.

Relay, un protocole presque absent des précédentes opérations de blanchiment de TraderTraitor, s’est imposé cette fois comme le principal canal, bien qu’il affirme filtrer les adresses à l’aide des données de risque de Chainalysis. Selon Lookonchain, les pirates ont également commencé à échanger 970.522 SOL, d’une valeur d’environ 95,9 millions de dollars, contre des bitcoins via Relay, après que le FBI eut inscrit leurs portefeuilles Solana sur sa liste. Symbiosis a reconnu que son système de filtrage n’avait pas été conçu pour suivre des flux de fonds sophistiqués et rapides.

Elliptic indique que le portefeuille de distribution principal sur Tron a effectué des paiements toutes les heures pendant 31 heures consécutives, contrairement au piratage de Bybit en 2025, qui s’était déroulé pendant les heures de bureau. Le cofondateur Tom Robinson estime qu’il s’agit d’un scénario automatisé, orchestré par des humains, et non d’un agent d’IA.

Selon Elliptic, environ 2,85 milliards de dollars, soit 44 % des fonds volés, ont été gelés ou saisis, dont 94 % en stablecoins. Cependant, environ 3,25 milliards de dollars, comprenant 18.327 BTC et 233 millions de XRP, se trouvent sous forme d’actifs impossibles à geler. Les pirates ont également contourné le gel en déposant des stablecoins dans un protocole de prêt sur Tron, identifié comme JustLend, pour recevoir des jetons attestant le dépôt, puis en les reconvertissant depuis une nouvelle adresse.