Le suivi de la blockchain indique que l’équipe à l’origine du piratage massif de Binance en 2026 continue de déplacer et de convertir une grande partie des fonds volés liés à Solana, les flux de blanchiment transitant de plus en plus par le protocole d’échange inter-chaînes THORChain.
Selon les données d’Arkham citées dans des articles, les portefeuilles associés au groupe des « pirates de Binance » détiennent désormais 182 443 SOL (environ 16,9 millions de dollars), et l’ensemble des attaquants a déjà déplacé environ 81 % des 970 522 SOL qui auraient été volés lors de l’attaque — un montant lié à au moins une partie du circuit de blanchiment décrit par les enquêteurs.
À retenir
Les groupes de portefeuilles liés au piratage de Binance, signalés par Arkham, détiennent 182 443 SOL, d’une valeur d’environ 16,9 millions de dollars.
Le suivi cité par Lookonchain indique que les attaquants ont suivi plusieurs étapes de conversion : SOL → USDC → transfert vers Ethereum → ETH → BTC via THORChain.
THORChain a repris les échanges sur plusieurs réseaux après une interruption déclenchée par une réorganisation des blocs Ethereum, qui a révélé un bogue dans le mécanisme de remboursement.
Chainalysis a indiqué que l’interruption avait involontairement retardé les activités de blanchiment, tandis que d’autres analystes de la chaîne estiment qu’une grande partie des transactions associées étaient automatisées.
Les autorités ont attribué le piratage à des acteurs liés à la Corée du Nord, ce que des responsables nord-coréens ont démenti, tandis que les enquêteurs continuent de surveiller le rôle de THORChain dans le blanchiment lié à d’autres piratages majeurs.
Avoirs des attaquants et « chaîne de conversion »
Ces derniers mouvements interviennent alors que des chercheurs cartographient la façon dont les actifs volés sont répartis entre plusieurs portefeuilles, convertis et transférés d’une chaîne à l’autre. Le suivi des entités d’Arkham, cité dans le rapport, relie un groupe de portefeuilles à l’exploitation de Binance et évalue leurs avoirs en SOL à 182 443 SOL — soit environ 18,8 % des 970 522 SOL attribués au piratage.
Dans sa mise à jour de mercredi, Lookonchain a décrit le parcours en plusieurs étapes suivi par les attaquants : les SOL ont été répartis entre plusieurs portefeuilles, puis vendus contre des USDC. Les fonds obtenus en stablecoins ont ensuite été transférés vers Ethereum pour acheter de l’éther (ETH). La dernière étape décrite consiste à échanger les ETH contre des bitcoins (BTC) via THORChain, une plateforme d’échange interchaînes conçue pour permettre la conversion d’actifs sans recourir aux carnets d’ordres centralisés traditionnels.
Pour les investisseurs et les traders, ces détails sont importants, car ils montrent comment des pirates peuvent transformer un important butin de cryptomonnaies volatile en plusieurs formes liquides sur différents écosystèmes, souvent avant que les défenseurs puissent réagir ou geler les fonds. Cela aide aussi à comprendre pourquoi les infrastructures de liquidité interchaînes comme THORChain font souvent l’objet d’une surveillance accrue lors d’incidents majeurs.
Détails de la faille chez Binance et recherche des responsables
Binance a révélé que ses systèmes avaient été compromis après que des attaquants eurent accédé aux appareils d’employés au moyen de fausses invitations à des entretiens d’embauche et de téléchargements de logiciels malveillants. La plateforme a qualifié l’incident de piratage record et a déclaré par la suite avoir reconstitué 98 % des jetons concernés et prendre à sa charge les pertes restantes.
Du côté de l’enquête, le Bureau fédéral d’enquête des États-Unis (FBI) a attribué samedi l’attaque aux pirates nord-coréens de TraderTraitor et a exhorté les prestataires de services crypto — en incluant explicitement les opérateurs de THORNode — à bloquer les transactions liées aux actifs volés.
La réaction de la Corée du Nord a été rapide. Kim Yo Jong, sœur du dirigeant nord-coréen Kim Jong Un, a qualifié les accusations du FBI de « rhétorique absurde », selon un article cité dans la source.
Si les désaccords sur l’attribution des cyberattaques sont fréquents, la particularité de cette affaire tient à la précision opérationnelle des mesures : les autorités de régulation et les enquêteurs ont demandé le blocage ciblé de transactions sur certaines parties de l’infrastructure interchaînes, ce qui laisse penser que les autorités estiment que le circuit de blanchiment n’est pas simplement fortuit.
La suspension des échanges sur THORChain et son effet sur le blanchiment, ralenti puis relancé
La capacité de THORChain à traiter les échanges est devenue un élément central de l’affaire lorsque les services ont été suspendus, puis rétablis. Un article antérieur cité dans le rapport indique que THORChain a interrompu les échanges sur Bitcoin, Ethereum et d’autres chaînes à la suite d’un problème lié à Ethereum : une réorganisation de blocs a révélé un bogue dans le mécanisme de remboursement.
Lorsque THORChain a repris les échanges mercredi, cette reprise a permis aux échanges interchaînes de se poursuivre sur plusieurs réseaux. Chainalysis a indiqué, selon le rapport, que l’interruption avait involontairement retardé les activités de blanchiment liées aux attaquants de Binance — un point important dans la pratique. Même lorsque les pirates préparent des plans en plusieurs étapes, les interruptions opérationnelles des infrastructures dont ils dépendent peuvent donner du temps pour la surveillance, la coordination et la mise en place de mesures de contrôle des risques.
Parallèlement, des analystes ont tenté de quantifier le mode opératoire des attaquants. SomaXBT a estimé qu’environ 54 % des plus de 47 600 transactions effectuées par les attaquants sur Tron et Solana étaient automatisées, ce qui renforce l’hypothèse d’échanges et de transferts programmés plutôt que de mouvements entièrement manuels.
Élargissement des circuits de blanchiment et points à surveiller
Le schéma de blanchiment rapporté témoigne également d’une grande flexibilité géographique et entre les chaînes. Les pirates de Binance auraient étendu leurs activités à Solana dimanche, après avoir vidé la plupart de leurs portefeuilles temporaires sur Tron. Chainalysis a estimé qu’environ 500 millions de dollars au total avaient transité par Tron, notamment au moyen de transferts répétés entre portefeuilles — un comportement compatible avec des tentatives de dissimulation de l’origine des fonds par des mouvements rapides et successifs.
Le rapport inscrit également THORChain dans un contexte plus large et persistant de blanchiment. Des groupes de pirates liés à la Corée du Nord sont soupçonnés d’avoir utilisé THORChain pour blanchir le produit d’autres piratages majeurs, notamment celui de Bybit, qui a entraîné le vol de 1,4 milliard de dollars, mentionné dans la source.
Pour les lecteurs, la principale incertitude à l’avenir est de savoir si les autorités pourront perturber efficacement le circuit de blanchiment sans entraver les usages interchaînes légitimes. Les principaux éléments à surveiller sont (1) la poursuite éventuelle du transfert des conversions d’actifs volés vers d’autres plateformes de liquidité et (2) la rapidité avec laquelle les outils de contrôle opérationnel et de surveillance pourront détecter et décourager la réutilisation de circuits interchaînes similaires.
Cet article a d’abord été publié sous le titre « Les pirates de Binance déplacent 81 % des SOL volés et utilisent THORChain pour transférer les fonds », sur Crypto Breaking News — votre source de confiance pour l’actualité des cryptomonnaies, les nouvelles sur Bitcoin et les mises à jour de la blockchain.