La société d’analyse de la blockchain Elliptic a publié hier (9 novembre) un rapport indiquant qu’une méthode de blanchiment relativement nouvelle a été utilisée après le piratage de Binance survenu à la fin du mois d’octobre, qui a entraîné le vol d’environ 6,4 milliards de dollars d’actifs cryptographiques. Des blanchisseurs nord-coréens ont émis eux-mêmes des meme coins que presque personne n’achetait, puis ont transféré les fonds volés par l’intermédiaire de pools de liquidité.
Des hackers nord-coréens créent des meme coins pour éviter de transférer directement les fonds volés
Elliptic indique que ces meme coins sont conçus pour un usage unique, que leur prix est fixé par les blanchisseurs et que presque personne d’autre ne les achète. Les étapes du blanchiment sont ensuite les suivantes :
Lors de l’opération, les auteurs ont d’abord utilisé un outil public d’émission de tokens pour en créer un nouveau, l’ont associé à des actifs réels comme NEAR ou des stablecoins, puis ont ouvert un pool de liquidité sur une plateforme d’échange décentralisée.
Un groupe de portefeuilles a acheté les tokens avec des fonds volés, puis un autre groupe les a revendus dans le même pool et en a retiré des actifs réels.
Les fonds volés ne sont donc pas transférés directement des portefeuilles acheteurs vers les portefeuilles destinataires, qui ressemblent ainsi à ceux de traders ordinaires ayant réalisé un bénéfice en vendant des tokens.
Elliptic souligne que des meme coins sont créés en grand nombre chaque jour et que la plupart tombent rapidement dans l’oubli. Un token éphémère de plus n’attire guère l’attention, et les portefeuilles ayant déjà échangé des meme coins peuvent facilement passer pour ceux de spéculateurs.
De Tron à NEAR, les cas se succèdent
Elliptic indique que cette méthode est apparue pour la première fois lors du piratage de Bybit en 2025. À l’époque, les blanchisseurs avaient émis des tokens sans valeur sur la blockchain Tron et transféré au moins 24 millions de dollars. Cette affaire, comme le piratage de Binance, a été attribuée à TraderTraitor, un groupe considéré comme affilié au groupe Lazarus.
Le 2 novembre, des tokens du même type ont également été repérés sur la blockchain Tron. Le 3 novembre, des SOL volés ont été convertis en tokens existants peu échangés, dans le même but.
Les transactions sur la blockchain NEAR retracent elles aussi en détail les mouvements des blanchisseurs nord-coréens.
Selon les statistiques d’Elliptic, au moins six meme coins ont été créés entre le 5 et le 7 novembre : FUK, OLCCL, MEILI, MMLI, DABI et SINU. La création de chacun a coûté environ 90 dollars. Les portefeuilles acheteurs ont reçu au total près de 117 000 NEAR provenant de fonds volés, soit environ 430 000 dollars. Presque la même somme est ensuite sortie des portefeuilles destinataires ; la majeure partie a été convertie en stablecoins ou transférée vers des ponts inter-chaînes.
Elliptic estime que ces tokens ont été créés spécifiquement à des fins de blanchiment : toutes les ventes et la grande majorité des achats provenaient de portefeuilles du réseau de blanchiment, et des ventes avaient lieu dans les trois heures suivant la création de chaque token.
Les traces du blanchiment restent visibles ; les acteurs du secteur doivent réexaminer leurs pratiques
Elliptic souligne que toutes les étapes restent inscrites sur la blockchain. Cette méthode ne fait que ralentir les enquêtes : les flux de fonds restent traçables.
Le passage des fonds volés par des tokens et des pools de liquidité ajoute plusieurs étapes. Les enquêteurs doivent les démêler une à une pour établir que l’argent des portefeuilles destinataires provient en réalité de fonds volés. Le blanchiment est une course contre la montre : les fonds sont plus faciles à convertir s’ils sont transférés avant d’être signalés comme volés. Ralentir les enquêtes présente donc un intérêt pour les blanchisseurs.
Les montants ayant transité par des meme coins restent limités pour l’instant, mais les quelque 11,8 millions de NEAR volés (environ 43,7 millions de dollars) n’ont pas encore bougé. Cette méthode reste toutefois peu coûteuse pour les hackers et pourrait permettre de transférer des sommes bien plus importantes.
Elliptic recommande aux équipes chargées de la conformité de ne pas considérer par défaut comme propres les fonds provenant d’un pool de liquidité, en particulier lorsqu’ils impliquent des tokens récemment créés. Parmi les signaux d’alerte à surveiller : un nombre limité de portefeuilles actifs dans le pool et des fonds reçus par de nouveaux portefeuilles peu avant les transactions. Les acteurs du secteur peuvent également comparer les fonds reçus à la liste noire des portefeuilles liés au piratage de Binance publiée par Elliptic, puis réexaminer les fonds déjà reçus à mesure que cette liste s’allonge.
Le rapport ajoute que les blanchisseurs nord-coréens ont l’habitude de combiner plusieurs techniques peu coûteuses et que la création de meme coins n’en est qu’une parmi d’autres.
Par ailleurs, bien que le FBI américain et plusieurs sociétés de cybersécurité estiment que le piratage de Binance est lié à un groupe de hackers soutenu par la Corée du Nord, Kim Yo-jong, sœur du dirigeant nord-coréen Kim Jong-un et haute responsable du Parti du travail de Corée, a démenti ces allégations. Elle a souligné que Pyongyang n’avait aucune raison de s’asseoir à la table des négociations avec les États-Unis tant que ceux-ci ne renonceraient pas à leur politique hostile envers la Corée du Nord.
À lire également :
Suivi du blanchiment après le piratage de Binance : un nouveau portefeuille créé toutes les 25 secondes, 11 blockchains impliquées, aucune preuve d’une participation de l’IA
Analyse des méthodes de blanchiment après le piratage de Binance : un schéma inédit, des tokens vendus pour 5 millions de dollars n’ont rapporté que 71 dollars
L’article « Les hackers nord-coréens qui ont volé 6,4 milliards de dollars à Binance blanchissent l’argent grâce à des meme coins dont personne ne se soucie : ces six tokens sont des outils du crime » a d’abord été publié sur « Crypto City ».