Les pirates de Binance convertissent 124 M$ d'altcoins volés en Bitcoin à la réouverture des retraits

Selon Le rapport d'Elliptic du 6 novembre, les responsables du vol de 6,43 milliards de dollars en cryptomonnaies sur Binance ont échangé des altcoins volés pour un montant de 124 millions de dollars contre du Bitcoin. Ces transactions sont menées simultanément avec la réouverture par Binance de sa fonction de retrait destinée aux clients.

Conversion d'altcoins, pas de sortie de fonds

Les échanges d'altcoins effectués par les pirates ont généré environ 1 650 BTC. Ils sont distincts des 1,48 milliard de dollars qui ont été volés suite à l'attaque du 29 octobre. À ce jour, environ 50 millions de dollars en XRP ont été déplacés, tandis que 226 millions de dollars restent dans les portefeuilles des pirates. Presque tout le Solana volé, d'une valeur d'environ 87 millions de dollars, a été échangé contre d'autres cryptomonnaies, transféré entre différentes blockchains ou déplacé via des transactions conçues pour masquer son origine.

Cependant, les chiffres récents ne fournissent pas d'informations complètes sur l'état des fonds volés. L'estimation d'Elliptic indique que 2,85 milliards de dollars ont été gelés (44,3 % du total), tandis que 3,11 milliards de dollars sont toujours détenus dans des portefeuilles connectés (48,4 % du total). Ces chiffres représentent un total de 5,96 milliards de dollars sur les 6,43 milliards de dollars volés. Il reste donc encore 470 millions de dollars (7,3 % du total) qui ne figurent pas dans les totaux déclarés. Les écarts entre la valeur des actifs et le moment de la déclaration peuvent expliquer ces incohérences.

Les 124 millions de dollars convertis en Bitcoin ne doivent pas être considérés comme un montant distinct, car les pirates n'ont fait que changer d'une forme de crypto-monnaie à une autre. Dans ce contexte, il est important de noter que, selon Elliptic, seule une petite partie de l'argent volé a été retirée.

Comment le blanchiment continue

Les fonds volés ont été distribués via plusieurs transactions. Selon l'analyse d'Elliptic, plus de 20 000 portefeuilles crypto ont été identifiés, en lien avec 16 blockchains différentes et 65 000 transactions. Bien que l'activité semble automatisée, aucune preuve ne suggère que des agents IA la contrôlent.

TRM Labs a découvert que les pirates ont créé des tokens et des pools de liquidité sur Tron pour dissimuler les transferts. Ils ont également déplacé des fonds via des tokens de reçus de prêt et des ponts blockchain connectés, contournant les portefeuilles où les actifs auraient pu être gelés.

Plus tôt, Chainalysis a suivi 325 millions de dollars en stablecoins convertis en 285 millions de dollars d'Ether en l'espace de 20 minutes, apparemment pour éviter les gels.

Certaines conversions XRP sont passées par THORChain. Comme l'a rapporté Cryptopolitan, son site web a bloqué les adresses signalées suite à une demande du FBI, mais des nœuds indépendants ont continué à traiter les transactions.

Réouverture des retraits et test de liquidité

Binance restaure les retraits tandis que les fonds volés restent en circulation. Dans une mise à jour du 6 novembre, la bourse a indiqué qu'elle visait à rouvrir les retraits pour HYPE, INJ, APT, PLASMA, NEAR et LTC d'ici la fin de la semaine suivante.

Binance a également signalé avoir réapprovisionné 98 % des actifs tokenisés affectés au 31 octobre. Elle s'est engagée à couvrir les pertes des clients, bien que le remplacement des actifs volés ne signifie pas leur récupération.

La réouverture a exercé une pression sur la liquidité de Binance. Talos a enregistré des sorties nettes de 6,1 milliards de dollars. La profondeur du carnet d'ordres Bitcoin dans un intervalle de 1 % a chuté de 28 % le premier jour et a atteint un creux, environ 44 % en dessous des niveaux précédant le piratage, vers le 1er novembre avant de se redresser.

Bitcoin a également baissé d'environ 5 % suite à l'attaque. Toutefois, Talos a relevé des signes limités de contagion sur le marché global par rapport à l'effondrement de FTX.

Ce que cela implique pour les plateformes d'échange et la conformité

Le FBI a attribué le vol au groupe nord-coréen TraderTraitor le 31 octobre. Il a publié les adresses liées aux pirates et exhorté les opérateurs THORNode, les services DeFi et les échanges instantanés à bloquer les transactions associées.

Malgré le blanchiment sophistiqué, l'attaque a débuté par des faiblesses de sécurité familières. L'enquête de Binance a décrit une fausse entrevue d'embauche, un logiciel malveillant installé sur l'ordinateur d'un ingénieur et l'utilisation abusive d'un outil d'IA interne. Les attaquants ont finalement obtenu l'accès aux systèmes impliqués dans la signature des transactions de portefeuille.

Cette violation met en lumière deux défis majeurs pour les plateformes : protéger les employés et les systèmes sensibles contre les intrusions, et empêcher les fonds volés de circuler sur les réseaux décentralisés.