Les auteurs de l'exploit de 6,3 milliards de dollars contre Binance ont transféré environ 81 % des 970 522 SOL dérobés, blanchissant le produit du piratage via THORChain après que le protocole cross-chain a rétabli les échanges mercredi. Les portefeuilles liés au hack détiennent encore 182 443 SOL (16,9 millions de dollars), soit 18,8 % du butin, selon des données d'Arkham citées par Lookonchain.
Points Clés
- Les hackers ont déplacé 81 % des 970 522 SOL volés (piratage total de 6,3 Md$) via THORChain après la reprise des swaps mercredi.
- Le FBI a attribué l'attaque au groupe nord-coréen TraderTraitor ; a exhorté les opérateurs de THORNode à bloquer les flux illicites.
- 182 443 SOL (16,9 M$, 18,8 % du butin) restent dans les portefeuilles des hackers selon les données d'Arkham.
- Binance a reconstitué 98 % des tokens des utilisateurs ; a enregistré 2,3 Md$ d'entrées nettes post-piratage.
- L'arrêt de THORChain (samedi–mercredi) dû à un bug de reorg sur Ethereum a temporairement perturbé le blanchiment.
Synthèse Exécutive d'Intelligence
Mécanique du blanchiment et rôle de THORChain
L'enquêteur blockchain Lookonchain a rapporté mercredi que les attaquants ont fractionné les SOL sur plusieurs portefeuilles, les vendant contre de l'USDC, les transférant vers Ethereum pour acheter de l'Ether, puis échangeant finalement l'ETH contre du Bitcoin (BTC) via THORChain. Ce routage cross-chain exploite la fonctionnalité native de swap d'actifs de THORChain, qui ne repose pas sur des tokens enveloppés (wrapped), rendant le traçage et le gel plus difficiles pour les équipes de conformité.
L'activité de blanchiment a été involontairement retardée le week-end lorsque THORChain a suspendu ses services samedi. Une réorganisation de blocs sur Ethereum a mis au jour un bug de remboursement, poussant le protocole à mettre en pause le trading sur Bitcoin, Ethereum et plusieurs autres chaînes. Chainalysis a confirmé que cet arrêt a freiné le flux des hackers. Les services ont repris mercredi, rouvrant la principale voie de blanchiment.
Attribution et réponse des forces de l'ordre
Le Federal Bureau of Investigation (FBI) américain a attribué l'attaque au groupe de hackers nord-coréen TraderTraitor samedi, exhortant les fournisseurs de services crypto — y compris les opérateurs de THORNode — à bloquer les transactions liées aux actifs volés. La Corée du Nord a rejeté les accusations ; Kim Yo Jong, sœur du dirigeant Kim Jong Un, a qualifié les allégations de 'rhétorique absurde'. TraderTraitor est également soupçonné d'avoir utilisé THORChain pour blanchir le produit du piratage de 1,4 milliard de dollars de Bybit.
Remédiation de Binance et impact de marché
Binance a déclaré mardi avoir reconstitué 98 % des tokens des utilisateurs affectés et absorberait les pertes restantes. L'exchange a tracé la faille à des appareils d'employés compromis via de fausses entretiens d'embauche et des téléchargements de logiciels malveillants. Par ailleurs, Binance a enregistré 2,3 milliards de dollars d'entrées nettes, signalant un retour de la confiance des utilisateurs malgré la brèche historique. Chainalysis a estimé à environ 500 millions de dollars la valeur totale déplacée via le réseau Tron pendant le processus de blanchiment, l'enquêteur SomaXBT estimant que 54 % des plus de 47 600 transactions des attaquants sur Tron et Solana étaient automatisées.
Perspectives : conformité des nœuds et risque résiduel
La variable critique est de savoir si les opérateurs de THORNode — qui valident et exécutent les swaps cross-chain — mettront en œuvre la demande du FBI de filtrer les flux illicites. Le modèle de gouvernance décentralisé de THORChain complique l'application ; aucune entité ne peut censurer unilatéralement les transactions sans consensus. Les 182 443 SOL restants (16,9 millions de dollars) dans les portefeuilles contrôlés par les hackers représentent l'exposition résiduelle immédiate. Les acteurs de marché doivent surveiller les flux on-chain pour d'éventuels nouveaux ponts vers Ethereum et conversion en BTC, ainsi que toute orientation réglementaire ciblant l'ensemble des validateurs de THORChain.
