Le FBI vient d’attribuer officiellement à des pirates nord-coréens le vol record de 6,3 milliards de dollars en cryptomonnaies sur Binance. Les enquêteurs ont également identifié des centaines d’adresses utilisées pour déplacer le butin et tentent désormais d’empêcher son blanchiment.
Les soupçons pesaient déjà sur la Corée du Nord depuis le piratage de Binance, le 29 octobre dernier. La société d’analyse blockchain TRM Labs avait rapidement désigné TraderTraitor, un groupe de cybercriminels soutenu par Pyongyang, comme responsable de l’attaque. Le FBI vient de confirmer cette information dans une alerte publiée le 31 octobre, tout en appelant les acteurs du secteur à coopérer pour empêcher les pirates de blanchir les milliards dérobés.
TraderTraitor, déjà impliqué dans plusieurs vols majeurs de cryptomonnaies
Pour rappel, l’attaque du 29 octobre a permis aux pirates de détourner environ 6,3 milliards de dollars en cryptomonnaies depuis plusieurs portefeuilles de Binance, établissant un nouveau record. Les premières investigations de la plateforme avaient révélé la compromission possible de l’ordinateur d’un ingénieur DevOps, qui aurait permis aux attaquants d’accéder à un conteneur de service et de déclencher des retraits non autorisés. Binance a depuis découvert d’autres points de compromission, sans avoir encore établi l’ensemble du déroulement de l'intrusion.
Dans son avis de sécurité, le FBI attribue désormais formellement l’opération à TraderTraitor, un groupe nord-coréen associé à l’écosystème Lazarus. Les autorités américaines lui imputaient déjà plusieurs vols majeurs de cryptomonnaies, dont les 308 millions de dollars dérobés à DMM Bitcoin en mai 2024 et le piratage de Bybit, qui avait rapporté près de 1,5 milliard de dollars aux attaquants en février 2025.
Ces précédentes opérations avaient mis en évidence le recours à l’ingénierie sociale pour compromettre des employés ou des développeurs disposant d’accès sensibles. Le FBI ne détaille toutefois pas les éléments ayant permis d’attribuer la nouvelle attaque à TraderTraitor, ni la méthode employée pour pénétrer dans l’infrastructure de Binance.
Des centaines d’adresses identifiées pour tenter de bloquer le blanchiment
L’enquête se concentre désormais sur les déplacements des fonds volés. Selon le FBI, les pirates ont commencé à convertir une partie de leur butin en ether (ETH), une cryptomonnaie qu’ils pourraient ensuite faire transiter par des services de finance décentralisée (DeFi) et des plateformes d’échange instantané. Une succession d’opérations qui pourrait compliquer le suivi des fonds et réduire les possibilités de les geler.
Pour entraver ces transferts, le FBI a publié une liste de 628 adresses associées à l’attaque, dont 608 sur Ethereum, 19 sur Bitcoin et une sur Solana. Aux côtés du Secret Service et du service d’enquêtes criminelles de l’administration fiscale américaine (IRS-CI), l’agence demande aux plateformes d’échange, aux opérateurs de nœuds blockchain, aux services DeFi et aux autres prestataires du secteur de bloquer les transactions impliquant ces adresses ou les fonds qui en proviennent.
Des mesures de gel avaient d’ailleurs déjà été prises avant cette alerte. Dès le 30 octobre, Binance indiquait avoir obtenu, avec l’aide de ses partenaires, le gel d’environ 3 milliards de dollars d’actifs dérobés.
En attendant de savoir quelle proportion de ces fonds gelés pourra effectivement être récupérée, Binance poursuit la reconstitution de ses réserves. Dans un communiqué du 1er novembre, la plateforme a fait savoir qu’elle avait remplacé environ 95 % des actifs dérobés grâce à ses propres ressources financières, sans avoir récupéré cette proportion du butin auprès des pirates. Les 5 % manquants correspondent à des cryptomonnaies moins liquides, que l’entreprise continue de racheter.
Cette reconstitution s’accompagne d’une reprise progressive des retraits, engagée le 1er novembre après plusieurs jours de suspension. Depuis le 2 novembre, les utilisateurs peuvent également vérifier la couverture intégrale de leurs soldes pour les dix principales cryptomonnaies concernées, grâce à une preuve cryptographique des réserves publiée par Binance. La plateforme prévoit d’élargir les retraits à de nouveaux actifs le 3 novembre et s’engage à prendre intégralement en charge les pertes liées au piratage, tandis que les enquêteurs poursuivent la traque des fonds détournés.
