Imaginez un instant : plus de six milliards de dollars s’envolent en quelques heures, et quelques jours plus tard, une partie de ces fonds commence à se glisser discrètement dans un outil de confidentialité. C’est exactement ce qui vient de se produire. Un adresse liée au pirate de Binance a déposé 8 567 SOL, soit environ 798 000 dollars, dans Privacy Cash. Ce mouvement n’est pas anodin. Il marque une nouvelle étape dans la tentative de faire disparaître les traces des cryptomonnaies volées.
Un nouveau chapitre dans la course aux fonds volés
Le 29 octobre dernier, Binance a subi l’une des attaques les plus importantes de l’histoire des plateformes d’échange. Le montant total des actifs touchés s’élève à 6,34 milliards de dollars. Depuis, les enquêteurs on-chain, les autorités et l’exchange lui-même se livrent à une course contre la montre. Chaque transfert, chaque conversion, chaque passage par un nouveau portefeuille est scruté à la loupe.
Le 3 novembre, le compte de surveillance Onchain Lens a révélé que plusieurs adresses associées au pirate avaient commencé à utiliser Privacy Cash. L’une d’elles a envoyé exactement 8 567 SOL. D’autres mouvements similaires ont été repérés presque simultanément. Ces opérations ne ressemblent pas à de simples transferts. Elles semblent s’inscrire dans une stratégie plus large de dilution des traces.
Ce que révèle le dépôt dans Privacy Cash
Privacy Cash n’est pas un simple portefeuille. Il s’agit d’un outil conçu pour renforcer la confidentialité des transactions. En y déposant des fonds, l’utilisateur cherche à rompre le lien direct entre l’adresse d’origine et les destinations futures. Pour les enquêteurs, ce type de mouvement complique considérablement le suivi.
Onchain Lens a publié une capture d’écran montrant plusieurs transactions entrantes vers Privacy Cash. Le compte a également partagé le lien vers l’adresse Solscan concernée. Ces éléments permettent à la communauté de suivre en temps réel l’évolution des mouvements. Mais ils montrent surtout que le pirate, ou ceux qui agissent pour lui, n’a pas abandonné l’idée de blanchir une partie des fonds.
Ce n’est pas la première tentative de ce genre. Avant Privacy Cash, les fonds avaient déjà circulé à travers de nouveaux portefeuilles, des vaults de prêt et un service de liquid staking. Une partie a ensuite été convertie en Bitcoin. L’objectif semble clair : multiplier les étapes pour rendre le suivi plus difficile et plus long.
Les chiffres d’Elliptic éclairent le tableau
Selon l’analyse actualisée d’Elliptic, environ 87 000 SOL, évalués à près de 8 millions de dollars, avaient déjà quitté le portefeuille d’origine du vol vers 8 h 40 UTC le 3 novembre. Ces SOL ont transité par plusieurs couches de portefeuilles intermédiaires avant d’être vendus ou transformés en Bitcoin.
Plus tôt, la même société avait identifié environ 28 BTC passant par 18 transactions CoinJoin entre le 1er et le début du 2 novembre. Ces opérations de mélange sur Bitcoin visent précisément à brouiller les pistes. Malgré ces efforts, Elliptic estime que les adresses encore liées au vol détiennent environ 3,18 milliards de dollars, principalement en Ethereum et en Bitcoin. La part déjà monétisée resterait, selon eux, négligeable.
Ces chiffres sont importants. Ils montrent que la grande majorité des fonds volés n’a pas encore été convertie en liquidités monétaires. Cela laisse une fenêtre, certes étroite, pour d’éventuelles interventions ou freezes supplémentaires.
Binance reconstitue presque intégralement les actifs
Pendant que les fonds circulent, Binance travaille de son côté à rétablir la situation pour ses utilisateurs. Le co-CEO Richard Teng a déclaré le 3 novembre que l’exchange avait déjà reconstitué 98 % des 6,34 milliards de dollars d’actifs touchés. Les tokens moins liquides sont encore en cours d’acquisition.
Il a également annoncé que la dernière preuve de réserves avait été finalisée. Cette communication vise clairement à rassurer les clients. Pourtant, il faut bien distinguer deux réalités. D’un côté, Binance rachète ou réattribue des actifs pour couvrir les soldes des utilisateurs. De l’autre, les fonds réellement volés continuent d’être déplacés par le pirate. Les 98 % concernent la reconstitution interne, pas la récupération des cryptomonnaies détournées.
Cette distinction est essentielle pour comprendre la situation. Les utilisateurs peuvent voir leurs soldes restaurés, mais les actifs originaux restent, pour une large part, hors de portée des autorités et de la plateforme.
Comment l’attaque a réellement eu lieu
Selon les informations communiquées par Binance, l’attaque n’a pas reposé uniquement sur une faille technique pure. Elle a combiné ingénierie sociale et accès privilégié. Les pirates ont mené une campagne de recrutement fictive pendant plusieurs mois. Ils se sont présentés comme des recruteurs crédibles, ont simulé des entretiens et ont même fait intervenir une fausse figure de dirigeant.
Une mission de codage apparemment banale a servi de porte d’entrée. Du logiciel malveillant a été introduit, permettant d’atteindre les systèmes qui autorisent les transactions de portefeuilles. Un outil d’intelligence artificielle interne a également été compromis. Cet outil, comme beaucoup d’autres dans les entreprises, disposait de permissions larges et n’était pas encore suffisamment cloisonné.
Ce scénario rappelle que les attaques les plus sophistiquées mêlent souvent dimension humaine et dimension technique. Les contrôles techniques seuls ne suffisent plus lorsque la confiance professionnelle est exploitée de manière méthodique.
Le regard d’une professionnelle de la sécurité
Ashna Vaghela, responsable client chez Mercuryo, a commenté l’affaire avec une lucidité remarquable. Selon elle, le détail le plus important n’est pas technique, mais humain.
« Il s’agissait d’une campagne de plusieurs mois visant une personne plutôt qu’un système : un recruteur crédible, un “CEO” crédible, une mission de codage routinière. »
Elle souligne que cette approche exploite l’ambition et la confiance professionnelle. Les banques, les fintechs et toutes les entreprises qui emploient des ingénieurs sont potentiellement exposées aux mêmes tactiques. Les contrôles techniques restent indispensables, mais les collaborateurs constituent la première ligne de défense.
Ashna Vaghela insiste sur la nécessité d’une formation continue et réaliste. Cette formation doit couvrir les approches qui se déroulent en dehors des canaux officiels de l’entreprise. Un message LinkedIn, une proposition d’entretien, un test technique envoyé par un “recruteur” peuvent devenir autant de vecteurs d’attaque.
Les outils d’intelligence artificielle internes sous surveillance
L’utilisation d’outils d’IA internes soulève une question nouvelle. Ces systèmes se placent souvent près des données sensibles et reçoivent des permissions étendues. Ils sont adoptés rapidement, parfois plus vite que les politiques de sécurité ne peuvent les accompagner.
Vaghela recommande de traiter chaque outil d’IA interne comme un système privilégié. Cela implique des contrôles d’accès stricts, une surveillance continue et des mécanismes de détection basés eux-mêmes sur l’intelligence artificielle. Les attaquants peuvent utiliser l’IA pour rendre leurs approches plus convaincantes et automatiser certaines phases. Les défenseurs peuvent, de leur côté, s’en servir pour repérer les anomalies et les transactions inhabituelles en temps réel.
Elle rappelle toutefois une limite claire : l’IA seule ne préviendra pas les piratages. Une architecture de sécurité solide, des contrôles en couches, une surveillance permanente et des équipes expérimentées restent indispensables.
La réponse collective encore perfectible
Sur le plan de la réaction, Ashna Vaghela appelle à un partage plus rapide des informations de menace, à des freezes plus rapides et à une coopération renforcée entre exchanges, prestataires de paiement, banques et régulateurs. L’affaire a déjà montré qu’une intervention coordonnée peut être efficace. Circle a ainsi réussi à geler la totalité des 823 millions de USDC volés avant qu’ils ne puissent être échangés.
Le FBI a quant à lui attribué le vol au groupe TraderTraitor et a publié les adresses des attaquants le 31 octobre. Ces actions démontrent que la collaboration entre le secteur privé et les forces de l’ordre peut freiner la circulation des fonds. Pourtant, la multiplication des outils de confidentialité et des chaînes de blocs rend chaque jour le suivi plus complexe.
Pourquoi Privacy Cash attire l’attention
Le choix de Privacy Cash n’est pas anodin. Après les passages par des vaults de prêt, le liquid staking et les CoinJoin sur Bitcoin, le pirate explore de nouvelles voies. Chaque outil de confidentialité ajoute une couche d’opacité. Pour les analystes on-chain, ces mouvements obligent à reconstruire des graphes de transactions toujours plus denses et à croiser davantage de sources.
Les 798 000 dollars déposés représentent une fraction minime des 6,34 milliards initiaux. Mais ils signalent une intention claire : tester et utiliser des mécanismes qui rendent le suivi plus difficile. D’autres adresses montrent des comportements similaires, ce qui laisse penser que plusieurs opérateurs ou plusieurs scripts agissent de concert.
Les leçons pour l’ensemble de l’écosystème
Cette affaire dépasse le simple cas Binance. Elle illustre plusieurs tendances qui touchent l’ensemble du secteur. Premièrement, l’ingénierie sociale reste une des armes les plus efficaces. Deuxièmement, les outils d’IA internes élargissent la surface d’attaque s’ils ne sont pas correctement sécurisés. Troisièmement, la reconstitution des fonds par l’exchange et la récupération effective des actifs volés sont deux processus distincts qui avancent à des vitesses très différentes.
Les entreprises qui manipulent des volumes importants de cryptomonnaies doivent désormais intégrer ces réalités dans leurs politiques de sécurité. La formation des équipes, le cloisonnement des permissions et la surveillance des mouvements on-chain deviennent des priorités absolues.
Voici quelques points concrets qui ressortent de cette séquence :
- Les campagnes de recrutement fictives peuvent s’étaler sur plusieurs mois et paraître parfaitement légitimes.
- Les outils d’IA internes doivent être considérés comme des systèmes à haut privilège.
- Les freezes rapides, comme celui de Circle sur les USDC, restent l’un des moyens les plus efficaces pour limiter les dégâts.
- La reconstitution des soldes utilisateurs par un exchange ne signifie pas que les fonds originaux ont été récupérés.
- Les outils de confidentialité comme Privacy Cash et les CoinJoin compliquent considérablement le travail des enquêteurs.
Ce que l’on peut encore attendre dans les prochains jours
Les prochaines heures et les prochains jours seront déterminants. Onchain Lens et d’autres acteurs de la surveillance on-chain continuent de suivre les mouvements en temps réel. Toute nouvelle sortie de fonds vers d’autres mixeurs ou d’autres chaînes sera immédiatement signalée. De leur côté, les autorités peuvent encore geler des adresses identifiées si elles disposent des informations nécessaires.
Binance, quant à elle, devrait finaliser l’acquisition des derniers tokens moins liquides pour atteindre les 100 % de reconstitution. La communication de Richard Teng laisse penser que l’objectif est proche. Mais même une reconstitution complète ne clôturera pas l’affaire. Les 3,18 milliards de dollars encore présents dans les adresses liées au vol restent un enjeu majeur.
La communauté crypto observe désormais avec attention la manière dont les fonds évoluent. Chaque nouveau dépôt dans un outil de confidentialité, chaque conversion en Bitcoin, chaque passage par un vault est analysé. Cette transparence relative de la blockchain, même lorsqu’elle est contrariée par des mécanismes de mélange, reste un atout pour les enquêteurs.
Une affaire qui redéfinit les priorités de sécurité
Au-delà des montants et des mouvements techniques, cette séquence force l’écosystème à reconsidérer ses priorités. La sécurité ne peut plus se limiter aux smart contracts et aux audits de code. Elle doit intégrer la dimension humaine de façon beaucoup plus sérieuse. Les entretiens d’embauche, les tests techniques, les messages reçus en dehors des canaux officiels doivent faire l’objet de protocoles clairs.
Les entreprises doivent également revoir la gouvernance de leurs outils d’intelligence artificielle. Chaque permission accordée à un système automatisé élargit potentiellement la surface d’attaque. Traiter ces outils comme des systèmes privilégiés n’est plus une option, c’est une nécessité.
Enfin, la coopération entre les différents acteurs – exchanges, émetteurs de stablecoins, prestataires de paiement, forces de l’ordre – doit s’accélérer. Les freezes réussis montrent que l’action collective peut produire des résultats concrets. Mais pour que ces résultats deviennent la norme plutôt que l’exception, les canaux d’échange d’informations doivent être plus fluides et plus rapides.
Le dépôt de 798 000 dollars en SOL dans Privacy Cash n’est qu’un épisode dans une histoire plus large. Pourtant, il symbolise parfaitement le dilemme actuel : d’un côté, les outils de confidentialité se multiplient et se perfectionnent ; de l’autre, les capacités de traçage on-chain et les mécanismes de freezes progressent également. L’équilibre entre ces deux forces déterminera, dans les mois à venir, la capacité du secteur à protéger réellement les actifs de ses utilisateurs.
Pour l’instant, le pirate continue de déplacer des fonds, Binance reconstitue ses réserves, et la communauté surveille chaque transaction. L’affaire n’est pas terminée. Elle vient simplement d’entrer dans une nouvelle phase, plus discrète, plus technique, et potentiellement plus difficile à suivre.
