Imaginez un instant : plus de six milliards de dollars s’envolent d’une plateforme majeure, et quelques jours plus tard, des tokens totalement inventés, créés pour quelques dizaines de dollars, servent de pont pour faire disparaître une partie du butin. C’est exactement ce qui s’est produit avec une portion des fonds issus du piratage de Binance. Des opérateurs liés à la Corée du Nord ont mis en place un système de memecoins jetables pour déplacer environ 430 000 dollars via des pools de liquidité. Une méthode simple en apparence, redoutablement efficace pour brouiller les pistes, et pourtant toujours traçable sur la blockchain.
Une technique de blanchiment qui transforme les transferts en simples échanges
Selon l’analyse publiée le 9 novembre 2026, les responsables de ce mouvement de fonds ont créé six tokens sur la blockchain NEAR entre le 5 et le 7 novembre. Leur nom ? FUK, OLCCL, MEILI, MMLI, DABI et SINU. Chaque token a coûté environ 25 NEAR, soit à peine 90 dollars. Une mise de départ ridicule pour un outil destiné à faire circuler des centaines de milliers de dollars volés.
Ces memecoins n’avaient aucune valeur intrinsèque. Ils n’étaient pas destinés à être échangés massivement sur le marché. Leur unique rôle était de servir de couverture. Les opérateurs ont créé des pools de liquidité en les associant à du NEAR. Ensuite, un groupe de portefeuilles a utilisé les fonds volés pour « acheter » ces tokens, tandis qu’un autre groupe les revendait dans le même pool pour récupérer les actifs réels. Résultat : aucun transfert direct entre les adresses. Sur la blockchain, cela ressemble à de banals trades de memecoins.
Cette astuce n’est pas nouvelle. Elle avait déjà été repérée après le piratage de Bybit en 2025. L’objectif est clair : ralentir les investigations en multipliant les étapes et en faisant passer les mouvements pour de l’activité de trading légitime. Les tokens sont ensuite abandonnés, jetés comme des gants usagés. Mais comme le rappelle l’analyste Tom Robinson, « la piste peut toujours être suivie on-chain ».
Des pools de liquidité comme écran de fumée
Le principe est diablement simple. En interposant un pool de liquidité entre l’acheteur et le vendeur, on casse le lien direct entre les adresses. Les comptes qui reçoivent les fonds peuvent paraître ceux de traders ayant simplement réalisé une plus-value. Pour les équipes de conformité des plateformes d’échange, le risque est de considérer ces fonds comme propres uniquement parce qu’ils arrivent d’un pool.
C’est précisément ce que les blanchisseurs recherchent : gagner du temps. Chaque jour de plus avant que les fonds ne soient gelés ou que les adresses ne soient signalées représente une chance supplémentaire de convertir ou de disperser davantage d’actifs. Dans le cas présent, environ 117 000 NEAR volés ont été routés de cette manière. Des schémas similaires ont été observés sur Tron, tandis que sur Solana, les opérateurs ont préféré utiliser des tokens déjà existants mais très peu liquides.
Les memecoins jetables agissent comme des véhicules temporaires. Une fois le transfert effectué, ils n’ont plus aucune utilité et sont abandonnés. Leur faible coût de création en fait un outil particulièrement attractif pour ce type d’opération.
Un réseau de plus de 20 000 portefeuilles
L’ampleur de l’opération de blanchiment dépasse largement ces 430 000 dollars. Le tracker mis à jour le 9 novembre à 13 h 15 UTC révèle un réseau impressionnant : plus de 20 000 portefeuilles répartis sur 16 blockchains différentes. Au moins 36 services ont été utilisés, pour un total d’environ 65 000 transactions.
Depuis le 8 novembre, des portefeuilles liés au vol ont déposé environ 7 000 ETH, soit près de 15 millions de dollars, dans Tornado Cash. Certains de ces dépôts provenaient de bitcoins qui avaient déjà passé par des transactions coinjoin avant d’être reconvertis en ether. Parallèlement, autour de 3 000 BTC, valorisés à 225 millions de dollars, se sont accumulés dans de nouvelles adresses après conversion d’autres actifs volés.
Les principales positions en bitcoin et en ether n’avaient pas encore bougé au moment de l’analyse. Environ 3 milliards de dollars restaient dans des adresses liées au vol, tandis que 2,85 milliards avaient déjà été gelés. Selon les estimations, seule une quantité négligeable aurait réellement été encaissée. Le FBI a attribué le vol à TraderTraitor dès le 31 octobre et a appelé les services, y compris les opérateurs de THORChain, à bloquer les transactions liées.
Comment le piratage de Binance a-t-il pu se produire ?
Le 3 novembre, Binance a détaillé le déroulement de l’intrusion. Il ne s’agissait pas d’un assaut technique direct contre les systèmes de la plateforme, mais d’une opération de longue haleine ciblant des employés. Pendant plusieurs mois, les attaquants ont utilisé des logiciels de développement, de fausses offres d’emploi et des entretiens de recrutement pour s’introduire progressivement dans les systèmes internes.
Dès juin, une première rencontre avec une installation Homebrew altérée avait déjà exposé le rôle d’un ingénieur et de certains de ses collègues. Puis, en septembre, lors d’un processus d’entretien, un ingénieur a téléchargé un dépôt de code de test sur un ordinateur de travail. Un code malveillant a remplacé un outil de développement légitime et a réussi à passer au travers des systèmes de sécurité endpoint.
Le 20 octobre, l’attaquant a utilisé la machine compromise et un outil d’intelligence artificielle interne pour atteindre les ordinateurs de deux ingénieurs en charge des portefeuilles. Les identifiants de déploiement de conteneurs volés ont ensuite permis d’accéder aux opérations de signature des portefeuilles. L’impact a été estimé à 6,34 milliards de dollars. Binance a indiqué avoir provisionné plus que le montant total pour couvrir les pertes des clients.
Le rôle des autorisations EIP-7702
Des analyses techniques séparées ont montré comment des permissions malveillantes EIP-7702 ont permis à un portefeuille Ethereum d’exécuter du code contrôlé par l’attaquant. Cinquante autorisations ont été soumises en une seule transaction. L’une d’elles a réussi à correspondre au compteur de transaction du portefeuille Binance 14.
Parce que ce portefeuille traitait activement des retraits, son compteur changeait constamment. Les autorisations couvraient des valeurs de compteur consécutives, offrant ainsi à l’attaquant plusieurs chances de faire correspondre la valeur au moment de l’exécution de la transaction. L’enquête initiale de Binance n’a trouvé aucune preuve de fuite de clé privée de portefeuille.
Les fonds gelés sur Arbitrum et le processus de récupération
Parmi les efforts de récupération, une demande formulée le 5 novembre concerne des actifs gelés sur Arbitrum : 8 425,997 ETH et 74,56 millions d’ARB. Le Security Council du réseau a temporairement mis à niveau un contrat pour déplacer ces actifs vers une adresse gelée, avant de restaurer l’implémentation d’origine. Pour les déplacer à nouveau, une approbation de la DAO est nécessaire.
Binance a proposé de récupérer les actifs gelés via une mise à niveau temporaire de contrat, sans demander une nouvelle allocation de trésorerie. Ces fonds récupérés pourraient servir à couvrir les coûts liés à l’incident et à reconstituer les réserves déjà utilisées pour indemniser les clients. Le calendrier envisagé s’étale sur au moins sept semaines : une semaine de discussion sur le forum, une semaine de temperature check, deux semaines de vote on-chain, puis environ 18 jours supplémentaires avant l’exécution après approbation.
À retenir : Même si une partie des fonds a été gelée rapidement, le processus de restitution via la gouvernance d’Arbitrum prendra plusieurs semaines. La patience reste de mise pour les équipes de récupération.
Pourquoi les memecoins attirent-ils les blanchisseurs ?
Le marché des memecoins offre un terrain de jeu idéal pour ce type d’opérations. Créer un token coûte très peu. La liquidité peut être ajoutée rapidement. Et le volume de transactions quotidiennes sur de nombreux pools est suffisamment élevé pour masquer des mouvements de quelques centaines de milliers de dollars. Les tokens n’ont pas besoin d’avoir une communauté ni un projet derrière eux. Leur existence éphémère suffit.
Cette méthode s’inscrit dans une tendance plus large. Les acteurs malveillants multiplient les techniques de fragmentation et d’obscurcissement. Coinjoin, mixers, bridges inter-chaînes, pools de liquidité, tokens jetables… Chaque couche ajoute de la complexité pour les analystes. Pourtant, la transparence inhérente à la blockchain reste un atout majeur pour les enquêteurs. Une fois le schéma identifié, il devient possible de retracer l’ensemble des flux.
Dans le cas des tokens FUK, OLCCL et des autres, le coût de création était si faible que le rapport risque-bénéfice était clairement favorable aux blanchisseurs. Même si l’opération ne permettait de déplacer qu’une fraction du butin total, elle montrait la capacité d’adaptation de ces groupes face aux mesures de gel et de surveillance.
Les leçons pour les équipes de conformité
L’un des points les plus importants soulignés par l’analyse est que les fonds provenant d’un pool de liquidité ne doivent pas automatiquement être considérés comme propres. Les équipes de compliance doivent examiner l’historique des tokens, la date de création des pools, les volumes inhabituels et les liens entre les adresses qui ont fourni la liquidité initiale.
Dans un environnement où les memecoins se multiplient à une vitesse vertigineuse, la surveillance manuelle devient quasi impossible. Les outils d’analyse on-chain et les alertes automatisées prennent une importance croissante. Identifier rapidement les tokens nouvellement créés associés à des mouvements de fonds suspects peut faire la différence entre un gel efficace et une fuite de capital.
Les plateformes d’échange et les protocoles DeFi sont directement concernés. THORChain a déjà été mentionné dans les appels à la vigilance. D’autres services de bridging ou de mixage pourraient également être sollicités pour bloquer les adresses signalées.
Un butin encore largement immobilisé
Malgré l’ampleur des mouvements observés, la grande majorité des fonds volés reste immobilisée. Trois milliards de dollars environ se trouvent toujours dans des adresses liées au vol, et près de 2,85 milliards ont déjà été gelés. Les 430 000 dollars passés par les memecoins NEAR ne représentent qu’une infime partie du total. Cela montre à la fois la détermination des blanchisseurs et les limites actuelles de leurs capacités de conversion rapide à grande échelle.
Les 7 000 ETH envoyés vers Tornado Cash et les 3 000 BTC accumulés dans de nouvelles adresses illustrent une stratégie de dispersion progressive. Les opérateurs semblent tester différentes voies, en quantités limitées, avant d’éventuellement augmenter les volumes. Cette approche prudente s’explique par la surveillance intense qui pèse sur ce dossier depuis le début.
Le fait que les principales positions en bitcoin et en ether n’aient pas encore bougé suggère que les blanchisseurs attendent peut-être un moment plus favorable ou cherchent à consolider d’autres canaux avant de déplacer les montants les plus importants.
L’impact sur la confiance dans l’écosystème
Un piratage de cette magnitude, même s’il a été largement couvert par des provisions, laisse des traces. Les utilisateurs s’interrogent sur la sécurité des processus internes des grandes plateformes. L’attaque par ingénierie sociale et par compromission d’employés rappelle que le maillon faible reste souvent l’humain, malgré les investissements massifs en sécurité technique.
Pour l’écosystème crypto dans son ensemble, ces événements alimentent le débat sur la régulation et sur la responsabilité des acteurs. Les mixers comme Tornado Cash, déjà sous le feu des critiques, se retrouvent une nouvelle fois au centre des discussions. Les techniques de blanchiment via memecoins ajoutent une couche de complexité supplémentaire pour les régulateurs et les forces de l’ordre.
Pourtant, la rapidité avec laquelle une partie des fonds a été gelée et l’identification précise des schémas de blanchiment montrent aussi les progrès réalisés en matière de traçabilité. La blockchain, souvent critiquée pour son anonymat, s’avère en réalité un outil puissant pour les investigations lorsqu’elle est correctement analysée.
Quels scénarios pour la suite ?
Plusieurs hypothèses se dessinent. Les blanchisseurs pourraient continuer à utiliser des tokens jetables sur d’autres chaînes, en cherchant des pools moins surveillés. Ils pourraient également intensifier l’utilisation de mixers ou de bridges moins connus. Une autre possibilité est qu’ils tentent de faire passer les fonds par des plateformes centralisées moins strictes en matière de KYC, même si cela représente un risque élevé.
Du côté de Binance et des autorités, la priorité reste le gel maximal des actifs et la récupération progressive des sommes immobilisées. Le processus sur Arbitrum constituera un test important pour la gouvernance des protocoles décentralisés face à des situations de crise. Si le vote aboutit favorablement, cela pourrait créer un précédent utile pour d’autres incidents futurs.
Les prochaines semaines seront déterminantes. Chaque mouvement de fonds, chaque nouveau token créé, chaque dépôt dans un mixer sera scruté. Les outils d’analyse on-chain n’ont jamais été aussi sophistiqués, et la coopération internationale autour de ce dossier semble active.
Une méthode qui ne restera pas isolée
L’utilisation de memecoins comme véhicules de blanchiment a toutes les chances de se répéter. Le faible coût, la rapidité de mise en place et l’apparence de légitimité conférée par les pools de liquidité en font un outil de choix. D’autres groupes, qu’ils soient étatiques ou purement criminels, observeront attentivement les résultats de cette opération.
Pour les défenseurs, l’enjeu consiste à automatiser davantage la détection de ces schémas. Des alertes sur les tokens créés récemment, associés à des dépôts de liquidité suivis rapidement de volumes inhabituels, pourraient devenir standard. La collaboration entre les plateformes d’analyse, les exchanges et les forces de l’ordre s’avère plus que jamais nécessaire.
En attendant, les 430 000 dollars passés par les tokens FUK, OLCCL, MEILI, MMLI, DABI et SINU constituent un cas d’école. Ils illustrent à la fois l’ingéniosité des blanchisseurs et les limites de leurs tentatives face à une surveillance on-chain de plus en plus fine.
Le contexte plus large des attaques liées à la Corée du Nord
Ce n’est pas la première fois que des acteurs liés à la Corée du Nord sont accusés de piratages majeurs dans l’écosystème crypto. Au fil des années, plusieurs incidents de grande ampleur ont été attribués à des groupes associés à ce pays. L’objectif semble souvent être de générer des devises étrangères pour contourner les sanctions internationales.
La sophistication des méthodes évolue. Des attaques purement techniques ont laissé place à des campagnes d’ingénierie sociale complexes, mêlant faux recrutements, logiciels malveillants et exploitation d’outils internes. Le cas de Binance montre jusqu’où ces opérations peuvent aller lorsqu’elles ciblent des employés disposant d’accès sensibles.
Pour les entreprises du secteur, cela implique de renforcer non seulement les défenses techniques, mais aussi la sensibilisation des équipes, les processus de recrutement et le contrôle des logiciels installés sur les machines de travail. La moindre faille humaine peut ouvrir la porte à des pertes colossales.
Les défis de la traçabilité multi-chaînes
Avec plus de 16 blockchains impliquées et des dizaines de services utilisés, le suivi des fonds devient un défi technique considérable. Chaque bridge, chaque swap, chaque passage par un mixer ajoute une couche de complexité. Les analystes doivent croiser des données provenant de réseaux aux architectures très différentes.
Pourtant, les progrès réalisés ces dernières années en matière d’outils d’analyse cross-chain sont réels. Les clusterings d’adresses, l’identification de patterns comportementaux et le partage d’informations entre acteurs privés et publics permettent aujourd’hui de cartographier des opérations d’une ampleur autrefois impensable.
Dans le cas présent, le fait d’avoir pu identifier précisément les six tokens NEAR, les montants routés et les adresses impliquées en l’espace de quelques jours montre que la transparence de la blockchain reste un avantage décisif, à condition de disposer des compétences et des outils adaptés.
Ce que révèle cette affaire sur l’état de la sécurité crypto
Le piratage de Binance et les tentatives de blanchiment qui ont suivi offrent un miroir de l’écosystème actuel. D’un côté, des attaquants extrêmement déterminés, disposant de ressources et de patience. De l’autre, des plateformes qui investissent massivement dans la sécurité mais restent vulnérables aux failles humaines et organisationnelles.
Les memecoins, souvent perçus comme un simple phénomène de mode ou un terrain de jeu spéculatif, se révèlent aussi un outil potentiel pour des activités illicites. Leur démocratisation et la facilité de création de tokens sur de nombreuses chaînes rendent ce risque structurel.
Pour les investisseurs et les utilisateurs, le message est clair : la diligence reste de mise. Les fonds peuvent être gelés, les adresses signalées, mais la récupération complète n’est jamais garantie. Les provisions constituées par Binance ont permis d’éviter un scénario catastrophe pour les clients, mais tous les acteurs n’ont pas nécessairement les mêmes capacités financières.
Au final, cette histoire de 430 000 dollars passés par des memecoins jetables n’est qu’un épisode dans une bataille beaucoup plus large. Une bataille où la transparence de la blockchain, l’ingéniosité des analystes et la coopération internationale se heurtent à la créativité et à la détermination de groupes cherchant à transformer des actifs numériques volés en liquidités utilisables. Pour l’instant, la plus grande partie du butin reste hors d’atteinte des blanchisseurs. Mais la vigilance doit rester maximale.
