Imaginez un instant : plus de six milliards de dollars s’envolent d’une plateforme d’échange en quelques heures, et des semaines plus tard, une petite partie de ces fonds commence à disparaître dans le brouillard numérique. C’est exactement ce qui se produit en ce moment. Le pirate derrière le colossal vol chez Binance a décidé de faire passer environ 2,2 millions de dollars en Bitcoin à travers des transactions CoinJoin. Pendant ce temps, 3,24 milliards de dollars restent encore clairement visibles sur les blockchains publiques. L’histoire n’est pas terminée, elle entre simplement dans une nouvelle phase plus sophistiquée.
Un nouveau chapitre dans le plus grand vol crypto de l’année
Le 29 octobre, Binance a subi l’une des attaques les plus spectaculaires de son histoire. Les estimations initiales parlaient d’environ 6,3 milliards de dollars. Les analystes d’Elliptic ont ensuite affiné le chiffre à 6,43 milliards. Une somme vertigineuse qui a fait trembler tout l’écosystème. Depuis, les enquêteurs suivent chaque mouvement avec une précision chirurgicale. Et ce 1er novembre, quelque chose a changé.
À 05h55 UTC, les premières transactions CoinJoin ont été détectées. Environ 28 BTC, soit à peu près 2,2 millions de dollars au cours du moment, ont commencé à entrer dans des pools de mixage. Dix-huit opérations distinctes ont été recensées entre le 1er et le début du 2 novembre. Ce n’est pas encore un raz-de-marée, mais c’est un signal clair : le pirate, ou le groupe derrière lui, passe à l’étape suivante.
Pourquoi CoinJoin change la donne
CoinJoin n’est pas un outil magique qui efface complètement les traces. C’est plutôt un procédé qui rend le suivi beaucoup plus difficile. Plusieurs participants mettent leurs bitcoins dans une même transaction. Les sorties deviennent alors beaucoup plus difficiles à relier aux entrées. C’est un peu comme si plusieurs personnes jetaient leurs billets dans un chapeau, les mélangeaient, puis récupéraient une somme équivalente sans que personne ne puisse dire exactement d’où vient chaque billet.
Dans ce cas précis, les bitcoins mixés ne viennent pas directement des 18 270 BTC volés sur Binance. Ces derniers restent toujours immobilisés dans 19 adresses. Les fonds qui passent par CoinJoin proviennent de conversions. Des actifs volés, notamment sur Tron, ont d’abord été transformés en Bitcoin. Une partie de l’Ethereum a également été convertie avant d’emprunter le même chemin. Le protocole utilisé est WabiSabi, celui que l’on retrouve notamment dans Wasabi Wallet et d’autres solutions de confidentialité similaires.
Elliptic a scruté près de 12 000 portefeuilles, 11 blockchains et plus de 40 000 transactions pour arriver à ces conclusions. Le travail est titanesque. Et pourtant, selon leurs estimations, une quantité négligeable de fonds aurait déjà été encaissée. Les 3,24 milliards de dollars encore liés aux adresses du vol représentent donc principalement des actifs toujours visibles, sans pour autant garantir que les enquêteurs savent exactement qui les contrôle à chaque instant.
44 % des fonds déjà gelés ou saisis
Avant même que le mixage ne commence, une partie importante de l’argent volé avait déjà été neutralisée. Elliptic estime que 2,85 milliards de dollars ont été gelés ou saisis. Cela représente environ 44,3 % du total. Une performance impressionnante, surtout quand on regarde de plus près la composition de ces fonds bloqués.
Les stablecoins constituent 94 % des montants restreints. Tether, Circle et d’autres émetteurs ont réagi rapidement. Sur Arbitrum et Optimism, les mécanismes de gouvernance ont également permis de sécuriser certains actifs. La distinction est importante : un émetteur peut geler un token qu’il contrôle, comme RLUSD pour Ripple, mais il ne peut rien faire contre un actif natif comme le XRP, le Bitcoin ou le SOL.
Rien de ce qui a été volé sur Bitcoin, le XRP Ledger, Solana ou NEAR n’a pu être gelé selon les dernières analyses. Sur Ethereum, les pertes les plus lourdes atteignent 3,8 milliards de dollars répartis sur 186 tokens différents. Quatre catégories d’actifs représentent à elles seules 74 % du vol total : l’USDT sur Ethereum, le Bitcoin, l’USDC et l’USDT sur Tron.
À retenir : 2,85 milliards déjà neutralisés, 3,24 milliards encore suivis, et maintenant 2,2 millions qui tentent de se fondre dans l’anonymat des CoinJoin. Le compte à rebours est lancé.
Des schémas automatisés détectés dès le 31 octobre
Avant le passage aux mixeurs, les analystes avaient déjà repéré des comportements très particuliers. Le 31 octobre, un portefeuille de distribution sur Tron envoyait des fonds toutes les heures pendant 31 heures d’affilée, sans interruption nocturne. Les adresses destinataires transféraient généralement l’argent en moins de deux minutes. Les montants de swap se répétaient, les intervalles étaient réguliers. Tout pointait vers un logiciel automatisé plutôt qu’une intervention humaine manuelle.
Quand un bridge refusait un dépôt, les fonds étaient renvoyés vers la même destination depuis de nouveaux portefeuilles créés à la volée. À la fin du 31 octobre, environ 196 millions de dollars avaient déjà quitté le portefeuille de distribution principal, répartis sur près de 200 adresses. Les transferts nocturnes atteignaient entre 7 et 11 millions de dollars de l’heure. Un rythme impressionnant qui montrait une organisation méthodique.
Pour les services qui scrutent les fonds entrants, le message est clair : un contrôle unique ne suffit plus. Une adresse peut être propre à un moment donné et recevoir des actifs liés au vol quelques heures plus tard. La surveillance continue devient indispensable.
L’attribution au groupe TraderTraitor
Le FBI a attribué le vol au groupe TraderTraitor, lié à la Corée du Nord. Elliptic avait déjà pointé du doigt cette organisation dans ses analyses précédentes. Ce n’est pas la première fois que des acteurs nord-coréens sont accusés d’avoir orchestré des attaques massives contre des plateformes crypto. Les fonds volés servent souvent à contourner les sanctions internationales et à financer des programmes sensibles.
Cette dimension géopolitique ajoute une couche de complexité supplémentaire. Suivre de l’argent purement criminel est déjà difficile. Quand s’y ajoute un État-nation, les enjeux montent d’un cran. Les outils de mixage comme CoinJoin deviennent alors des armes dans une guerre d’influence plus large.
Binance rembourse avec ses propres fonds
Pendant que les enquêteurs traquent les bitcoins mixés, Binance a choisi une stratégie radicale pour protéger ses utilisateurs. L’exchange a décidé de remplacer les actifs volés avec ses propres réserves. Plus de 6,34 milliards de dollars ont été alloués à cette opération. Cinq milliards étaient déjà disponibles en cryptomonnaies correspondantes au moment de la deuxième mise à jour de récupération.
Le 31 octobre, Binance annonçait que le réapprovisionnement avait atteint environ 90 %. Les sources de financement incluent le Secure Asset Fund for Users, une partie du Futures Insurance Fund, ainsi que des fonds de l’entreprise. Les derniers achats concernent des tokens moins liquides, ce qui explique que le processus prenne un peu plus de temps.
Un point technique mérite d’être souligné : le Futures Insurance Fund n’entre pas dans le Proof of Reserves. Ce fonds appartient à l’entreprise. Les contrôles de réserves des utilisateurs portent uniquement sur les actifs qui garantissent leurs propres soldes. Cette distinction est importante pour comprendre la solidité réelle de la plateforme.
Le remboursement ne résout pas tout. Il protège les utilisateurs immédiats, mais il ne récupère pas les fonds volés et n’empêche pas de futurs attaques du même type.
Ce que le mixage révèle sur la stratégie du pirate
Le fait de commencer par de petits montants via CoinJoin n’est probablement pas un hasard. Tester le système, observer les réactions des analyseurs de blockchain, voir si les pools de mixage restent disponibles : tout cela fait partie d’une approche prudente. Les 18 270 BTC volés directement restent intacts. Leur immobilisation peut être volontaire, en attendant de meilleures conditions pour les déplacer.
Les conversions préalables d’ETH et d’autres actifs en Bitcoin montrent aussi une volonté de concentrer les efforts sur un seul réseau où les outils de confidentialité sont plus matures. Bitcoin dispose d’un écosystème de mixage plus développé que la plupart des autres chaînes. Wasabi Wallet et les protocoles comme WabiSabi offrent un niveau d’anonymat difficile à égaler ailleurs.
Pourtant, les outils d’analyse progressent eux aussi. Elliptic et d’autres sociétés spécialisées améliorent constamment leurs algorithmes. Même un CoinJoin bien exécuté laisse parfois des traces statistiques. Le volume, le timing, les adresses de sortie : tout peut être croisé. Le duel entre ceux qui veulent effacer les traces et ceux qui veulent les retrouver n’a jamais été aussi intense.
Les implications pour l’ensemble de l’écosystème
Ce vol et ses suites forcent tout le secteur à se poser des questions difficiles. Comment une plateforme de la taille de Binance a-t-elle pu perdre autant d’actifs en si peu de temps ? Quelles failles ont été exploitées ? Les réponses détaillées n’ont pas encore toutes été rendues publiques, mais les conséquences se font déjà sentir.
Les émetteurs de stablecoins ont démontré qu’ils pouvaient réagir vite. C’est une force, mais aussi un rappel que ces tokens ne sont pas vraiment décentralisés. Quand un émetteur peut geler des millions en quelques heures, la notion d’immutabilité prend un autre sens. Pour les actifs natifs comme le Bitcoin, le problème est différent : une fois sortis, ils sont presque impossibles à récupérer sans coopération du détenteur.
Les bridges et les protocoles de swap sont également sous surveillance. Les schémas automatisés observés montrent que les pirates maîtrisent parfaitement ces outils. Chaque point de friction devient une opportunité de ralentir ou de bloquer les flux. Les équipes de compliance des plateformes devront adapter leurs systèmes de détection en temps réel.
Chronologie simplifiée des événements clés :
- 29 octobre : vol estimé à plus de 6,3 milliards de dollars
- 31 octobre : distribution automatisée massive sur Tron
- 1er novembre 05h55 UTC : premiers CoinJoin détectés
- 2 novembre : 28 BTC passés par 18 transactions de mixage
- Situation actuelle : 3,24 milliards encore suivis, 2,85 milliards gelés
La course contre la montre continue
Chaque jour qui passe augmente les chances que les fonds restants deviennent plus difficiles à tracer. Les CoinJoin déjà réalisés ne représentent qu’une fraction minime du total. Si le rythme s’accélère, les analystes devront travailler encore plus vite. Les 18 270 BTC immobilisés constituent un réservoir énorme. Leur sortie progressive, si elle se produit, pourrait saturer les outils de suivi.
Binance, de son côté, a choisi de prioriser ses utilisateurs. En injectant ses propres fonds, l’exchange limite les dégâts immédiats sur la confiance. Mais la question de la récupération des actifs volés reste ouverte. Les autorités, les sociétés d’analyse et les plateformes d’échange devront continuer à collaborer étroitement.
Le mixage de 2,2 millions de dollars n’est peut-être que le début. Ou peut-être un test. Dans les deux cas, il marque un tournant. Les prochains jours et les prochaines semaines diront si le pirate réussit à faire disparaître davantage de fonds dans le brouillard des transactions mixtes, ou si les filets se resserrent assez vite pour l’en empêcher.
Ce que les utilisateurs doivent retenir
Pour les détenteurs de cryptomonnaies, cette affaire rappelle plusieurs vérités essentielles. Même les plus grandes plateformes ne sont pas invulnérables. La diversification des risques reste une règle d’or. Les outils de confidentialité existent et sont utilisés, parfois par des acteurs malveillants. Et enfin, la transparence de la blockchain, souvent présentée comme un avantage, est aussi une arme à double tranchant : elle permet le suivi, mais elle montre aussi clairement l’ampleur des vols.
Les stablecoins ont prouvé qu’ils pouvaient être gelés rapidement. C’est rassurant pour les victimes, mais cela soulève des questions sur le degré de centralisation réel de ces actifs. Le Bitcoin, lui, reste le plus difficile à récupérer une fois volé. C’est à la fois sa force et sa faiblesse.
Dans les semaines à venir, l’attention se portera sur deux fronts : la capacité de Binance à finaliser le remboursement des derniers tokens, et l’efficacité des enquêteurs à suivre les fonds qui tentent de se cacher derrière CoinJoin. L’histoire est loin d’être terminée. Elle vient simplement d’entrer dans une phase plus discrète, plus technique, et potentiellement plus dangereuse pour ceux qui espèrent encore récupérer une partie de l’argent disparu.
Le pirate a commencé à mixer. Les analystes ont commencé à compter. Et l’écosystème crypto tout entier regarde, retenant son souffle, pour voir qui gagnera cette course de vitesse dans l’ombre des blockchains.
