Selon Elliptic, des blanchisseurs liés à la Corée du Nord ont créé des memecoins jetables pour déplacer environ 430 000 dollars issus du piratage de Binance de 6,4 milliards de dollars via des pools d'échanges décentralisés.
Résumé
- Les blanchisseurs ont créé six jetons NEAR et ont acheminé les fonds volés via leurs propres pools de liquidité.
- Elliptic affirme que les paiements des pools peuvent ressembler à des produits de trading, bien que les transactions restent traçables.
- Les enquêteurs ont suivi le blanchiment à travers plus de 20 000 portefeuilles sur 16 blockchains.
- Tornado Cash a reçu environ 7 000 ETH liés au vol depuis le 8 novembre.
Elliptic, dans un rapport de Tom Robinson du 9 novembre, a déclaré que les opérateurs ont créé FUK, OLCCL, MEILI, MMLI, DABI et SINU entre le 5 et le 7 novembre. Chacun coûtait environ 25 NEAR, soit 90 dollars, à créer.
Les opérateurs ont associé leurs jetons au NEAR dans des pools de trading distincts, puis ont acheminé environ 117 000 NEAR volés à travers eux. Une activité similaire est apparue sur Tron, tandis qu'une route Solana connexe utilisait des jetons existants et peu échangés.
Les pools de memecoins font ressembler les transferts à des transactions
Selon le récit de Robinson, un groupe de portefeuilles a acheté les jetons en utilisant de la cryptomonnaie volée, tandis qu'un autre a vendu des jetons dans le même pool et a collecté les actifs réels. Avec le pool entre eux, les portefeuilles n'ont pas transféré de fonds directement.
Les comptes récepteurs pouvaient par conséquent ressembler à des traders prenant des bénéfices. Robinson a averti que les équipes de conformité ne devraient pas supposer que les fonds sont propres simplement parce qu'ils proviennent d'un pool de liquidité.
« La piste peut toujours être suivie on-chain », indique le rapport.
La technique est antérieure à ce vol : Elliptic a identifié son utilisation après le piratage de Bybit en 2025. Son effet déclaré est de retarder les enquêteurs, les jetons créés à moindre coût étant jetés après usage.
Le blanchiment de Binance atteint Tornado Cash
Le traqueur de blanchiment distinct d'Elliptic, mis à jour le 9 novembre à 13h15 UTC, évaluait l'opération à plus de 20 000 portefeuilles sur 16 blockchains. Son décompte couvrait au moins 36 services et 65 000 transactions.
Depuis le 8 novembre, des portefeuilles liés au vol ont déposé environ 7 000 ETH, d'une valeur de 15 millions de dollars, dans Tornado Cash. Certains dépôts provenaient de bitcoins qui avaient déjà transité par des transactions coinjoin avant d'être reconvertis en ETH.
Sur l'ensemble de l'opération, environ 3 000 BTC d'une valeur de 225 millions de dollars s'étaient accumulés dans de nouvelles adresses après des conversions depuis d'autres actifs volés. Les principales avoirs en Bitcoin et Ether n'avaient pas bougé, selon le traqueur.
Environ 3 milliards de dollars restaient dans des adresses liées au vol, tandis que 2,85 milliards de dollars avaient été gelés. Elliptic estimait qu'un montant négligeable seulement avait probablement été encaissé.
Le traqueur a indiqué que le FBI avait attribué le vol à TraderTraitor le 31 octobre et exhorté les services, y compris les opérateurs de THORChain, à bloquer les transactions liées.
Binance a retracé la brèche jusqu'aux ordinateurs d'employés
Le rapport de Binance du 3 novembre décrivait une intrusion de plusieurs mois impliquant des logiciels de développement, des faux entretiens de recrutement et un accès aux systèmes internes, comme crypto.news l'a précédemment rapporté.
En juin, une rencontre antérieure impliquant une installation Homebrew altérée avait exposé le rôle d'un ingénieur et de ses collègues, a indiqué l'échange.
Lors d'un processus d'entretien en septembre, un ingénieur a téléchargé un dépôt d'exercice sur un ordinateur de travail. Selon l'échange, du code malveillant a remplacé un outil de développement légitime et a échappé à la détection de ses systèmes de sécurité des points de terminaison.
Le 20 octobre, l'attaquant a utilisé l'ordinateur compromis et un outil d'IA interne pour atteindre les machines de deux ingénieurs de portefeuille. Des identifiants de déploiement de conteneurs volés ont ensuite fourni un accès aux opérations de signature de portefeuille.
L'échange a estimé l'impact à 6,34 milliards de dollars et a déclaré avoir mis de côté plus que le montant total pour couvrir les pertes.
Des conclusions techniques distinctes ont décrit comment des autorisations EIP-7702 malveillantes ont permis à un portefeuille Ethereum d'exécuter du code contrôlé par l'attaquant. Blockaid a identifié 50 autorisations soumises en une seule transaction, dont une correspondant avec succès au compteur de transactions du portefeuille Binance 14.
Comme le portefeuille traitait activement des retraits, son compteur ne cessait de changer. Blockaid a indiqué que les autorisations couvraient des valeurs de compteur consécutives, donnant à l'attaquant plusieurs chances de correspondre à la valeur au moment de l'exécution de la transaction.
L'enquête initiale de Binance a déclaré n'avoir trouvé aucune preuve qu'une clé privée de portefeuille ait fuité.
Les fonds Arbitrum gelés nécessitent un vote de gouvernance
Les efforts de récupération comprennent une demande du 5 novembre pour le retour des actifs gelés, comprenant 8 425,997 ETH et 74,56 millions d'ARB immobilisés sur Arbitrum.
Le Conseil de sécurité du réseau a temporairement mis à niveau un contrat pour déplacer les actifs vers une adresse gelée, puis a restauré l'implémentation d'origine. Déplacer à nouveau ces soldes nécessite l'approbation de la DAO.
Binance a proposé de restituer les actifs gelés existants au moyen d'une mise à niveau temporaire du contrat, sans demander une nouvelle allocation de trésorerie. Les actifs récupérés pourraient couvrir les coûts liés à l'incident et reconstituer les réserves déjà utilisées pour indemniser les clients, selon la proposition.
La plateforme d'échange a estimé sept semaines ou plus pour la discussion, le vote et l'exécution. Son calendrier proposé comprenait une semaine de discussion sur le forum, une semaine de vérification de température, un vote onchain de deux semaines et environ 18 jours supplémentaires avant l'exécution après approbation.
