La Corée du Nord crée des memecoins pour blanchir le piratage de 6,4 milliards de dollars de Binance, selon Elliptic

Ceux qui blanchissent l’argent volé à Binance ont trouvé une nouvelle astuce : ils créent leurs propres memecoins. Dans un rapport publié le 9 novembre, la société d’analyse blockchain Elliptic indique que des blanchisseurs liés à la Corée du Nord ont créé au moins six jetons jetables sur la blockchain NEAR entre le 5 et le 7 novembre, et s’en sont servis pour déplacer environ 117 000 NEAR, soit près de 430 000 $, sans envoyer les fonds directement d’un portefeuille à l’autre.

Le montant est minuscule au regard de l’ampleur du vol. Binance affirme qu’environ 6,34 milliards de dollars d’actifs ont été touchés lorsque les attaquants ont atteint ses systèmes de portefeuilles le 29 octobre ; Elliptic évalue le total à 6,43 milliards et parle du plus grand vol crypto jamais enregistré. Mais le rapport montre comment le blanchiment évolue, et pourquoi les enquêteurs estiment que la piste reste visible sur la blockchain.

Comment fonctionne l’astuce des memecoins

N’importe qui peut lancer un nouveau jeton, et des milliers apparaissent chaque jour. D’après Elliptic, les blanchisseurs en ont profité en quatre étapes. Ils ont créé un jeton avec un outil de lancement public, l’ont associé à de vrais NEAR dans un pool de liquidité d’un exchange décentralisé, ont acheté le jeton avec des NEAR volés depuis un groupe de portefeuilles, puis l’ont revendu dans le même pool depuis un second groupe pour récupérer les NEAR.

Comme le pool se trouve au milieu, l’argent volé ne passe jamais directement d’un portefeuille acheteur à un portefeuille receveur. Pour un observateur distrait, les portefeuilles receveurs ressemblent à des traders ordinaires ayant revendu une memecoin avec profit. Les six jetons, nommés FUK, OLCCL, MEILI, MMLI, DABI et SINU, arboraient même des logos façon dessin animé pour se fondre dans le flot de vraies memecoins.

Elliptic explique que trois signes les ont trahis. Des portefeuilles du réseau de blanchiment ont réalisé toutes les ventes des six jetons, les acheteurs extérieurs étaient quasi inexistants, et les NEAR entrés dans chaque pool correspondaient à ceux qui en sont sortis. Aucun de ces jetons ne s’est échangé depuis le 8 novembre, et cet après-midi-là, les créateurs de quatre d’entre eux ont retiré la liquidité restante.

Où se trouve le reste de l’argent

La méthode n’est pas nouvelle. Elliptic dit avoir observé pour la première fois des jetons maison lors du blanchiment des fonds volés à Bybit en 2025, quand au moins 24 millions de dollars ont transité ainsi sur Tron. Dans l’affaire Binance, la société a repéré la même méthode sur Tron et NEAR, ainsi qu’une variante proche sur Solana.

Les flux les plus importants sont ailleurs. Dans une mise à jour rapportée par The Block le 6 novembre, Elliptic indiquait que les attaquants avaient échangé environ 124 millions de dollars d’altcoins volés contre du bitcoin, soit environ 1 650 BTC, via plus de 20 000 portefeuilles sur 16 blockchains et quelque 65 000 transactions. Environ 50 millions de dollars de XRP volés avaient été échangés, surtout via THORChain, et environ 226 millions attendaient encore. Elliptic estimait que seule une « quantité négligeable » avait probablement été encaissée jusqu’ici.

Les émetteurs de stablecoins ont réagi vite. Dans un billet du 5 novembre, Circle a déclaré avoir gelé environ 1,1 milliard de dollars en USDC associés à l’incident en coordination avec les forces de l’ordre, et que le FBI attribue l’attaque à des acteurs liés à la Corée du Nord. Circle a souligné qu’un gel empêche seulement les jetons de bouger ; ce sont les tribunaux et les autorités qui décident à qui ils appartiennent.

Les banques et Binance réagissent

Les retombées atteignent la finance traditionnelle. The Paypers, citant des personnes au fait du dossier, a rapporté le 9 novembre que des superviseurs de la Réserve fédérale et de l’Office of the Comptroller of the Currency (OCC) avaient contacté des banques pour savoir si leurs systèmes présentaient des failles ou une activité inhabituelle après l’attaque. La Fed et l’OCC n’ont pas souhaité commenter.

Chez Binance, la co-directrice générale Yi He a annoncé samedi que le directeur financier Kaiser Ng quitte l’entreprise pour un nouveau projet et sera remplacé par Justin Yek, ancien vice-président des finances d’Airwallex. Yi He a précisé que le plan de transition était en place depuis six mois, avant le vol.

Ce que cela change pour les utilisateurs

Pour les débutants, la leçon concerne moins la Corée du Nord que l’hygiène de base. Les jetons tout juste créés, presque sans acheteurs extérieurs, sont un signal d’alarme, et le rapport d’Elliptic rappelle que le graphique d’une crypto peut être fabriqué par une poignée de portefeuilles. Avant d’acheter quoi que ce soit, demandez-vous qui d’autre l’échange vraiment.

C’est aussi un rappel qu’aucun exchange n’est sans risque. Si vous choisissez où acheter, regardez l’historique de sécurité de la plateforme, activez une authentification à deux facteurs solide et demandez-vous si votre épargne de long terme doit rester dans un portefeuille que vous contrôlez. Si vous comparez les options, Coinbase est un exchange régulé par lequel de nombreux débutants commencent, et nos guides ci-dessous détaillent le pour et le contre.

À surveiller

• Si les attaquants continuent de convertir de l’ether en bitcoin par petits lots, comme le prévoit Elliptic, avant de tenter d’encaisser via des courtiers OTC.
• Toute action en justice concernant les USDC et autres jetons gelés après le vol.
• De nouvelles conclusions des régulateurs bancaires américains sur l’exposition à l’incident.
• Les prochaines mises à jour de Binance sur les fonds récupérés et la réouverture des retraits.

Débutant en crypto ? Lisez notre explication sur les portefeuilles dépositaires et en autogarde.