44 % des fonds volés à Binance gelés, le hacker a utilisé CoinJoin

Quatre jours après l’attaque contre Binance, la société d’analyse de la blockchain Elliptic a publié un aperçu détaillé du blanchiment des 6,43 milliards de dollars volés. Sur ce montant, 2,85 milliards de dollars, soit 44 %, ont déjà été gelés ou saisis. Les 3,24 milliards de dollars restants se trouvent encore sur des adresses liées au vol. Fait notable : l’attaquant a utilisé CoinJoin pour la première fois afin de dissimuler ses traces.

En bref :

• 2,85 milliards de dollars de fonds volés ont été gelés, le reste étant toujours sur des adresses liées à l’attaque
• Le blanchiment a mobilisé 12 000 portefeuilles, 11 blockchains et plus de 40 000 transactions en quatre jours
• L’attaquant utilise désormais CoinJoin et a récemment déplacé du XRP, une première depuis le vol

Comment se déroule le blanchiment

Selon Elliptic, le blanchiment a été réalisé à un rythme soutenu et de manière largement automatisée. En moins de quatre jours, environ 12 000 portefeuilles ont été créés, soit en moyenne un toutes les 25 secondes. Au plus fort de l’activité, le 31 octobre vers 08:00 UTC, le réseau a traité environ 1 300 transactions par heure via Tron.

Juste après le vol du 29 octobre, la priorité a été de convertir les stablecoins comme l’USDT et l’USDC, car des émetteurs comme Tether et Circle peuvent les geler. Tether a procédé au gel 37 minutes après l’arrivée des USDT volés. Circle a gelé l’intégralité des 823 millions de dollars d’USDC avant même qu’une conversion n’ait eu lieu. Au total, avant ces gels, l’attaquant a réussi à convertir environ 786 millions de dollars de stablecoins en ETH et TRX.

Tron a ensuite joué le rôle principal. L’attaquant a réparti les fonds via Tron sur environ 7 700 adresses, puis les a transférés vers Ethereum par plusieurs ponts. Sur Ethereum, on trouve désormais 1,37 milliard de dollars en ETH répartis sur 857 adresses, et 1,43 milliard de dollars en BTC sur 40 adresses.

CoinJoin et de nouvelles techniques pour effacer les traces

À partir du 1er novembre, l’attaquant a utilisé CoinJoin pour la première fois. Cette technique regroupe les transactions de plusieurs utilisateurs en une seule, rompant ainsi le lien visible entre les pièces entrantes et sortantes. Jusqu’au 2 novembre à 06:02 UTC, environ 28 BTC, soit 2,2 millions de dollars, ont transité par 18 cycles de CoinJoin via le protocole WabiSabi, également utilisé par Wasabi Wallet.

Outre CoinJoin, l’attaquant a eu recours à plusieurs autres méthodes : fractionner les fonds entre des milliers d’adresses, échanger des actifs sur des plateformes décentralisées, les déplacer par sept ponts différents et les faire transiter par des protocoles de prêt, afin qu’aucun transfert direct ne soit visible entre l’adresse d’origine et l’adresse de destination. Elliptic affirme que l’approche est clairement automatisée, mais ne montre aucun signe d’un agent d’IA prenant des décisions.

Du XRP déplacé, 16 millions de dollars vers des adresses Bitget

Le 2 novembre, le XRP a été déplacé pour la première fois depuis le vol. Entre 02:12 et 04:00 UTC, 233 millions de XRP ont été envoyés vers six nouvelles adresses, où ils sont toujours conservés. Par ailleurs, environ 16 millions de dollars ont été mélangés à des fonds liés à une attaque antérieure contre Bitget.

Elliptic attribue l’attaque au groupe de hackers nord-coréen TraderTraitor, une conclusion à laquelle le FBI est également parvenu le 31 octobre. Sur la base d’attaques précédentes, comme celle contre Binance, Elliptic s’attend à ce que l’attaquant convertisse l’ETH en bitcoins et tente ensuite de les vendre via des courtiers de gré à gré et des plateformes d’échange. Selon les estimations, seule une part négligeable des fonds volés a déjà été versée.