TRM et Chainalysis relient le piratage de 6,4 Md$ de Binance au groupe nord-coréen TraderTraitor

Trois sociétés d'analyse blockchain ont attribué le piratage de Binance de cette semaine à la Corée du Nord, deux des plus grandes nommant TraderTraitor, un groupe de pirates nord-coréens, comme responsable de ce que toutes deux décrivent comme le plus grand vol de cryptomonnaies jamais enregistré.

TRM Labs a déclaré avoir fait cette attribution « avec une grande confiance », sur la base de « renseignements solides on-chain et off-chain ». Elle a estimé le vol à environ 6,36 milliards de dollars, sortis des portefeuilles de Binance sur 10 blockchains, dont la majeure partie en environ 20 minutes à partir de 16 h 05 HE jeudi. Cela représente environ quatre fois le piratage de Bybit de 1,5 milliard de dollars de février 2025, que le FBI a attribué au même groupe, a noté TRM.

Chainalysis, qui a estimé le total à environ 6,4 milliards de dollars, a déclaré que la preuve la plus solide était apparue lorsque ses enquêteurs ont vu des fonds volés à Binance se mélanger en temps réel avec des fonds de l'exploit de Bitget du mois dernier, qui avait été attribué à des acteurs nord-coréens.

Un porte-parole de Chainalysis a déclaré à CNN que l'entreprise avait « une grande confiance » dans le fait que la Corée du Nord était derrière le piratage. Pangolin Intelligence, basée à Singapour, a également déclaré à CNN qu'elle pensait qu'une unité de pirates nord-coréens était responsable, sur la base de « l'analyse de l'activité on-chain liée à ce piratage et de la corrélation avec les informations recueillies lors d'incidents connus précédents ». La Corée du Nord a déjà nié les accusations de piratage.

TRM et Chainalysis ont tous deux déclaré que le portefeuille opérationnel de l'attaquant avait été financé via Tornado Cash, un mélangeur de cryptomonnaies. TRM a déclaré que cela et d'autres caractéristiques, y compris une préparation qui a commencé bien avant le vol, correspondaient à des attaques antérieures liées à la Corée du Nord, telles que le piratage de Bybit et l'exploit de KelpDAO d'avril.

Comment l'attaque a fonctionné

Sur Ethereum, l'attaquant a utilisé une délégation EIP-7702, une fonctionnalité introduite dans la mise à niveau Pectra d'Ethereum qui permet à un portefeuille ordinaire d'exécuter du code de contrat intelligent, pour transformer un portefeuille chaud de Binance en un balayeur qu'il contrôlait, avec 50 autorisations pré-signées préparées à l'avance, selon TRM. Les portefeuilles Binance sur les neuf autres chaînes ont envoyé des fonds à l'attaquant via des transferts signés ordinaires. Selon l'évaluation de TRM, cela indique une compromission de l'infrastructure de signature des portefeuilles chauds de Binance.

Binance a déclaré que son enquête avait commencé avec l'ordinateur portable compromis d'un ingénieur, mais a depuis découvert « d'autres points de compromission ». L'attaque contre Bybit a également commencé avec une seule machine compromise : des pirates nord-coréens ont implanté du code malveillant dans l'infrastructure du fournisseur de portefeuilles Safe après avoir compromis l'ordinateur d'un développeur de Safe, comme l'a rapporté Decrypt à l'époque.

L'attaquant s'est empressé de blanchir ce qu'il ne pouvait pas conserver. Chainalysis a déclaré observer des « schémas de blanchiment jamais vus auparavant », avec des milliers de transactions en peu de temps, ce qui suggère le recours à l'automatisation pour faire circuler les fonds à plusieurs reprises entre les adresses. Selon TRM, l'attaquant a également vendu des USDT à des teneurs de marché et emprunté des ETH contre des USDT sur le protocole de prêt Aave afin de devancer les gels des émetteurs, et détient désormais plus de 420 000 ETH et 18 270 BTC, soit environ 2,4 milliards de dollars hors de portée de tout émetteur.

Tether, Circle, Ripple et World Liberty Financial ont gelé environ 2,67 milliards de dollars en stablecoins, et le Conseil de sécurité d'Arbitrum a gelé 8 426 ETH et 74,6 millions d'ARB, a indiqué TRM. Binance estime le total gelé à environ 3 milliards de dollars.

Dans une mise à jour publiée vendredi, Binance a déclaré avoir réservé plus de 6,34 milliards de dollars de fonds propres pour couvrir l'incident, dont 5 milliards sont déjà détenus dans les jetons exacts qui ont été volés. La plateforme d'échange achète le reste via les canaux de marché et de gré à gré, ce qui « peut prendre plus de temps car certains jetons peuvent avoir une faible liquidité », a-t-elle précisé. Ces chiffres n'incluent pas les actifs gelés.

« Nous surmonterons cette tempête », a déclaré Binance.

Les pirates nord-coréens ciblent depuis longtemps la plateforme d'échange. En août 2025, le directeur de la sécurité de Binance, Jimmy Su, a déclaré à Decrypt que des attaquants nord-coréens tentent chaque jour de se faire embaucher chez Binance, et les a qualifiés de plus grande menace unique pour les entreprises de cryptomonnaies. Mercredi, le Trésor américain a sanctionné 10 individus et une entité en lien avec des stratagèmes de travailleurs informatiques nord-coréens ayant déplacé des millions de dollars en cryptomonnaies.