Le plus gros casse de l’histoire des cryptomonnaies est loin d’être terminé. Dix jours après le piratage de Binance, les pirates nord-coréens continuent de blanchir leur butin sur la blockchain. Selon le dernier rapport d’Elliptic, une société spécialisée dans l’analyse de la blockchain, les hackers fabriquent désormais leurs propres memecoins pour tenter d’échapper aux enquêteurs et aux forces de l’ordre. Souvent à l’effigie d’animaux ou de célébrités, ces cryptomonnaies reposent uniquement sur des blagues, à l’image du fameux Dogecoin.
« La plupart des gens voient les memecoins comme des jetons humoristiques dont le prix monte et descend au gré de l’engouement. Les blanchisseurs nord-coréens leur ont trouvé un tout autre usage : ils créent des jetons que personne d’autre ne veut acheter, et s’en servent pour dissimuler les mouvements de fonds volés », explique Tom Robinson, cofondateur et directeur scientifique d’Elliptic, dans le rapport.
North Korea’s launderers are creating their own meme coins to move funds stolen from Binance.
Between November 5 and 7, they launched at least six tokens on NEAR, dressed up with meme-coin logos such as a monkey in a pink bow and a duck in front of a US flag. Stolen NEAR went into a liquidity pool through one set of wallets and came out through another, so no transfer links the two directly. About 117,000 NEAR (around $430,000) passed through the six tokens before they were abandoned.
Almost nobody outside the laundering network bought them. They exist only to put a pool between the stolen funds and the next wallet.
The trail can still be followed on-chain. For compliance teams, funds arriving from a liquidity pool are not clean by default, especially when the token is only days old. @tomrobin explains how the technique works and the warning signs to screen for: https://t.co/Q4VtlIGlFp
— Elliptic (@elliptic) November 9, 2026
Une vaste opération de blanchiment
Pour rappel, les cybercriminels ont dérobé 6,43 milliards de dollars de cryptomonnaies à Binance dans la soirée du 29 octobre. En l’espace de quatre heures, les pirates, identifiés comme le gang TraderTraitor par le FBI, ont siphonné plusieurs wallets de Binance. Sitôt le vol commis, les pirates se sont mis à blanchir l’argent en multipliant les transferts sur les réseaux blockchain. Une partie du butin a été convertie en stablecoins, comme l’USDT de Tether.
Malheureusement pour les brigands, ces cryptomonnaies peuvent être gelées par l’émetteur, en l’occurrence Tether. Sur demande de Binance, Tether a promptement bloqué une partie des devises numériques, mais les hackers se sont montrés plus rapides que les géants de l’industrie. « Avant le gel, l’attaquant a réussi à échanger 434 millions d’USDT contre de l’ETH sur des plateformes d’échange décentralisées », relève Elliptic. Contrairement aux stablecoins, l’ether ne peut pas être bloqué, ce qui a permis aux hackers de s’enfuir sur les chaînes de blocs avec leur butin. Depuis cette évasion sur Ethereum, la machine à blanchir l’argent tourne à plein régime, indique Elliptic.
Les chercheurs décrivent l’opération comme « très complexe et clairement automatisée ». En dix jours, les fonds ont transité par plus de 20 000 portefeuilles, sur 16 blockchains différentes, à travers au moins 65 000 transactions. Pour Elliptic, l’opération représente « environ un nouveau portefeuille toutes les 30 secondes et une transaction toutes les 10 secondes ».
Près de 3 000 bitcoins, soit 225 millions de dollars, ont déjà été récupérés de cette manière. Une partie du butin est passée par des mixeurs, des services qui mélangent les fonds de nombreux utilisateurs pour masquer leur origine et brouiller les pistes, comme Tornado Cash. En dépit des mouvements enregistrés sur la blockchain, l’essentiel du magot n’a pas bougé d’un pouce depuis le piratage. Environ 3 milliards de dollars dorment toujours sur des adresses sur les réseaux Bitcoin et Ethereum.
« Les fonds qui n’ont pas bougé sont très probablement toujours détenus par la Corée du Nord », estime Elliptic.
Un singe, un canard et Elon Musk
Pour éviter de passer par des stablecoins, les hackers nord-coréens ont cherché d’autres moyens de déplacer les fonds. Ils se sont donc tournés vers les memecoins. Entre le 5 et le 7 novembre, les blanchisseurs ont créé au moins six jetons de cet acabit sur la blockchain NEAR. Il s’agit de memecoins classiques, avec des logos montrant un singe avec un nœud rose, un canard devant un drapeau américain, un chimpanzé, un renard… et même Elon Musk sous une bannière indiquant « Elon 2028 President ».
Les pirates créent d’abord un jeton de A à Z, pour seulement 90 dollars. Ils associent ensuite le memecoin à une vraie cryptomonnaie dans une réserve d’échange, un pool de liquidités. Un premier groupe de portefeuilles achète alors le jeton avec l’argent volé à Binance. Rapidement, un second groupe va revendre le memecoin à la même réserve de liquidités. À la suite de cette opération, les pirates récupèrent la vraie cryptomonnaie. De facto, l’argent ne passe jamais directement d’un portefeuille à l’autre, ce qui aide les truands à brouiller les pistes.
« Pour un observateur lambda, les portefeuilles collecteurs ressemblent à des traders ordinaires qui ont revendu un jeton avec une plus-value », explique Elliptic à la suite de son enquête.
Seuls les pirates ont acheté les memecoins créés durant l’opération de blanchiment. Tous les memecoins utilisés ont servi quelques heures, avant d’être promptement abandonnés. Au total, environ 117 000 NEAR, soit 430 000 dollars, ont transité par les six memecoins évoqués plus haut en quelques jours. Cette technique, déjà utilisée dans le sillage du piratage de Bybit en 2025, « ne coûte pas cher et pourrait permettre de faire passer des sommes bien plus importantes », prévient Elliptic.
Une astuce qui ralentit les enquêteurs
Les chercheurs précisent que cette tactique originale n’empêche pas complètement de suivre les fonds volés. Chaque étape du processus reste inscrite sur la blockchain, rappelle Elliptic. « La technique ralentit les enquêteurs plutôt qu’elle ne cache les fonds », souligne le rapport.
« Les blanchisseurs nord-coréens s’appuient rarement sur une seule technique. Ils empilent de nombreuses techniques bon marché, qui ajoutent chacune un peu plus de délai. Les memecoins faits maison ne sont qu’une couche de plus », résume Tom Robinson.
La prochaine étape de l’opération de blanchiment est plus que probablement l’ether et le Bitcoin. Comme après le hack de Bybit, les pirates devraient convertir leur ETH en bitcoins. Pour les plateformes d’échange, la vigilance est donc de mise. En effet, « un portefeuille qui a reçu ses fonds d’un pool de liquidités ne doit pas être considéré comme sain par défaut, car il peut se trouver à seulement deux échanges de fonds volés », prévient Elliptic. Pour aider les exchanges à traquer les hackers, l’entreprise a mis sur pied une liste publique des portefeuilles liés au piratage. Gageons que les efforts d’Elliptic, associés à ceux des plateformes d’échange, puissent court-circuiter, ou au moins entraver, l’opération de blanchiment d’argent initiée par la Corée du Nord.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
Source : Elliptic
