Le Federal Bureau of Investigation (FBI) a officiellement attribué à la Corée du Nord le vol de plus de 6 milliards de dollars d’actifs virtuels lié à la plateforme d’échange de cryptomonnaies Binance. Dans son avis publié le 31 octobre 2026, l’agence américaine désigne le groupe TraderTraitor comme responsable de cette opération, dont le montant est estimé à environ 6,43 milliards de dollars selon les analyses de sociétés spécialisées dans le suivi des transactions blockchain.
Cette attribution a été réalisée en coordination avec les services secrets américains (USSS) et le service d’enquêtes criminelles de l’administration fiscale américaine (IRS-CI). Les autorités identifient TraderTraitor comme un acteur lié à la Corée du Nord, également suivi sous plusieurs autres noms dans l’écosystème de la cybersécurité : Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces et UNC4899.
L’annonce marque une étape importante dans l’enquête. Elle transforme en attribution officielle une piste déjà étudiée par plusieurs entreprises d’analyse blockchain. Le FBI a également publié une liste d’adresses de portefeuilles associées aux fonds dérobés et appelle les acteurs du secteur à prendre des mesures pour empêcher leur transfert et leur conversion.
TraderTraitor : un groupe de hackers lié à la Corée du Nord
TraderTraitor est le nom utilisé par les autorités américaines pour désigner une campagne d’activités malveillantes associée à des acteurs nord-coréens. Le groupe est connu pour cibler les entreprises du secteur des cryptomonnaies, les plateformes d’échange et les organisations qui détiennent ou gèrent des actifs numériques.
Les chercheurs en cybersécurité et les autorités ont également associé des activités similaires à plusieurs appellations :
- Jade Sleet
- Pressure Chollima
- PUKCHONG
- Slow Pisces
- UNC4899
Ces noms sont employés par différentes organisations de renseignement sur les menaces pour suivre des activités et des ensembles d’intrusions attribués à des acteurs liés à la Corée du Nord. Ils ne signifient pas nécessairement que chaque opération suivie sous ces appellations provient exactement de la même équipe ou de la même infrastructure.
Les campagnes associées à TraderTraitor reposent notamment sur des techniques d’ingénierie sociale et des opérations ciblant les employés du secteur des cryptomonnaies. De faux processus de recrutement, des offres professionnelles frauduleuses ou des logiciels présentés comme des outils de travail peuvent servir à compromettre des personnes disposant d’un accès sensible.
Cette méthode permet aux attaquants de viser les ressources internes d’une entreprise plutôt que de s’appuyer uniquement sur l’exploitation technique d’une vulnérabilité informatique.
Un vol de cryptomonnaies estimé à 6,43 milliards de dollars
Le montant attribué à l’opération varie légèrement selon les sources. Les estimations de plusieurs sociétés spécialisées dans l’analyse blockchain se situent autour de 6,3 à 6,43 milliards de dollars.
Ces différences peuvent notamment s’expliquer par les cours des actifs au moment de leur transfert et par les méthodes utilisées pour délimiter les mouvements directement liés à l’attaque.
Le FBI parle de plus de 6 milliards de dollars d’actifs virtuels volés. Les analyses publiées par les sociétés de traçage permettent de mieux comprendre l’ampleur des transferts et leur répartition entre plusieurs réseaux blockchain.
Selon les données rapportées par CryptoTicker dans son analyse de l’avis du FBI, les fonds ont circulé sur plusieurs blockchains, notamment Ethereum, Bitcoin et Solana, ainsi que sur d’autres réseaux. Les enquêteurs et les analystes ont suivi des mouvements impliquant des milliers de transactions et de nombreux portefeuilles.
La diversité des actifs et des réseaux utilisés complique le suivi des fonds. Les attaquants peuvent transférer des jetons, les échanger contre d’autres cryptomonnaies ou passer par des protocoles décentralisés afin de rendre leur traçage plus difficile.
Le FBI publie des adresses de portefeuilles liées aux fonds volés
En plus de désigner TraderTraitor, le FBI a rendu publiques des adresses de portefeuilles associées aux actifs dérobés.
Cette liste constitue un élément important de la réponse des autorités. Elle permet aux plateformes d’échange, aux fournisseurs de services liés aux cryptomonnaies et aux entreprises d’analyse blockchain de repérer les mouvements provenant des adresses identifiées.
D’après les informations publiées après l’avis du FBI, la liste comprend plus de 600 adresses sur Ethereum, près d’une vingtaine sur Bitcoin et une adresse sur Solana.
Les autorités américaines demandent aux acteurs concernés de surveiller les transactions impliquant ces adresses et de prendre les mesures appropriées pour empêcher la circulation des fonds volés.
Il faut toutefois faire une distinction : la publication d’une adresse dans une liste de surveillance ne signifie pas nécessairement que les fonds ont été saisis. Les cryptomonnaies peuvent toujours être déplacées sur la blockchain, même si certains intermédiaires centralisés ou émetteurs de stablecoins disposent de mécanismes permettant de bloquer des opérations ou des avoirs.
Une opération de blanchiment reposant sur plusieurs réseaux
Après le vol, les attaquants ont cherché à déplacer les actifs à travers différents réseaux et services de cryptomonnaies.
Cette stratégie vise à compliquer le travail des enquêteurs en multipliant les transactions, les conversions et les intermédiaires. Les fonds peuvent notamment transiter par des plateformes d’échange instantané, des protocoles de finance décentralisée (DeFi) et des services permettant d’effectuer des échanges entre différentes blockchains.
Les autorités américaines ont ainsi appelé à la vigilance plusieurs catégories d’acteurs :
- Les plateformes centralisées d’échange de cryptomonnaies.
- Les fournisseurs de services de conversion instantanée.
- Les protocoles et services de finance décentralisée.
- Les opérateurs de nœuds blockchain et de services RPC.
- Les entreprises spécialisées dans l’analyse et le suivi des transactions.
Un nœud RPC permet notamment à une application ou à un portefeuille de communiquer avec une blockchain. Les opérateurs de ces infrastructures peuvent donc jouer un rôle dans la détection ou le filtrage de certaines opérations suspectes, selon leur architecture et les services qu’ils proposent.
Les mesures demandées par le FBI visent à limiter la capacité des attaquants à convertir les actifs dérobés en fonds utilisables.
Pourquoi cette attribution du FBI est-elle importante ?
L’attribution officielle permet de renforcer la coopération entre les autorités américaines, les plateformes d’échange et les entreprises spécialisées dans l’analyse des transactions blockchain.
Elle apporte également un nouvel éclairage sur les activités financières attribuées à la Corée du Nord. Depuis plusieurs années, des groupes liés à ce pays sont accusés de cibler le secteur des cryptomonnaies afin de générer des revenus pour le régime et de contourner les sanctions internationales.
Les vols de grande ampleur représentent une source potentielle de financement particulièrement importante. Contrairement aux attaques traditionnelles visant à perturber un service, ces opérations ont pour objectif direct de dérober des actifs numériques pouvant ensuite être transférés et blanchis à travers un réseau complexe de transactions.
Le FBI ne se contente donc pas de désigner un responsable présumé : la publication des adresses vise aussi à compliquer concrètement la récupération et la conversion des fonds par les attaquants.
Binance affirme protéger les fonds de ses clients
À la suite de l’attaque, Binance a indiqué que les actifs de ses clients n’étaient pas concernés par les pertes annoncées. Selon les communications rapportées par la presse, les fonds dérobés provenaient de portefeuilles opérationnels appartenant à la plateforme.
L’entreprise a également déclaré mobiliser ses propres ressources financières et ses réserves pour compenser les pertes. Elle a notamment annoncé avoir couvert une grande partie du montant dérobé et commencé à rétablir progressivement les retraits de cryptomonnaies.
Cette distinction est essentielle : le montant du vol ne correspond pas automatiquement à une perte équivalente pour chaque utilisateur de Binance. Il s’agit d’abord d’une perte d’actifs liée à l’incident, dont la prise en charge et la récupération relèvent de la plateforme.
Les informations sur la reprise des retraits et la couverture financière annoncée par Binance sont notamment rapportées dans ce compte rendu de la situation après le piratage.
Les entreprises crypto face à une menace persistante
L’affaire Binance rappelle que les plateformes d’échange constituent des cibles de grande valeur pour les groupes de cybercriminels disposant de ressources importantes.
Les entreprises du secteur doivent renforcer plusieurs aspects de leur sécurité :
- Sécuriser les accès internes : appliquer l’authentification multifacteur, limiter les privilèges et surveiller les comptes disposant d’un accès aux portefeuilles.
- Renforcer la sécurité des portefeuilles : séparer les actifs opérationnels des réserves conservées hors ligne et imposer plusieurs validations pour les transactions sensibles.
- Former les employés : sensibiliser les équipes aux faux recrutements, aux logiciels frauduleux et aux tentatives d’ingénierie sociale.
- Surveiller les transactions blockchain : détecter les transferts inhabituels et les mouvements vers des adresses déjà associées à des activités malveillantes.
- Préparer une réponse aux incidents : disposer de procédures permettant de suspendre rapidement les opérations suspectes, préserver les preuves et coordonner les actions avec les autorités.
Ces mesures ne garantissent pas l’absence d’incident, mais elles peuvent réduire les possibilités de compromission et accélérer la détection d’une attaque.
Conclusion
L’attribution du piratage de Binance au groupe nord-coréen TraderTraitor constitue une nouvelle étape dans la lutte contre les cyberattaques visant l’écosystème des cryptomonnaies. Avec plus de 6 milliards de dollars d’actifs virtuels concernés, cette opération illustre la capacité de groupes étatiques à mener des attaques financières de très grande ampleur.
La publication d’adresses blockchain par le FBI, en coordination avec l’USSS et l’IRS-CI, vise désormais à compliquer le déplacement et le blanchiment des fonds volés.
Pour les plateformes d’échange et les entreprises spécialisées dans les actifs numériques, le message est clair : la sécurité ne peut pas reposer uniquement sur la protection technique des portefeuilles. Elle doit également couvrir les employés, les accès internes, les processus de validation des transactions et la surveillance permanente des mouvements financiers.
SOURCE : The Hackers News
