Elliptic : environ 50 millions de dollars en XRP volés ont été échangés, principalement contre du bitcoin

Les conversions de XRP viennent grossir le montant de bitcoins volés

Selon la société d’analyse de la blockchain Elliptic, des pirates liés au vol chez Binance ont converti environ 42 millions de XRP, d’une valeur d’environ 50 millions de dollars, principalement en bitcoins via THORChain. La mise à jour de la société, qui couvre les opérations jusqu’à vendredi, indique que ces échanges ont été à l’origine de la majeure partie de la hausse enregistrée pendant la nuit du montant de bitcoins provenant des actifs volés. Le solde de bitcoins convertis a ainsi atteint environ 1 650 BTC, soit près de 124 millions de dollars.

La conversion des XRP ne représente qu’une partie des actifs dérobés, et non leur totalité. Elliptic a repéré environ 192 millions de XRP, d’une valeur d’environ 226 millions de dollars, qui n’ont pas encore été échangés et se trouvent sur des adresses liées au vol. Ces XRP faisaient partie des actifs dérobés lors de l’incident du 29 octobre, que Binance a ensuite évalué à 6,34 milliards de dollars. L’écart entre les montants convertis et restants indique que les mouvements de XRP se poursuivent, sans toutefois permettre d’établir quelle quantité sera déplacée par la suite.

Les transferts de XRP liés au vol ont commencé dans un intervalle de temps très court, le 29 octobre. Entre 20 h 05 et 20 h 09 UTC, cinq portefeuilles chauds de Binance ont envoyé 233,46 millions de XRP à une adresse contrôlée par l’attaquant, selon le récit du rapport. Le FBI a attribué la campagne plus vaste au groupe TraderTraitor, lié à la Corée du Nord. Binance a repris les retraits progressivement et affirme avoir gelé ou intercepté environ 2,85 milliards de dollars, tout en indemnisant les clients sur ses propres fonds.

Les XRP ont été déplacés par étapes après plusieurs jours de calme

Les XRP volés n’ont pas été immédiatement transférés vers des services de conversion. Elliptic indique que, tôt le 2 novembre, entre 02 h 12 et 04 h 00 UTC, environ 233 millions de XRP ont été transférés vers six adresses nouvellement créées. Ces fonds y sont ensuite restés jusqu’au 5 novembre. Cette pause a séparé le transfert initial des échanges ultérieurs et montre pourquoi la chronologie du vol est importante : les XRP ont été déplacés sur plusieurs jours, et non dans le cadre d’une transaction continue.

À partir de l’après-midi du 5 novembre, deux des six adresses ont commencé à répartir les XRP entre des dizaines de nouveaux comptes. Ces comptes ont ensuite échangé les jetons, principalement via THORChain contre du bitcoin. Elliptic a également recensé, ce soir-là, une petite quantité d’ether acheminée via THORChain contre du bitcoin. Ce schéma inscrit les échanges de XRP dans une opération plus vaste visant à transférer les actifs volés entre différents services et à les convertir sous d’autres formes, plutôt que de simplement déplacer les jetons d’origine entre des portefeuilles.

Les principaux avoirs n’ont pas tous suivi cette voie. Elliptic indique que les plus importantes réserves de bitcoin et d’ether liées au vol n’ont pas bougé, tandis que seules de petites fractions des principaux avoirs en ether et en NEAR ont été transférées. Il faut donc distinguer les actifs déjà convertis des sommes importantes qui restent immobilisées. Le rapport ne précise pas quand, ni même si, ces soldes immobiles seront transférés ; l’activité actuelle autour du XRP ne peut donc pas être considérée comme un calendrier pour le reste.

Une piste tentaculaire s’étend à travers des portefeuilles, des blockchains et des services

Elliptic a recensé plus de 20 000 portefeuilles sur 16 blockchains dans le circuit de blanchiment depuis le vol survenu chez Binance. L’entreprise a également identifié des activités impliquant au moins 36 services et au moins 65 000 transactions. Autrement dit, ses chiffres correspondent à environ un nouveau portefeuille toutes les 30 secondes et une transaction toutes les 10 secondes. Cette ampleur décrit un circuit dispersé et multichaîne ; elle ne montre pas à elle seule que chaque portefeuille ou service correspond à un participant distinct.

Malgré les importants mouvements observés, Elliptic estime qu’environ 3,11 milliards de dollars restent sur des adresses liées au vol, principalement sous forme d’ether et de bitcoin. Selon l’entreprise, seule une quantité négligeable aurait probablement été encaissée jusqu’à présent. Cette distinction est importante : transférer des actifs entre portefeuilles ou échanger un jeton contre un autre ne revient pas à les convertir en monnaie traditionnelle. Les traces rapportées témoignent donc d’une importante activité de blanchiment, mais de peu d’éléments indiquant que les fonds ont effectivement été encaissés.

Elliptic indique que ces mouvements reflètent également les différences entre les actifs en matière de gel. Les émetteurs peuvent geler de nombreux stablecoins, mais ils ne peuvent pas geler le XRP de la même manière, ni le bitcoin. D’après le rapport, après le blocage de grandes quantités de stablecoins par Tether et Circle le 29 octobre, l’attaquant a privilégié les actifs échappant à ce mécanisme contrôlé par les émetteurs. La conversion du XRP en bitcoin s’inscrit dans cette même logique, même si la source n’affirme pas que le bitcoin devient impossible à tracer ou à récupérer.

La question est maintenant de savoir si cette voie de conversion va se poursuivre

L’activité actuelle autour du XRP s’inscrit dans une série plus vaste de conversions. Selon Elliptic, la totalité des SOL volés, soit environ 87 millions de dollars selon ses estimations, a été échangée, transférée via des ponts ou mélangée, une grande partie ayant fini en bitcoin. La majeure partie du blanchiment précoce des quelque 220 millions de dollars en TRX a également eu lieu, tandis que seules de petites quantités des principaux fonds en ether et en NEAR ont été déplacées. Ces chiffres illustrent les différentes étapes propres à chaque groupe d’actifs, plutôt qu’une voie unique suivie par tous les fonds volés.

Une partie des fonds convertis a également transité par des services axés sur la confidentialité. Elliptic a recensé environ 33 BTC, d’une valeur d’environ 2,5 millions de dollars, envoyés vers des coinjoins de type Wasabi depuis le 1er novembre. L’entreprise a également signalé qu’environ 1,1 million de dollars en ether et en SOL avaient été versés dans le pool Privacy Cash avant que ce service ne suspende les dépôts. Ces montants ne représentent qu’une petite partie de l’ensemble des mouvements, et le rapport ne permet pas d’établir que ces services ont reçu tous les actifs convertis ni que les fonds ont été encaissés avec succès.

Elliptic interprète la rapidité et la régularité de l’activité comme relevant d’une automatisation classique plutôt que d’un agent d’IA prenant des décisions en temps réel, évoquant des délais fixes, des montants définis, des tentatives répétées à l’aveugle et des tactiques mises en œuvre à plusieurs heures d’intervalle. La suite reste incertaine : à court terme, la principale question est de savoir si une plus grande partie des quelque 192 millions de XRP sera convertie et si l’ether mis en réserve sera transféré par la suite. Le rapport laisse également ouverte la question de savoir si les opérateurs de THORChain et d’autres ponts pourront continuer à bloquer assez rapidement les adresses des attaquants publiées pour interrompre le circuit.

Source : BitcoinMagazine