Faux jetons et pools de liquidité utilisés pour transférer des fonds liés au vol de Binance

Comment les jetons nouvellement créés sont devenus un outil de blanchiment

Elliptic a identifié une méthode de blanchiment dans laquelle des attaquants créent de nouveaux jetons et utilisent des pools de liquidité d’échanges décentralisés pour transférer des cryptomonnaies liées au vol de Binance. Au lieu d’envoyer directement les actifs d’un portefeuille à un autre, les opérateurs les échangent contre un jeton qu’ils viennent de lancer. Ces étapes supplémentaires rendent moins immédiate l’identification du lien entre les fonds versés dans un pool et les cryptomonnaies retirées par la suite, même si les transactions restent enregistrées sur la blockchain.

La technique commence par la création d’un nouveau jeton associé à un actif établi, comme NEAR ou un stablecoin. Les opérateurs ajoutent les deux actifs à un pool d’échange décentralisé, puis utilisent un premier groupe de portefeuilles pour acheter le nouveau jeton avec les fonds volés. Des portefeuilles distincts revendent ce jeton au pool et récupèrent la cryptomonnaie qui lui est associée. Le pool sert ainsi d’intermédiaire entre les portefeuilles, ce qui complique le parcours des transactions sans le faire disparaître.

Elliptic affirme avoir repéré cette méthode pour la première fois en suivant les fonds volés à Bybit en 2025. Dans cette affaire antérieure, des blanchisseurs nord-coréens ont créé un jeton sans valeur sur Tron et utilisé un pool de liquidité pour déplacer au moins 24 millions de dollars. La méthode est réapparue peu après le vol de Binance, sur Tron, Solana et NEAR. Cette récurrence laisse penser que la technique peut être adaptée à différentes blockchains, même si les éléments fournis ne permettent pas d’établir que toutes les transactions associées ont suivi le même parcours.

Un parcours via un pool brouille les liens entre les portefeuilles

Le 2 novembre, Elliptic a repéré sur Tron un jeton nouvellement créé qui semblait avoir été lancé spécifiquement à des fins de blanchiment. Le lendemain, des SOL volés ont été échangés contre des jetons enveloppés et peu échangés, puis convertis en USDC et transférés vers d’autres blockchains. Ces mouvements montrent que l’activité signalée ne se limitait ni à un seul réseau ni à un seul actif. Le récit décrit une succession d’échanges et de transferts, et non un transfert direct des fonds initialement volés vers une destination finale.

Les activités signalées sur NEAR donnent les détails les plus précis sur le fonctionnement du mécanisme. Du 5 au 7 novembre, les attaquants ont créé six jetons nommés FUK, OLCCL, MEILI, MMLI, DABI et SINU. Chaque jeton a été associé à NEAR dans son propre pool de liquidité. La création de chaque jeton a coûté environ 25 NEAR, soit approximativement 90 dollars, une somme relativement modeste au regard de la valeur acheminée ensuite par les six pools.

Ensemble, les six jetons ont servi à déplacer environ 117 000 NEAR, d’une valeur approximative de 430 000 dollars. Selon Elliptic, les portefeuilles ayant acheté les jetons avaient reçu des fonds provenant de NEAR volés, tandis qu’un montant presque identique est ensuite ressorti par l’intermédiaire de portefeuilles distincts. Une grande partie de la valeur retirée a été convertie en stablecoins ou envoyée via un pont inter-chaînes. Cette séquence fournit aux enquêteurs des liens identifiables, même si la multiplication des portefeuilles et des étapes de conversion rend le parcours plus complexe.

Six tokens NEAR révèlent une opération coordonnée

Le schéma de trading distinguait également cette activité de la participation ordinaire au marché. Les portefeuilles liés à l’opération assuraient la quasi-totalité des achats et des ventes, plutôt qu’un vaste groupe de traders indépendants. Trois tokens — DABI, MMLI et SINU — n’avaient chacun qu’un seul portefeuille acheteur et un seul portefeuille vendeur. Ils ont connu une forte activité de trading peu après leur lancement, puis ont été abandonnés ; selon Elliptic, aucun des six n’a enregistré de nouvelle activité de trading depuis le 8 novembre.

Les enquêteurs ont également établi un lien entre les lancements successifs de jetons : les recettes tirées des premiers jetons ont servi à financer la création des suivants. Cette découverte relie les opérations portant sur les six jetons et montre que les pools n’étaient pas de simples expérimentations sans rapport entre elles. Elle permet aussi de comprendre comment les opérateurs peuvent répéter cette méthode : un faible coût de création et la réutilisation des sommes récupérées peuvent financer de nouveaux lancements. Toutefois, les informations disponibles ne permettent pas d’identifier tous les portefeuilles ni d’établir la destination finale de l’ensemble des fonds.

La principale limite de cette technique est qu’elle ajoute de la complexité au lieu d’effacer les traces. Les échanges sur les pools et les portefeuilles intermédiaires rendent plus difficile et plus long le rapprochement entre les actifs volés entrants et les cryptomonnaies sortantes, mais les transactions laissent toujours une trace sur la blockchain. Selon Elliptic, les enquêteurs peuvent continuer à suivre les fonds. Pour les équipes chargées du traçage, le défi concret consiste à interpréter des activités liées entre elles à travers des portefeuilles, des contrats de jetons, des pools et, dans certains cas, des ponts blockchain.

La trace reste visible, mais les risques de conformité persistent

Les 430 000 $ qui auraient transité par les six jetons NEAR ne représentent qu’une partie des fonds évoqués dans l’enquête. Elliptic estime qu’environ 11,8 millions de NEAR, d’une valeur d’environ 43,7 millions de dollars, n’ont pas bougé. Ce chiffre désigne le montant qui, selon l’entreprise, n’avait pas été transféré ; il ne s’agit pas d’un montant dont il a été établi qu’il était passé par les six pools. Cette distinction est importante : l’opération impliquant les jetons ne constitue qu’une partie documentée de l’activité, et non un compte rendu exhaustif des fonds volés.

Elliptic a averti les plateformes d’échange et les équipes de conformité qu’elles ne devaient pas considérer automatiquement comme légitimes les cryptomonnaies reçues depuis des pools de liquidité. La société relève plusieurs signaux d’alerte à examiner : des jetons récemment créés, des pools comptant très peu de portefeuilles participants et des comptes approvisionnés peu avant le début des transactions. Aucun de ces éléments, pris isolément, n’est présenté comme une preuve concluante de blanchiment. Toutefois, associés à des liens transactionnels avec des actifs volés, ils peuvent aider les équipes de conformité à déterminer quelles activités méritent un examen plus approfondi.

Les conclusions rapportées laissent plusieurs questions importantes sans réponse. Elles ne précisent pas quelle part du montant total volé à Binance a transité par cette méthode, où sont finalement allés tous les fonds, ni si les 11,8 millions de NEAR restants seront déplacés. Elles n’affirment pas non plus que chaque jeton nouvellement lancé ou chaque pool comptant peu de participants soit illicite. L’enquête établit un constat plus limité, mais concret : les échanges de jetons peuvent compliquer l’attribution des fonds, tandis que les habitudes des portefeuilles et l’historique public des transactions fournissent toujours aux analystes et aux plateformes d’échange des éléments à évaluer.

Source : CryptoPotato