Hacker Binance Mixe 2,2 M$ Via Coinjoin

Imaginez un instant : plus de six milliards de dollars s’évaporent d’un des plus grands exchanges mondiaux en quelques heures. Quelques jours plus tard, les premiers millions commencent à se diluer dans des transactions obscures. C’est exactement ce qui se passe en ce moment avec le pirate de Binance. Entre le 1er et le 2 novembre 2026, environ 2,2 millions de dollars en Bitcoin ont été injectés dans des opérations CoinJoin. Pendant ce temps, 3,24 milliards de dollars restent encore clairement visibles sur les blockchains publiques. L’histoire n’est pas terminée. Elle ne fait peut-être que commencer.

Un nouveau chapitre dans le plus grand vol crypto de l’histoire

Le 29 octobre 2026, Binance a subi ce que beaucoup considèrent déjà comme le plus grand braquage de l’histoire des cryptomonnaies. Les estimations oscillent entre 6,3 et 6,43 milliards de dollars selon les sources. Elliptic, la société spécialisée dans la traçabilité blockchain, a affiné le chiffre à 6,43 milliards. Depuis, chaque mouvement de fonds est scruté à la loupe.

Jusqu’à présent, les autorités et les analystes avaient réussi à geler ou saisir environ 2,85 milliards de dollars, soit près de 44 % du butin total. Mais le reste continue de circuler. Et depuis le 1er novembre, une nouvelle stratégie est apparue clairement : le mixage via CoinJoin.

Les premiers mouvements de mixage détectés

Selon le rapport d’Elliptic publié le 2 novembre, les premières transactions CoinJoin ont été repérées à 05h55 UTC le 1er novembre. Environ 28 bitcoins, valorisés à peu près 2,2 millions de dollars au cours du moment, ont traversé 18 opérations de ce type en moins de vingt-quatre heures.

Ces bitcoins ne provenaient pas directement des 18 270 BTC volés sur Binance et toujours stockés dans 19 adresses immobiles. Ils sont issus de conversions ultérieures : des fonds volés en Tron ont d’abord été transformés, puis une partie d’Ethereum a également été convertie en Bitcoin avant d’entrer dans le circuit de mixage.

Le mécanisme de CoinJoin consiste à regrouper les bitcoins de plusieurs participants dans une même transaction collective. Une fois le processus terminé, il devient extrêmement difficile de relier les pièces entrantes aux pièces sortantes. C’est précisément l’objectif recherché par le ou les pirates.

Pourquoi le mixage commence seulement maintenant

Pendant les premiers jours qui ont suivi le vol, les mouvements observés étaient principalement des transferts massifs et automatisés, notamment sur le réseau Tron. Un portefeuille de distribution envoyait des fonds toutes les heures pendant 31 heures d’affilée, sans interruption nocturne. Les adresses destinataires redistribuaient ensuite les montants en moins de deux minutes en moyenne.

Ces patterns extrêmement réguliers ont convaincu les analystes qu’un logiciel pilotait l’opération. Quand un pont de bridge refusait un dépôt, les fonds étaient immédiatement renvoyés depuis de nouvelles adresses vers la même destination. Au 31 octobre au soir, près de 196 millions de dollars avaient déjà quitté le portefeuille principal Tron, répartis sur environ 200 adresses.

Le passage au CoinJoin marque un changement de stratégie. Après avoir dispersé les fonds, les opérateurs cherchent désormais à briser les chaînes de traçabilité. C’est une étape classique dans les schémas de blanchiment sophistiqués, mais rarement observée à cette échelle.

Les 3,24 milliards encore visibles

Malgré les premiers mixages, Elliptic estime que 3,24 milliards de dollars restent encore liés aux adresses identifiées comme issues du vol. Ces fonds sont principalement détenus en Ethereum et en Bitcoin. Il s’agit d’actifs toujours visibles sur les blockchains publiques, même si la question de savoir qui les contrôle réellement reste ouverte.

Le rapport souligne qu’une quantité négligeable a probablement déjà été cashée. Autrement dit, la quasi-totalité du butin non gelé circule encore sous forme de cryptomonnaies traçables ou en cours d’obscurcissement.

Les adresses liées au vol détiennent encore 3,24 milliards de dollars. Cela ne signifie pas que nous savons qui contrôle chaque portefeuille, mais que ces actifs restent visibles et suivis.

Rapport Elliptic du 2 novembre 2026

Le rôle des stablecoins et des gelés

Sur les 2,85 milliards de dollars gelés ou saisis, 94 % correspondaient à des stablecoins. Tether, Circle et d’autres émetteurs ont activé leurs mécanismes de gel. Sur les réseaux Arbitrum et Optimism, les mécanismes de gouvernance ont également permis de sécuriser certains actifs.

Cette distinction est fondamentale. Les tokens émis par des sociétés centralisées peuvent être gelés. En revanche, les cryptomonnaies natives comme le Bitcoin, le XRP, le Solana ou le NEAR échappent à ce type d’intervention. Rien de ce qui a été volé sur ces chaînes n’a pu être gelé selon l’évaluation d’Elliptic.

Sur Ethereum, les pertes les plus importantes se concentrent autour de 3,8 milliards de dollars répartis sur 186 tokens différents. Quatre catégories d’actifs représentent à elles seules 74 % du vol total : l’USDT sur Ethereum, le Bitcoin, l’USDC et l’USDT sur Tron.

L’attribution à la Corée du Nord

Le FBI a attribué le vol au groupe TraderTraitor, lié à la Corée du Nord. Elliptic avait déjà identifié ce groupe comme le principal suspect dans ses analyses antérieures. Cette attribution s’inscrit dans une longue série d’attaques sophistiquées menées par des acteurs étatiques contre l’écosystème crypto.

Les méthodes observées – automatisation poussée, dispersion rapide, conversion multi-chaînes puis mixage – correspondent aux modes opératoires déjà documentés dans d’autres opérations nord-coréennes. La différence cette fois réside dans l’ampleur record du butin.

Binance rembourse avec ses propres fonds

Face à la crise, Binance a pris une décision forte : utiliser ses propres réserves pour reconstituer les actifs volés. L’exchange a engagé plus de 6,34 milliards de dollars, dont 5 milliards étaient déjà disponibles en cryptomonnaies correspondantes au moment de la deuxième mise à jour de récupération.

Au 31 octobre, Binance indiquait avoir atteint environ 90 % de reconstitution. Les fonds provenaient du Secure Asset Fund for Users, d’une partie du Futures Insurance Fund et de liquidités propres de l’entreprise. Les derniers 10 % concernent des tokens moins liquides, ce qui explique le ralentissement des achats.

L’exchange a précisé que le Futures Insurance Fund n’était pas inclus dans les Proof of Reserves car il appartient à la société. Les vérifications de réserves des utilisateurs portent uniquement sur les actifs qui garantissent leurs propres soldes.

Ce que le CoinJoin change vraiment

Le CoinJoin n’efface pas complètement la traçabilité. Il la complique considérablement. Les sociétés d’analyse comme Elliptic continuent de suivre les flux en amont et en aval. Elles croisent les montants, les timings et les patterns de comportement pour maintenir une certaine visibilité.

Cependant, plus le volume mixé augmente, plus le travail devient difficile. Si les opérateurs poursuivent cette stratégie à grande échelle, une partie significative des 3,24 milliards encore visibles pourrait progressivement devenir plus opaque.

Les plateformes qui acceptent des dépôts Bitcoin sont particulièrement concernées. Elliptic recommande une surveillance continue : une adresse peut paraître propre lors d’un premier contrôle puis recevoir des fonds liés au vol quelques heures ou jours plus tard.

Les leçons pour l’écosystème

Ce vol et ses suites mettent en lumière plusieurs réalités. D’abord, même les plus grands exchanges restent vulnérables à des attaques sophistiquées. Ensuite, la distinction entre actifs gelables et non gelables est devenue critique. Enfin, les outils de mixage et de privacy progressent aussi vite que les techniques de traçabilité.

La réaction de Binance – reconstituer les fonds avec ses propres liquidités – constitue un précédent important. Elle montre qu’un exchange mature peut absorber un choc de cette magnitude sans faire porter le coût directement aux utilisateurs. Mais elle pose aussi la question de la pérennité de ce modèle si d’autres attaques de cette ampleur se produisent.

Du côté des régulateurs, l’attribution à un acteur étatique renforce les arguments en faveur d’un renforcement des obligations de vigilance et de coopération internationale. Les stablecoins, en particulier, se révèlent être un outil puissant de freinage lorsqu’ils sont contrôlés par des émetteurs disposés à collaborer.

Ce qu’il faut surveiller dans les prochains jours

Plusieurs indicateurs seront déterminants. Le volume de Bitcoin entrant dans de nouvelles transactions CoinJoin. L’apparition de conversions supplémentaires depuis Ethereum ou d’autres chaînes. Les éventuels retraits vers des exchanges ou des services de cash-out. Et bien sûr, les mises à jour d’Elliptic et des autres sociétés de blockchain forensics.

Les 18 270 BTC encore immobilisés dans 19 adresses constituent également un point d’attention majeur. S’ils commencent à bouger, cela pourrait signaler une nouvelle phase de l’opération.

Enfin, la capacité de Binance à finaliser les 10 % restants de reconstitution sera observée de près. Les tokens moins liquides représentent un défi réel : les acheter en volume sans faire exploser les prix demande du temps et de la méthode.

Une affaire qui redéfinit les standards

Le vol de Binance et le début du mixage de 2,2 millions de dollars via CoinJoin ne sont pas seulement une actualité. Ils constituent un cas d’école. Ils montrent jusqu’où peuvent aller les techniques de dispersion et d’obscurcissement. Ils illustrent aussi la capacité de réaction des émetteurs de stablecoins, des sociétés d’analyse et d’un exchange prêt à engager des milliards de ses propres fonds.

Pour l’instant, 3,24 milliards de dollars restent suivis. Une fraction commence à se diluer. Le reste du butin non gelé continue de circuler sous les radars de dizaines d’analystes. L’histoire est loin d’être close. Chaque nouvelle transaction CoinJoin, chaque conversion, chaque mouvement sur les adresses dormantes ajoute une pièce au puzzle.

Dans un secteur où la transparence des blockchains est à la fois une force et une faiblesse, le duel entre ceux qui cherchent à faire disparaître des fonds et ceux qui tentent de les suivre n’a jamais été aussi intense. Et cette fois, les montants en jeu dépassent tout ce que l’industrie avait connu jusqu’ici.

Les prochains jours et semaines diront si le mixage s’intensifie, si d’autres techniques de privacy sont mobilisées, et si les 3,24 milliards encore visibles diminuent significativement. Une chose est déjà certaine : le pirate de Binance a ouvert un nouveau chapitre. Et tout l’écosystème crypto le lit avec une attention extrême.