SquidSquad Suspecté Dans Un Vol De 2,84 M$ Sur Bnb

Imaginez un détenteur institutionnel qui, du jour au lendemain, voit disparaître près de trois millions de dollars en cryptomonnaies sans le moindre avertissement. C’est exactement ce qui se serait produit le 8 octobre dernier sur la BNB Chain. L’enquêteur blockchain ZachXBT a récemment mis en lumière une série de transactions suspectes qui pointent vers le groupe SquidSquad, déjà associé à des opérations nord-coréennes. Les fonds auraient ensuite été dilués dans Tornado Cash avant de rejoindre des plateformes de change de gré à gré en Chine. Cette affaire, encore fraîche, soulève une question qui traverse tout l’écosystème : jusqu’où les réseaux de blanchiment peuvent-ils aller avant d’être réellement stoppés ?

Le Vol De 2,84 Millions Sur Bnb Chain Et La Piste SquidSquad

Le 21 octobre, ZachXBT a publié les premiers éléments concrets d’une investigation qui remonte à une attaque datée du 8 octobre. Un acteur institutionnel, dont l’identité reste pour l’instant confidentielle, aurait perdu environ 2,84 millions de dollars en actifs numériques sur la BNB Smart Chain. Les détails techniques de la compromission n’ont pas encore été rendus publics : on ignore s’il s’agit d’une faille de contrat intelligent, d’une usurpation d’accès ou d’une autre méthode plus sophistiquée. Ce silence autour de la victime et du mode opératoire initial laisse planer un flou qui, dans le monde crypto, n’est jamais anodin.

Ce qui est en revanche clairement documenté, c’est le parcours des fonds après le vol. Pendant plusieurs jours, les actifs sont restés sous le contrôle de l’attaquant. Puis, le 20 octobre, un mouvement massif a été observé : 1 111,2 ETH ont été déposés dans le protocole de confidentialité Tornado Cash. Quelques heures plus tard, ces mêmes fonds ont été retirés vers trois adresses Ethereum distinctes. De là, ils ont traversé le pont vers le réseau Tron via USDT0, une version de la stablecoin Tether conçue pour les transferts multi-chaînes.

Les deux adresses Tron identifiées par ZachXBT, TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU et TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux, présentent des liens transactionnels avec des portefeuilles précédemment attribués à des opérateurs nord-coréens. Dans les minutes qui ont suivi la consolidation, les fonds ont été acheminés vers des intermédiaires puis vers des adresses associées à des dealers OTC chinois. L’objectif semble clair : sortir rapidement les actifs du radar des outils de gel de Tether, qui dispose de la capacité de geler des USDT sur plusieurs réseaux.

Pourquoi Tornado Cash Reste Un Passage Obligé

Depuis plusieurs années, Tornado Cash occupe une place centrale dans les stratégies de blanchiment liées aux groupes nord-coréens. Le protocole permet de casser la traçabilité on-chain en mélangeant les dépôts de nombreux utilisateurs. Une fois les fonds sortis, il devient extrêmement difficile de relier formellement l’origine et la destination. Dans le cas présent, le dépôt de plus de mille ETH n’est pas anodin : il s’agit d’un volume suffisant pour diluer efficacement la provenance tout en restant dans des proportions qui n’attirent pas immédiatement l’attention des outils de surveillance automatisés.

Le fait que ce mouvement ait eu lieu le même jour que d’autres transferts massifs liés à l’exploit de Drift Protocol n’est probablement pas une coïncidence pure. Le 20 octobre, des portefeuilles associés à l’attaque de Drift ont injecté environ 25 700 ETH, soit plus de 61 millions de dollars, dans le même protocole de confidentialité. Drift avait déjà subi une perte estimée à 285 millions de dollars en avril, et l’attribution à un groupe nord-coréen nommé UNC6862 par Mandiant renforce l’idée d’une activité coordonnée ou, à tout le moins, d’une fenêtre temporelle privilégiée par ces acteurs.

Les réseaux nord-coréens ne se contentent plus de voler. Ils ont perfectionné des chaînes de blanchiment qui traversent plusieurs blockchains et plusieurs juridictions en quelques heures seulement.

Analyse on-chain indépendante

SquidSquad : Un Groupe Qui Mise Sur L’Impersonation

Selon une évaluation des menaces nord-coréennes publiée en 2026, SquidSquad se distingue par une approche très ciblée. Le groupe s’attaque prioritairement aux fondateurs de projets crypto, aux dirigeants d’entreprises et aux investisseurs fortunés. La méthode la plus courante consiste à se faire passer pour des capital-risqueurs, des investisseurs potentiels ou des contacts professionnels de confiance. Les échanges se déroulent souvent sur Telegram ou LinkedIn, plateformes où la vérification d’identité reste limitée.

Une fois la confiance établie, les opérateurs tentent d’envoyer des documents ou des logiciels malveillants. Les familles de malwares associées à SquidSquad incluent RustBucket, SwiftBucket et NimDoor. Ces outils permettent d’accéder aux portefeuilles, de capturer des clés privées ou de prendre le contrôle de machines de développement. Le mode opératoire rappelle fortement celui du célèbre Lazarus Group, qui a déjà utilisé de fausses invitations à des réunions et des logiciels macOS malveillants pour compromettre des cadres du secteur.

Cette similarité n’est pas fortuite. Les groupes nord-coréens partagent souvent des infrastructures, des techniques et parfois même des opérateurs. L’attribution purement on-chain reste cependant délicate : elle s’appuie sur des chevauchements d’adresses, des patterns de mouvement de fonds et des liens historiques, mais elle ne constitue pas une preuve judiciaire au sens strict. ZachXBT a d’ailleurs pris soin de préciser que ses conclusions reposent sur une analyse de la chaîne et non sur des informations hors blockchain.

Le Rôle Des Dealers OTC Chinois Dans La Chaîne De Blanchiment

Une fois les fonds arrivés sur Tron, le trajet s’accélère. En quelques minutes, les actifs passent par des portefeuilles intermédiaires avant d’atteindre des adresses liées à des opérateurs de change de gré à gré chinois. Ces OTC jouent un rôle crucial : ils convertissent les cryptomonnaies en monnaies fiduciaires ou en d’autres actifs plus facilement liquidables, souvent en dehors des circuits réglementés. Leur capacité à absorber de gros volumes rapidement en fait des points de sortie privilégiés pour les acteurs qui cherchent à disparaître.

ZachXBT a déjà documenté, le 5 octobre, une opération d’infiltration dans un réseau de blanchiment soupçonné d’être lié à Lazarus. En se faisant passer pour un client et en dépensant 349 700 dollars, l’enquêteur a suivi des flux associés au vol de 1,5 milliard de dollars subi par Bybit en 2025. Ce réseau chinois aurait traité plus d’un milliard de dollars provenant de plusieurs exploits. Tether a d’ailleurs gelé 442 000 USDT liés aux portefeuilles identifiés lors de cette opération. Aucun lien public n’a toutefois été établi entre ces opérateurs et ceux impliqués dans l’affaire SquidSquad du 8 octobre.

Le fait que les fonds aient été déplacés aussi rapidement vers ces OTC suggère une connaissance précise des délais de réaction de Tether. En effet, la société peut geler des USDT sur les réseaux qu’elle prend en charge, mais une fois les tokens passés entre plusieurs mains et convertis, la récupération devient quasi impossible. Cette course contre la montre est devenue un standard dans les opérations de blanchiment sophistiquées.

Des Précédents Qui Dessinent Un Mode Opératoire Récurrent

L’affaire SquidSquad s’inscrit dans une longue série d’attaques attribuées à des acteurs nord-coréens. En 2024, le protocole de prêt Radiant Capital avait perdu environ 50 millions de dollars après la compromission de permissions de signature et le remplacement d’un contrat d’implémentation. CertiK a ensuite identifié 2 834 ETH déposés dans Tornado Cash à partir des portefeuilles liés à cette attaque, soit environ 10,8 millions de dollars. Radiant a finalement annoncé en juin 2026 la cessation progressive de ses activités, incapable de se relever financièrement.

Drift Protocol, évoqué plus haut, a subi une perte encore plus importante. L’attribution à UNC6862 par Mandiant montre que les groupes nord-coréens ne se contentent plus de cibler les exchanges centralisés : ils s’intéressent aussi aux protocoles DeFi, aux bridges et aux institutions qui détiennent des quantités significatives d’actifs. La récurrence de Tornado Cash comme étape de blanchiment est frappante. Qu’il s’agisse de Radiant, de Drift ou de cette nouvelle affaire sur BNB Chain, le protocole de mixage apparaît systématiquement dans les chaînes de transactions.

Cette constance pose un problème structurel. Même si Tornado Cash a fait l’objet de sanctions et de discussions réglementaires intenses, son utilisation continue prouve que les outils de confidentialité restent disponibles et efficaces pour ceux qui savent s’en servir. Les efforts de gel de stablecoins, aussi utiles soient-ils, ne suffisent pas à interrompre une chaîne de blanchiment bien organisée.

Ce Que L’Absence D’Identité De La Victime Révèle

Le silence autour de l’institution touchée n’est pas anodin. Dans le secteur crypto, de nombreuses organisations préfèrent gérer ce type d’incident en interne pour éviter une atteinte à leur réputation ou une fuite d’informations qui pourrait compromettre d’autres avoirs. Ce choix, compréhensible d’un point de vue stratégique, complique cependant le travail des enquêteurs et limite la capacité de la communauté à apprendre des erreurs passées.

On ignore également la méthode exacte utilisée pour accéder aux fonds. S’agissait-il d’une clé privée compromise, d’une faille dans un smart contract, d’une attaque d’ingénierie sociale réussie ou d’un malware installé sur une machine de signature ? Chaque hypothèse implique des mesures de protection différentes. Tant que ces éléments ne seront pas clarifiés, il restera difficile de formuler des recommandations précises pour les autres institutions.

Les Enjeux De Sécurité Pour Les Institutions Crypto

Cette affaire rappelle une réalité souvent sous-estimée : les détenteurs institutionnels ne sont pas immunisés contre les campagnes d’ingénierie sociale. SquidSquad et d’autres groupes similaires excellent dans l’art de se faire passer pour des interlocuteurs légitimes. Un simple document malveillant ouvert sur un ordinateur de confiance peut suffire à compromettre des millions d’euros d’actifs.

Les solutions techniques existent : multi-signature, cold storage, procédures de validation en plusieurs étapes, isolation des machines de signature. Pourtant, la dimension humaine reste le maillon faible. Un dirigeant pressé, un fondateur qui reçoit une proposition d’investissement alléchante, un employé qui clique sur un fichier apparemment anodin : autant de scénarios qui se répètent année après année.

Les plateformes de messagerie comme Telegram et LinkedIn, très utilisées dans le secteur, offrent peu de garanties quant à l’identité réelle des interlocuteurs. Les groupes nord-coréens exploitent cette faille avec une régularité déconcertante. Tant que les pratiques de vérification d’identité ne se renforceront pas de manière significative, ces attaques continueront de porter leurs fruits.

La Course Contre La Montre Du Gel Des Fonds

Tether a démontré à plusieurs reprises sa capacité à geler des USDT lorsque des adresses sont signalées à temps. Dans l’opération d’infiltration de ZachXBT liée à Bybit, 442 000 USDT ont effectivement été gelés. Mais dans le cas SquidSquad, la rapidité des transferts vers les OTC chinois a probablement rendu toute intervention inefficace. Une fois les tokens passés entre plusieurs mains et convertis, la trace se perd.

Cette dynamique place les émetteurs de stablecoins dans une position délicate. Ils disposent d’un pouvoir de gel important, mais ce pouvoir n’est efficace que si l’alerte arrive avant que les fonds ne soient dispersés. Les groupes de blanchiment le savent et organisent leurs mouvements en conséquence. Le délai entre le dépôt dans Tornado Cash et l’arrivée chez les OTC se compte parfois en minutes seulement.

Les outils d’analyse on-chain progressent, les collaborations entre enquêteurs privés et autorités se multiplient, mais la vitesse d’exécution des attaquants reste un avantage structurel. Tant que les réseaux de change de gré à gré peu réglementés continueront d’opérer, une partie significative des fonds volés échappera aux tentatives de récupération.

Ce Que Cette Affaire Dit De L’État De La Sécurité Blockchain

Le vol de 2,84 millions de dollars n’est pas le plus important de l’année, loin de là. Pourtant, il illustre parfaitement la sophistication actuelle des opérations nord-coréennes. De la compromission initiale à la sortie vers des OTC chinois en passant par Tornado Cash et Tron, chaque étape est calculée pour minimiser le risque de gel et maximiser les chances de conversion en liquidités utilisables.

Les attributions on-chain, aussi précieuses soient-elles, restent des indices et non des preuves définitives. Elles permettent de dresser des cartes de connexions, d’alerter la communauté et d’orienter les enquêtes, mais elles ne remplacent pas un travail judiciaire classique. Dans le cas de SquidSquad, les liens avec des adresses précédemment attribuées à des opérateurs nord-coréens sont solides, mais ils ne constituent pas une identification formelle des individus impliqués.

L’écosystème crypto continue de se développer à un rythme soutenu, avec des volumes de transactions et des montants institutionnels de plus en plus importants. Cette croissance attire inévitablement des acteurs malveillants de plus en plus organisés. Les groupes nord-coréens, en particulier, ont fait de la crypto une source de financement stratégique. Chaque vol réussi renforce leurs capacités techniques et financières pour les opérations suivantes.

Les Leçons À Tirer Pour Les Acteurs Du Secteur

Plusieurs enseignements se dégagent de cette affaire. Premièrement, la vigilance face aux approches non sollicitées sur les réseaux professionnels et les messageries doit rester maximale. Un contact qui se présente comme un investisseur ou un partenaire potentiel mérite toujours une vérification approfondie avant tout échange de documents ou d’informations sensibles.

Deuxièmement, la segmentation des accès et l’utilisation systématique de procédures multi-signatures réduisent considérablement la surface d’attaque. Un seul point de compromission ne devrait jamais permettre de vider un portefeuille institutionnel. Troisièmement, la collaboration avec des enquêteurs on-chain et des services de monitoring en temps réel peut faire la différence entre une perte totale et une intervention rapide.

Enfin, la transparence, même partielle, sur les incidents subis permet à l’ensemble de la communauté de s’adapter. Les institutions qui choisissent le silence absolu freinent involontairement l’apprentissage collectif. Sans pour autant exposer des détails opérationnels critiques, un partage d’informations de haut niveau sur les méthodes d’attaque utilisées serait bénéfique à long terme.

Une Menace Qui Ne Cesse De S’Adapter

SquidSquad n’est qu’un nom parmi d’autres dans un paysage de menaces en constante évolution. Les groupes nord-coréens changent de techniques, de malwares et de canaux de communication dès que leurs méthodes deviennent trop connues. RustBucket, SwiftBucket et NimDoor ne sont probablement que les outils actuels d’un arsenal qui se renouvelle régulièrement.

La capacité de ces acteurs à combiner ingénierie sociale, malwares ciblés et chaînes de blanchiment multi-chaînes en fait des adversaires particulièrement redoutables. Leur motivation n’est pas uniquement financière : les fonds volés servent aussi à contourner des sanctions internationales et à financer d’autres activités. Cette dimension géopolitique ajoute une couche de complexité supplémentaire aux efforts de lutte.

Les autorités et les entreprises de sécurité progressent, les outils d’analyse s’améliorent, les collaborations se multiplient. Pourtant, chaque nouvelle affaire montre que les attaquants restent un pas en avant sur au moins une partie du parcours. Le vol du 8 octobre et son blanchiment observé le 20 octobre en sont la dernière illustration en date.

Vers Une Meilleure Traçabilité Ou Une Fuite En Avant ?

Le débat sur les outils de confidentialité comme Tornado Cash reste vif. D’un côté, ils offrent une protection légitime de la vie privée pour des utilisateurs honnêtes. De l’autre, ils sont régulièrement utilisés par des acteurs malveillants pour masquer l’origine de fonds illicites. Trouver un équilibre entre ces deux réalités n’est pas simple et les solutions purement techniques ou purement réglementaires montrent leurs limites.

Les stablecoins, quant à elles, offrent un levier de contrôle intéressant grâce à la possibilité de gel. Mais ce levier n’est efficace que si l’information circule suffisamment vite et si les points de sortie non réglementés sont réduits. Or, les OTC chinois et d’autres réseaux similaires continuent d’opérer, souvent dans des zones grises juridiques.

Dans ce contexte, l’affaire SquidSquad n’est pas seulement un vol de 2,84 millions de dollars. C’est un signal d’alarme supplémentaire sur la sophistication des menaces et sur la nécessité pour l’ensemble de l’écosystème de renforcer à la fois les protections techniques et les pratiques humaines. Tant que des millions de dollars pourront être déplacés d’une blockchain à une autre puis convertis en quelques heures, le risque restera élevé pour tous les détenteurs d’actifs numériques, qu’ils soient individuels ou institutionnels.

Les prochains jours et semaines diront si de nouveaux éléments viennent confirmer ou affiner l’attribution à SquidSquad. En attendant, la traçabilité on-chain continue de jouer son rôle de sentinelle, révélant des mouvements que les attaquants auraient préféré garder dans l’ombre. Et c’est peut-être là, dans cette capacité à suivre les flux malgré les efforts de dissimulation, que réside l’un des meilleurs espoirs de freiner, un jour, ces opérations répétées.