La société d'analyse blockchain Elliptic a publié le 9 novembre 2026 une nouvelle technique de blanchiment utilisée pour les fonds dérobés lors du piratage de Binance en octobre, d'un montant de 6.4 milliards de dollars. Les blanchisseurs nord-coréens - liés au sous-groupe TraderTraitor au sein de Lazarus - créent leurs propres meme coins et font transiter une partie des montants volés à travers eux.
Comment fonctionne le système des meme coins fabriqués maison sur NEAR et Tron
La technique se déroule en quatre étapes.
Les blanchisseurs créent un nouveau token via l'un des outils de lancement publics disponibles sur la chaîne choisie. Ils l'associent ensuite à un actif réel - NEAR ou un stablecoin - dans un pool de liquidité sur une plateforme d'échange décentralisée. Le premier groupe de portefeuilles verse la crypto volée dans le pool et reçoit le nouveau token en retour. Un second groupe de portefeuilles reverse ce même token dans le pool et retire un actif «propre» - NEAR ou des stablecoins.
Le token lui-même est déguisé en meme coin classique. Les logos représentent un singe portant un nœud rose, un canard devant un drapeau américain, un renard, Elon Musk sous une bannière «Elon 2028 President». Les noms suivent le même schéma: du grossier FUK à un écho des dog coins «-INU» sous la forme de SINU. Des milliers de coins de ce type apparaissent on-chain chaque jour, de sorte qu'un de plus avec un logo de dessin animé et un nom ridicule ne déclenche en soi aucune alerte.
Six tokens NEAR et $430K de fonds volés
Elliptic avait repéré cette méthode dès 2025, lors du blanchiment du vol de Bybit également attribué à TraderTraitor. Au moins $24M avaient alors transité par un token fabriqué maison sur Tron.
Après le piratage de Binance, les blanchisseurs ont déployé le même scénario début novembre. Le 2 novembre, Elliptic a découvert un nouveau token fabriqué maison sur Tron créé uniquement à des fins de blanchiment. Le 3 novembre, des SOL volés ont été échangés à plusieurs reprises contre des tokens peu liquides sur Solana, puis contre des USDC et transférés via un pont vers une autre blockchain. Les tokens sur Solana n'étaient pas fabriqués maison, mais l'objectif était le même: placer un actif obscur entre les fonds volés et le portefeuille suivant.
Le tableau le plus clair est apparu sur NEAR. Entre le 5 et le 7 novembre, les blanchisseurs ont créé six nouveaux meme coins, chacun associé à NEAR dans son propre pool: FUK lancé le 5 novembre à 00:25 UTC, suivi de quatre autres (OLCCL, MEILI, MMLI et DABI) le 6 novembre entre 07:19 et 14:27 UTC, et SINU le 7 novembre à 10:06 UTC. Chaque lancement a coûté à ses créateurs environ 25 NEAR (soit environ $90).
Environ 117,000 NEAR (soit environ $430K) ont transité par l'ensemble des six pools combinés. Après le 8 novembre, aucun des tokens n'a plus été échangé, et pour quatre d'entre eux, les créateurs eux-mêmes ont retiré la liquidité restante des pools. Ce montant est faible comparé au vol, mais 11.8M NEAR (environ $43.7M) provenant de Binance n'ont toujours pas bougé - et le même système peut être étendu à n'importe quel volume.
Trois signes montrant que les tokens NEAR ont été conçus pour le blanchiment
Selon Elliptic, trois signaux dans les données trahissent les tokens.
Premièrement, personne d'autre n'y a touché. Sur l'ensemble des six tokens, les portefeuilles du réseau de blanchiment ont effectué chaque vente et chaque achat (à l'exception de FUK, qui a connu quelques achats extérieurs le premier jour - moins de 1% du volume). DABI, MMLI et SINU avaient chacun un seul portefeuille acheteur et un seul portefeuille vendeur.
Deuxièmement, chaque token suivant a été payé avec le produit du précédent. Cinq des six créateurs de tokens ont reçu leur financement d'un portefeuille qui vendait un token précédent 2 à 13 minutes avant le nouveau lancement. La chaîne s'enchaîne parfaitement d'un token vide à l'autre.
Troisièmement, les tokens ont été utilisés instantanément puis jetés. Chacun a été vendu pour la première fois dans les trois heures suivant son lancement, et 75% de son volume d'échange s'est concentré en une seule journée. Le montant de NEAR volé affluant dans le pool correspondait au montant de NEAR en sortant dans chaque cas.
Ce que cela signifie pour la conformité et le filtrage des adresses
Pour les équipes de conformité, la leçon est simple: un portefeuille ayant reçu ses fonds d'un échange via un pool de liquidité ne doit pas être considéré comme propre par défaut. Il peut se trouver à seulement deux échanges d'un piratage.
Quatre signaux méritent d'être surveillés: le token a été créé au cours des derniers jours; seul un petit nombre de portefeuilles échangent dans le pool; certains portefeuilles n'achètent que le token tandis que d'autres ne font que le vendre; les portefeuilles sont nouvellement financés, généralement juste avant de commencer à trader, souvent en montants ronds.
La technique ne cache pas les fonds - elle ralentit les enquêteurs. Chaque saut supplémentaire coûte du temps, et ce temps est la fenêtre dont les blanchisseurs ont besoin avant que le premier signal d'alerte n'atteigne les systèmes de surveillance. À $90 par token, un tel emballage jetable peut être créé à la douzaine.
