Le FBI appelle à bloquer les transactions liées au vol de Binance

Maya Collins Maya Collins

Revu par la rédaction de NV Global

Sphère orange au centre d’un réseau de sphères gris pâle reliées entre elles, sur une surface claire

Pas un ordre : le FBI et deux agences appellent le secteur privé à refuser les transactions, directes ou dérivées, avec 628 adresses liées au vol de Binance.

Le 31 octobre 2026, le FBI a déclaré que la Corée du Nord était à l’origine d’un vol de plus de 6 milliards USD chez Binance. Avec le Service secret des États-Unis (USSS) et la division des enquêtes criminelles de l’IRS (IRS-CI), il a appelé le secteur privé à bloquer les transactions avec 628 adresses, ainsi que les transactions issues de ces adresses.

Ce qui s’est passé

L’alerte, publiée sur la page des alertes cyber du FBI, situe le vol aux alentours du 29 octobre. Elle l’attribue à une activité nord-coréenne que le Bureau appelle TraderTraitor. Le FBI indique que lui-même, le Service secret des États-Unis (USSS) et la division des enquêtes criminelles de l’IRS (IRS-CI) ont observé les acteurs convertir les actifs volés principalement en Ether. L’alerte ajoute qu’un blanchiment supplémentaire via des services DeFi et de swap instantané est attendu.

Les trois agences « appellent instamment les entités du secteur privé » (notre traduction) à bloquer les transactions qui impliquent les adresses listées ou qui en sont issues. L’appel à bloquer lancé par l’alerte est une demande, et non un ordre. L’alerte cite plusieurs types d’entreprises comme exemples de ses destinataires, introduits par « including » (notamment), et non comme une liste fermée.

La liste qui suit compte 628 adresses : 608 sur Ethereum, 19 sur Bitcoin et une sur Solana. Le FBI indique que ces adresses « détiennent ou ont détenu des actifs provenant du vol » (notre traduction). Il les décrit comme « exploitées par des acteurs nord-coréens de TraderTraitor ou étroitement liées à eux » (notre traduction).

L’alerte ne cite aucune obligation légale de bloquer, ne mentionne pas de sanctions et n’indique pas si des fonds ont été gelés ou récupérés.

Pourquoi c’est important

La demande va au-delà des 628 adresses elles-mêmes. Selon notre lecture, « derived from » (issues de) couvre les fonds qui ont quitté ces adresses et transité par d’autres portefeuilles ou services de swap avant d’atteindre une entreprise. Un contrôle qui ne compare que la contrepartie immédiate à une liste fixe ne verrait pas ces fonds ; les retracer à travers les transferts antérieurs le permettrait. L’alerte n’explique pas comment les cribler.

Le format n’est pas nouveau. Le 26 février 2025, le FBI a attribué à TraderTraitor le vol d’environ 1,5 milliard USD chez Bybit. Il a publié 51 adresses Ethereum avec une demande formulée de façon presque identique, avec « encourages » (encourage) là où l’alerte Binance emploie « urging » (appelant instamment). Les listes de destinataires diffèrent. La demande Bybit citait des plateformes d’échange et des ponts inter-chaînes (bridges) ; la demande Binance cite des opérateurs de THORNode et des plateformes d’échange instantané, et pas de ponts.

Cette activité a aussi fait l’objet d’une attribution antérieure. En décembre 2024, le FBI, le Centre de lutte contre la cybercriminalité du département de la Défense et l’Agence nationale de la police du Japon l’ont liée à un vol chez le japonais DMM. Ce vol, en mai 2024, a porté sur des cryptomonnaies qui valaient alors 308 millions USD.

Qui est concerné

  • Les entités du secteur privé en général, auxquelles la demande s’adresse
  • Les types d’entreprises que l’alerte cite en exemple : plateformes d’échange instantané, services DeFi, opérateurs de nœuds THORNode et RPC, autres prestataires de services sur actifs virtuels (VASP) et sociétés d’analyse de blockchain
  • Les entreprises situées hors des États-Unis : l’alerte ne limite pas la demande par pays
  • Les équipes de conformité qui tiennent des listes de criblage d’adresses dans l’une de ces entreprises

Ce que nous recommandons aux entreprises

  1. Une liste de criblage établie à partir de l’alerte n’est complète qu’avec les 628 adresses. La demande couvre les sections Bitcoin et Solana autant que la section Ethereum.
  2. Il est conseillé de consigner quelle version de la liste a été chargée et quand, car une page d’alerte peut être modifiée après sa publication.
  3. Il est conseillé de consigner un blocage effectué sur cette base comme une réponse à une demande du FBI, et non comme une correspondance avec une liste de sanctions : l’alerte ne cite aucune désignation au titre des sanctions.
  4. L’alerte indique deux voies pour les informations connexes : le centre des plaintes pour la criminalité sur Internet du FBI (IC3) ou un bureau local du FBI.

Sources

Régions