Des portefeuilles associés au piratage de Binance ont commencé à déplacer des Solana volés en vue de conversions en Bitcoin, selon les observations publiées le 1er novembre 2026 par Lookonchain. Le suivi porte sur 970 522 SOL évalués à 95,9 millions de dollars. En une heure, 486 970 SOL, représentant environ 46,4 millions de dollars, ont été transférés. Relay Protocol apparaît dans le parcours des opérations. Ces mouvements interviennent après l’attaque du 29 octobre, dont les pertes estimées atteignent 6,3 milliards de dollars en cryptomonnaies. Les autorités américaines cherchent parallèlement à empêcher la circulation des fonds dérobés.
Lookonchain suit près de 96 millions de dollars en SOL
Lookonchain indique que l’attaquant contrôlait 970 522 SOL au moment de son analyse. La société de suivi des transactions a observé le déplacement de 486 970 unités en une heure, soit approximativement la moitié du stock identifié. La valeur annoncée de ce transfert, 46,4 millions de dollars, correspond à l’estimation fournie au moment des observations. Elle ne représente pas nécessairement un montant déjà reçu en Bitcoin.
Les transactions sont rattachées à une adresse Solana suivie par Arkham et étiquetée comme liée au pirate de Binance. Cette attribution permet aux analystes de regrouper les mouvements observés, mais le communiqué initial ne précise pas combien de BTC ont finalement atteint les adresses destinataires. Il décrit une conversion en cours, plutôt qu’un résultat entièrement confirmé sur la blockchain Bitcoin.
Relay Protocol identifié dans le parcours des échanges
Selon Lookonchain, Relay Protocol constitue la voie utilisée pour échanger les SOL contre du BTC. Ce service fournit une infrastructure de transfert et d’échange entre différents réseaux blockchain. Sa présence a été relevée dans le cheminement des transactions, et non annoncée directement par Relay Protocol.
Convertir des SOL en Bitcoin modifie la composition des avoirs détenus par l’attaquant et ajoute un autre réseau à la piste que suivent les enquêteurs. Le changement d’actif ne suffit cependant pas à établir la destination finale des fonds. Le rapport initial ne confirme ni l’identification des adresses Bitcoin réceptrices ni la capacité éventuelle de Relay à bloquer les opérations concernées.
Cette incertitude importe pour lire les chiffres. Un transfert de 486 970 SOL indique une quantité déplacée, tandis que le montant de BTC effectivement reçu demanderait une confirmation distincte. Les observations disponibles permettent donc de décrire le trajet annoncé sans prétendre que toute la conversion est achevée.
Plus de 130 altcoins vendus auparavant
Les transferts de Solana succèdent à une autre série de ventes repérée plus tôt le 1er novembre. Dans une publication séparée, Lookonchain a indiqué que l’attaquant avait échangé plus de 130 altcoins présents sur des réseaux compatibles avec Ethereum. Les opérations auraient rapporté environ 123 400 ETH, évalués à 277,26 millions de dollars, ainsi que 1,69 million d’USDC.
D’après les calculs de la société, les recettes combinées approchaient 279 millions de dollars. À la différence des mouvements de SOL en cours, ces chiffres décrivent des actifs que le service d’analyse affirme avoir observés comme produits des échanges antérieurs. Il faut donc distinguer les montants déplacés en préparation d’une conversion et ceux effectivement reçus à l’issue d’autres transactions.
Les ventes de nombreux jetons ne produisent pas forcément une somme égale à leur valorisation affichée avant l’échange. Certains altcoins disposent de marchés étroits, dans lesquels une opération importante peut absorber les liquidités disponibles et entraîner un résultat très inférieur à la valeur théorique des unités vendues.
Une vente de PROM évaluée à cinq millions rapporte 71 dollars
Lookonchain a signalé un exemple particulièrement marqué avec le jeton PROM. Selon son relevé, l’attaquant a vendu 908 793 PROM, présentés comme valant près de cinq millions de dollars, dans un pool de liquidité Uniswap V2. La transaction n’aurait rapporté que 0,0316 ETH, soit environ 71 dollars au moment de l’opération.
Le registre Ethereum fournit une référence vérifiable pour cet échange inhabituel. Le contraste entre la valorisation indicative des jetons et le produit de la vente illustre les limites d’un prix affiché lorsqu’un pool ne possède pas suffisamment de liquidité. Il ne permet pas, à lui seul, de déterminer pourquoi l’attaquant a choisi cette transaction ni si un résultat semblable concerne les autres altcoins vendus.
Cette opération doit rester distincte des recettes agrégées annoncées pour les conversions précédentes. Les quelque 279 millions de dollars proviennent du total rapporté par Lookonchain, tandis que les 71 dollars décrivent un échange particulier. Les deux informations éclairent des aspects différents des mouvements de fonds après l’attaque.
Les différentes évaluations financières en dollars correspondent également à des moments et à des opérations distincts. Les 95,9 millions de dollars concernent l’ensemble des SOL suivis, tandis que les 46,4 millions se rapportent à la portion déplacée pendant l’heure observée. Les 277,26 millions en ETH et les 1,69 million en USDC concernent des échanges antérieurs. Les réunir sans tenir compte de leur chronologie pourrait fausser la lecture des mouvements rapportés.
Le FBI attribue le piratage à TraderTraitor
Le 31 octobre, le FBI a attribué le piratage de Binance à une opération nord-coréenne appelée TraderTraitor. Dans son alerte officielle, l’agence américaine a indiqué que les attaquants avaient dérobé plus de six milliards de dollars en actifs virtuels. L’estimation de 6,3 milliards de dollars citée pour l’incident relève du bilan présenté dans la couverture de l’attaque.
Selon les enquêteurs, le groupe convertissait principalement les cryptomonnaies volées en Ethereum. Ils s’attendaient également à d’autres opérations de blanchiment utilisant la finance décentralisée et des services d’échange instantané. Les mouvements de SOL observés ensuite par Lookonchain s’inscrivent dans le suivi des transferts postérieurs à l’attaque, sans que leur issue complète soit déjà documentée.
Le FBI, le Secret Service et la division d’enquête criminelle de l’administration fiscale américaine, IRS Criminal Investigation, ont demandé aux plateformes d’échange, aux opérateurs DeFi, aux fournisseurs d’infrastructures blockchain et aux entreprises d’analyse de bloquer les transactions liées aux adresses identifiées comme contrôlées par les attaquants.
Des milliards gelés, d’autres actifs encore transférables
Les premières mesures de gel ont immobilisé plusieurs milliards de dollars en cryptomonnaies dérobées, selon l’enquête précédemment publiée par crypto.news. D’autres avoirs demeuraient néanmoins transférables. Tether, Circle et d’autres émetteurs ont participé au gel d’actifs concernés. Binance a indiqué qu’environ trois milliards de dollars avaient été bloqués durant sa réponse initiale.
Ces montants montrent pourquoi le suivi des adresses reste important après les premières interventions. Une partie des fonds peut être immobilisée alors que d’autres unités circulent encore entre portefeuilles ou réseaux. Le chiffre annoncé par Binance pour les gels initiaux ne doit pas être interprété comme la totalité des actifs récupérés, ni comme une preuve que les conversions observées ultérieurement ont été empêchées.
La demande des autorités vise les transactions associées aux adresses identifiées. Le reportage ne précise pas quelles opérations particulières ont été bloquées après l’alerte du FBI, ni si les transferts via Relay Protocol ont fait l’objet d’une intervention réussie.
Une compromission des autorisations de portefeuille
L’attaque du 29 octobre impliquait des contrôles d’autorisation de portefeuille compromis. Des chercheurs spécialisés dans la sécurité blockchain ont examiné des transactions Ethereum ayant permis des retraits non autorisés. Ces éléments décrivent le mécanisme étudié après l’incident, sans fournir dans cette publication une reconstitution technique complète de chaque opération frauduleuse.
L’ampleur des pertes estimées et la diversité des actifs concernés expliquent la multiplication des suivis sur plusieurs réseaux. Le passage des altcoins vers Ethereum, puis le mouvement annoncé des SOL vers Bitcoin, imposent de distinguer les transactions confirmées des destinations qui restent à établir.
Binance promet de couvrir les pertes des clients
Binance a déclaré qu’elle prendrait en charge les pertes de ses clients à l’aide de ses propres ressources et de réserves d’urgence. Cet engagement figure parmi les mesures annoncées après le piratage. La publication ne détaille pas ici le montant final des remboursements réalisés ni un calendrier exhaustif pour chaque utilisateur touché.
La plateforme a commencé à rétablir les retraits le 1er novembre, en donnant d’abord accès aux retraits en Bitcoin. Elle a ensuite rouvert certains réseaux de stablecoins et d’autres cryptomonnaies. Cette reprise progressive concerne les services de retrait annoncés ; elle ne signifie pas nécessairement que toutes les fonctionnalités et tous les réseaux ont été restaurés simultanément.
Nouvelles adresses pour les réserves et les retraits
Binance a également annoncé que sa liste d’adresses de preuve de réserves, ou Proof of Reserves, intégrait désormais des portefeuilles nouvellement générés. Les futurs retraits des clients doivent être traités depuis ces nouvelles adresses, pendant que l’entreprise poursuit le remplacement des actifs touchés et l’examen de ses dispositifs de sécurité.
Cette évolution complète les annonces de reprise des retraits et de prise en charge des pertes. Elle ne permet toutefois pas de conclure que les investigations sont terminées. Les informations disponibles décrivent des mesures opérationnelles en cours, parallèlement à la surveillance des fonds attribués aux attaquants.
Ce que les prochains mouvements devront confirmer
Au 1er novembre, Lookonchain signalait près de 96 millions de dollars de SOL associés au pirate, dont 46,4 millions déplacés en une heure vers une conversion annoncée en Bitcoin. Le montant final de BTC reçu restait indéterminé dans l’alerte initiale. Les échanges précédents de plus de 130 altcoins, les gels d’actifs et les mesures de Binance appartiennent à des étapes distinctes de la réponse à l’incident.
Les prochaines confirmations dépendront des transactions effectivement enregistrées, de l’identification éventuelle des adresses de réception et des blocages signalés par les services concernés. À ce stade, la chronologie établit des transferts importants et une surveillance active, sans permettre d’affirmer que l’ensemble des fonds déplacés a été converti, récupéré ou définitivement immobilisé.
