Le blanchiment sur Binance via THORChain place les swaps sans autorisation sous la pression du FBI

THORChain a traité des actifs Binance volés malgré les appels du FBI, ravivant la surveillance après son rôle dans le déplacement de près d’un milliard de dollars issus du vol subi par Bybit en 2025. La controverse autour du blanchiment sur Binance via THORChain repose sur une distinction étroite mais lourde de conséquences : interrompre une route de trading entière diffère du blocage d’un attaquant précis. Les développeurs affirment que le réseau ne dispose pas de contrôles sélectifs des transactions. Les enquêteurs veulent empêcher le déplacement de fonds volés identifiables.

Le Wall Street Journal a rapporté que les opérateurs de THORChain avaient gagné au moins 12 millions de dollars grâce à des transactions impliquant des fonds Bybit volés, citant Chainalysis. Sa dernière enquête relie cet historique à des produits issus de Binance transitant par la même infrastructure. Ces chiffres décrivent des flux criminels rapportés et les revenus associés, plutôt qu’ils ne prouvent que chaque participant à l’infrastructure a sciemment aidé les attaquants.

Le conflit immédiat oppose l’accès sans autorisation, c’est-à-dire la participation sans approbation d’un opérateur, aux efforts visant à interrompre le mouvement d’actifs volés. Binance, les enquêteurs et les opérateurs d’infrastructure font face à des pressions différentes dans ce conflit. La question centrale est pratique : quelle intervention le système existant peut-il prendre en charge, qui peut l’autoriser et qui en assume les conséquences ?

Le blanchiment sur Binance via THORChain suit une voie familière

L’enquête du Wall Street Journal, relayée par Mint, décrit une nouvelle rencontre entre le vol subi par une grande plateforme d’échange et une infrastructure conçue pour un accès ouvert. Selon son enquête sur les fonds volés, THORChain a traité plus de 46 millions de dollars provenant de Binance en 72 heures. Chainalysis a estimé que ces transactions avaient généré plus de 200 000 dollars de frais.

Ces montants exigent une interprétation prudente. Ils représentent une première fenêtre de couverture, plutôt qu’un décompte complet des transferts ultérieurs. Ils distinguent également les actifs transitant par le service des revenus générés par cette activité. Assimiler le volume de transactions au bénéfice exagérerait ce que les participants à l’infrastructure ont reçu.

Le changement lourd de conséquences est la réutilisation d’une voie de conversion connue après que les enquêteurs ont explicitement demandé une intervention.

THORChain prend en charge les swaps inter-chaînes, des échanges entre actifs enregistrés sur différentes blockchains. Une blockchain est un registre partagé des transactions, maintenu par un réseau d’ordinateurs. Ici, la fonction pertinente consiste à convertir des actifs volés en d’autres cryptomonnaies sans ouvrir de compte sur une plateforme d’échange conventionnelle.

Cette fonction permet une interopérabilité légitime. Elle offre aussi aux enquêteurs une étape supplémentaire à laquelle les actifs volés peuvent changer de forme. Un actif entrant et un actif sortant peuvent rester liés par des éléments de preuve transactionnels, même lorsqu’ils appartiennent à des réseaux différents.

Le précédent Bybit rend plus difficile de traiter le dernier épisode comme un cas limite inattendu. Le Journal a rapporté que près d’un milliard de dollars issus de ce vol étaient passés par THORChain. Son estimation des frais, attribuée à Chainalysis, décrit le bénéfice économique associé à ces transactions.

Cet historique soulève une question de responsabilité sans répondre à toutes les questions juridiques ou techniques. Un système peut traiter une activité nuisible sans que chaque participant partage l’objectif de l’attaquant. Néanmoins, une utilisation répétée donne aux opérateurs et développeurs des raisons plus fortes d’expliquer précisément leurs contrôles.

La chronologie compte également. Les premières transactions Binance, la publication des alertes, les interruptions temporaires et l’activité ultérieure appartiennent à des moments distincts. Un chiffre cumulatif de transactions ne permet pas, à lui seul, d’établir ce que chaque participant savait lorsqu’un swap particulier a eu lieu.

Pour les lecteurs, la distinction utile est celle entre le vol lui-même et le déplacement ultérieur de son produit. L’implication de THORChain dans les conversions n’établit pas sa responsabilité dans la compromission d’origine. Elle fait toutefois de la réponse du réseau une partie de l’histoire de la récupération.

Les frais rapportés accentuent cet enjeu, car la poursuite du traitement a des conséquences économiques. Cependant, les revenus associés à des transactions criminelles doivent rester clairement attribués et encadrés par la méthodologie de la source. Ils ne doivent jamais devenir un raccourci pour une accusation non étayée visant chaque personne qui exploite le réseau.

La demande du FBI va au-delà de la plateforme d’échange

Le FBI a attribué le vol sur Binance à une activité nord-coréenne qu’il appelle TraderTraitor. Son avis public situe l’attaque aux alentours du 29 octobre 2026 et décrit plus de 6 milliards de dollars volés. L’attribution demeure l’évaluation du bureau ; la Corée du Nord a nié toute implication.

La demande de blocage des transactions du bureau inclut explicitement les opérateurs de THORNode, les participants qui exécutent le logiciel réseau de THORChain. Elle s’adresse aussi aux services d’échange, aux fournisseurs d’infrastructure et aux entreprises d’analyse blockchain. La demande couvre les transactions impliquant des adresses répertoriées et les fonds qui en sont issus.

Les enquêteurs font pression sur l’infrastructure qui déplace les produits du vol, en même temps que sur la plateforme d’échange qui les a initialement perdus.

Cette formulation crée un problème opérationnel plus difficile que la simple vérification de l’apparition du portefeuille d’un client sur une liste. Une adresse est un identifiant utilisé pour recevoir ou envoyer des actifs. Les fonds peuvent quitter une adresse d’attaquant initialement identifiée tout en conservant un lien avec le vol.

Déterminer ce lien exige une analyse. Un transfert direct depuis une adresse d’attaquant identifiée soulève une question probatoire différente de celle d’actifs passant par plusieurs intermédiaires. Une réponse crédible doit distinguer ces situations plutôt que de traiter toute association comme également concluante.

La pression exercée sur Binance concerne la récupération, la confiance des clients et l’explication de la compromission initiale. Celle qui pèse sur les participants de THORChain concerne la poursuite du traitement et les contrôles disponibles pour l’interrompre. Ces responsabilités se recoupent, mais elles ne sont pas interchangeables.

Pour les opérateurs d’infrastructure, la demande remet également en cause une hypothèse familière concernant les systèmes distribués. L’absence de service conventionnel chargé des comptes n’empêche pas les enquêteurs de demander à des participants identifiables d’agir. La question de savoir si un participant particulier possède la capacité technique ou l’obligation légale de se conformer exige une évaluation distincte.

L’avis public n’établit pas en lui-même que chaque destinataire a enfreint la loi. Il ne résout pas non plus les questions de compétence, d’intention, de contrôle ou de classification de chaque service. Ces questions exigent des preuves sur des acteurs et des comportements précis.

L’obstacle pratique est que les enquêteurs recherchent un résultat à travers plusieurs systèmes dotés de capacités d’intervention différentes. Une plateforme centralisée contrôle ses propres comptes clients. Un réseau de swaps distribué coordonne l’activité entre des opérateurs qui suivent des règles logicielles communes.

Cette différence affecte le temps de réponse et les recours disponibles. Une plateforme d’échange peut examiner une relation client au sein de sa propre organisation. Une modification de protocole peut nécessiter un accord, une mise en œuvre, des tests et une adoption par des participants indépendants.

Pour autant, décrire la coordination comme difficile ne permet pas de trancher si une mesure plus restreinte est réalisable. Les enquêteurs peuvent raisonnablement demander quels contrôles existent, à quelle vitesse ils fonctionnent et ce qu’ils affectent. Les opérateurs peuvent raisonnablement exiger de la clarté sur l’action demandée et ses conséquences.

Le différend sur le blanchiment Binance via THORChain dépasse donc une demande de coopération. Il met à l’épreuve la signification de cette coopération : partage de preuves, restriction d’accès, suspension du trading, modification du logiciel ou combinaison de ces mesures. Ces actions impliquent des coûts différents et doivent être évaluées séparément.

Un arrêt du réseau diffère du blocage d’une adresse

La défense technique la plus forte de THORChain concerne la portée de ses contrôles existants. Lors d’une discussion en octobre, des contributeurs ont déclaré que le protocole ne disposait pas d’un mécanisme permettant de rejeter sélectivement des portefeuilles ou transactions individuels. Leur position sur la censure des transactions défendait également l’accès sans approbation fondée sur l’identité.

Cette position combine une affirmation architecturale et une préférence politique. L’affirmation architecturale concerne ce que le logiciel déployé prend actuellement en charge. La préférence politique porte sur la question de savoir si les opérateurs devraient introduire des restrictions fondées sur l’identité. Les preuves étayant la première ne règlent pas automatiquement la seconde.

Un arrêt général peut interrompre les fonds volés tout en imposant la même interruption aux utilisateurs légitimes.

Les contrôles d’arrêt du réseau de THORChain documentent plusieurs moyens de suspendre les opérations. Les opérateurs peuvent arrêter le trading impliquant une blockchain, suspendre la signature sortante ou interrompre une activité plus large. Ces contrôles affectent des catégories d’opérations plutôt que de fonctionner comme un filtre sélectif d’adresses d’attaquants.

La signature consiste à autoriser cryptographiquement une transaction sortante. La suspension de cette étape peut laisser des transferts en attente au lieu de les achever normalement. Un arrêt du trading affecte la poursuite des swaps, tandis qu’un arrêt plus large d’une chaîne modifie également la manière dont le système observe le réseau connecté.

Ces distinctions font de « il peut arrêter les transferts » une description incomplète. La question suivante est de savoir quels transferts s’arrêtent et ce qui arrive à tous les autres. On ne peut pas supposer qu’un contrôle suspendant une route entière offre une intervention précise contre un seul criminel.

Prenons le cas d’un utilisateur légitime qui échange des actifs alors qu’un attaquant utilise la même route. Une pause à l’échelle de la route affecte les deux transactions. Cette conséquence ne rend pas l’intervention intrinsèquement erronée, mais elle crée un coût qu’une restriction sélective éviterait.

Le raccourci inverse est également incomplet. Dire que le protocole ne peut pas mettre une adresse sur liste noire ne signifie pas qu’il lui manque toute forme de contrôle opérationnel. Les mécanismes d’arrêt existants démontrent une capacité à interrompre l’activité dans des conditions définies.

Le véritable désaccord porte sur le moment où ces mécanismes devraient s’appliquer. Protéger le réseau contre un dysfonctionnement interne est directement lié au maintien de son fonctionnement. Interrompre des actifs volés ailleurs soulève des questions de preuves externes, d’autorité, de portée et de durée.

Les contributeurs de THORChain soutiennent que les jugements moraux fondés sur les transactions créeraient un pouvoir discrétionnaire au sein d’un système conçu autour de règles cohérentes. Cette préoccupation mérite un examen approfondi. Un mécanisme d’intervention peut affecter des utilisateurs au-delà du cas initial, surtout si ses critères restent flous.

Les critiques peuvent accepter ces préoccupations de conception tout en contestant la répartition des préjudices qui en résulte. Si les contrôles généraux constituent la seule option disponible, les victimes subissent les conséquences du maintien ininterrompu de l’activité. Les utilisateurs légitimes subissent les conséquences lorsque les opérateurs suspendent la route.

C’est le compromis central de l’article. La précision, la rapidité, la disponibilité et la résistance au contrôle discrétionnaire ne s’alignent pas automatiquement. Évaluer la réponse exige de nommer l’objectif prioritaire et d’identifier les coûts qui en découlent.

Une modification logicielle proposée exigerait un examen tout aussi concret. Les examinateurs devraient comprendre qui fournit les informations d’adresse, comment les erreurs sont corrigées et si les participants peuvent contourner la restriction. Annoncer une intention d’intervenir démontrerait moins qu’une capacité déployée et examinée de manière indépendante.

Les conversions peuvent réduire les options de gel sans effacer les preuves

Le choix des actifs de destination par les attaquants aide à comprendre pourquoi le moment des swaps est important. Les stablecoins sont des jetons conçus pour suivre un actif de référence, souvent le dollar américain. Certains émetteurs de stablecoins conservent des contrôles permettant de restreindre les jetons associés à certaines adresses.

Bitcoin et ether ne disposent pas d’un mécanisme équivalent de gel d’adresses géré par un émetteur. Le passage vers ces actifs modifie les points d’intervention disponibles. Il n’efface pas automatiquement l’historique des transactions et ne garantit pas que l’attaquant puisse dépenser librement le produit.

La couverture de CoinDesk du 4 novembre a décrit un blanchiment inter-chaînes impliquant THORChain après la reprise des échanges. Elle a rapporté une interruption antérieure, le 31 octobre, causée par une réorganisation de blocs Ethereum et une défaillance de remboursement. Une réorganisation de blocs remplace une partie de l’historique récemment accepté des transactions d’une blockchain.

Une perturbation opérationnelle peut retarder le blanchiment sans devenir une politique délibérée de blocage des actifs volés.

Cette interruption est pertinente parce qu’elle montre pourquoi la cause d’une pause est importante. Un mécanisme de sécurité répondant à un problème de comptabilisation diffère d’une décision de rejeter des produits criminels. Observer le même effet immédiat ne démontre pas la même politique, la même autorité ni le même résultat visé.

La comparaison avec Tether et Circle est également instructive. Ces émetteurs de stablecoins occupent une position différente de THORChain parce qu’ils administrent leurs propres jetons. Leur capacité à restreindre ces jetons ne se traduit pas par un contrôle sur chaque cryptomonnaie reçue en échange.

Pour les enquêteurs, cela crée une urgence autour de la conversion. Une intervention possible avant un swap peut devenir indisponible après celui-ci. D’autres possibilités peuvent subsister, notamment lorsque les actifs rencontrent ensuite un service capable d’identifier un client ou de restreindre un compte.

La visibilité publique conserve sa valeur tout au long de ce processus. Un transfert enregistré peut soutenir une enquête même lorsque le réseau ne peut pas l’annuler. La capacité à reconstituer les événements et celle à récupérer des biens sont des capacités différentes.

L’évolution de l’analyse des fonds Binance d’Elliptic illustre cette distinction. Sa mise à jour du 9 novembre a décrit d’importants mouvements tout en estimant qu’un montant négligeable avait probablement été converti en espèces. Cette évaluation est une estimation analytique plutôt qu’un inventaire complet de chaque bénéficiaire final.

La conversion en espèces consiste à transformer une cryptomonnaie en monnaie conventionnelle ou à réaliser autrement un produit dépensable par un autre canal. L’arrivée dans un nouveau portefeuille n’établit pas que cette étape a eu lieu. Il en va de même pour la conversion d’une cryptomonnaie en une autre.

Cette distinction évite une conclusion facile mais trompeuse : un swap effectué ne signifie pas nécessairement que les enquêteurs ont définitivement perdu la trace. Il peut réduire les options de gel immédiates tout en laissant des preuves qui permettent une identification, une perturbation ou une récupération ultérieure.

Inversement, une piste visible ne garantit pas la récupération. Les enquêteurs ont toujours besoin d’un point d’intervention pratique, d’une attribution exploitable et, le cas échéant, d’une coopération. La transparence fournit des preuves ; elle ne confère pas la possession des actifs.

Pour les développeurs qui intègrent des swaps dans des applications, cette différence a des implications directes pour le produit. Un écran d’historique des transactions peut montrer ce qui s’est passé sans offrir de mécanisme d’annulation. Les utilisateurs ont besoin d’explications précises sur cette limite avant qu’un incident ne les oblige à la découvrir.

Le même principe s’applique aux messages d’urgence. Une application doit distinguer le traitement retardé, les échanges indisponibles, une exposition présumée à des activités illicites et les transferts effectués. Réunir ces situations sous un message générique de panne masque les informations dont les utilisateurs ont besoin pour évaluer leur situation.

Les frais intensifient l’examen, mais ne tranchent pas la responsabilité

Les frais Bybit rapportés expliquent pourquoi cette controverse dépasse un débat technique sur les capacités logicielles. L’utilisation criminelle peut générer des revenus au sein d’une infrastructure qui sert également des clients légitimes. Cela soulève une question d’incitation, même lorsque le traitement des transactions suit des règles standardisées.

Les revenus de frais constituent un élément pertinent concernant les incitations, mais n’établissent pas à eux seuls l’intention ou la responsabilité juridique.

L’estimation du Journal fondée sur Chainalysis se rattache à un événement historique précis et à un périmètre comptable donné. Elle ne doit pas être combinée sans précaution avec des instantanés antérieurs de l’activité de l’ensemble du réseau. Le volume total, les actifs volés identifiés, les frais et les produits reçus par certains participants mesurent des réalités différentes.

Un attaquant peut faire circuler la même valeur économique à travers plusieurs transactions. Additionner chaque transfert sans tenir compte des répétitions peut surestimer les actifs sous-jacents concernés. De même, les revenus enregistrés durant une période active ne peuvent pas être automatiquement attribués dans leur totalité à une activité criminelle.

Une évaluation rigoureuse examine ce que comprend l’estimation. Mesure-t-elle les frais du protocole, la rémunération des opérateurs d’infrastructure, les revenus de l’interface ou plusieurs catégories ? Ces distinctions affectent à la fois l’analyse économique et l’identification des bénéficiaires.

Elles affectent également les comparaisons dans le temps. Une courte fenêtre d’observation peut produire un total différent de celui d’une enquête rétrospective ultérieure. Les écarts ne prouvent pas nécessairement qu’une estimation est fausse, mais ils exigent une explication avant de tirer des conclusions sur la croissance ou la rentabilité.

La question sceptique concernant THORChain porte sur l’étendue de son affirmation d’impossibilité. Une déclaration sur l’absence de contrôles sélectifs peut être techniquement plus étroite que l’impression publique selon laquelle toute intervention est entièrement impossible. L’existence de mécanismes de suspension générale rend cette distinction centrale.

La question sceptique pour les critiques concerne le remède proposé. Demander une intervention est plus facile que préciser un contrôle efficace et proportionné. Une proposition crédible doit traiter le cas des utilisateurs innocents, de l’attribution erronée, des retards opérationnels et de la possibilité que les fonds se déplacent ailleurs.

Aucune de ces questions n’annule l’autre. Un remède coûteux n’efface pas le préjudice résultant d’un traitement continu. Un préjudice grave ne démontre pas que chaque remède proposé fonctionnerait comme prévu.

La question plus large est de savoir si la réponse du système correspond aux attentes qu’il suscite. Les utilisateurs peuvent valoriser l’accès ouvert tout en souhaitant une présentation claire des pouvoirs d’urgence. Les participants de l’infrastructure peuvent défendre un pouvoir discrétionnaire limité tout en reconnaissant les conséquences de cette conception.

Pour les acheteurs d’entreprise, cela devient une question de dépendance. Un service bâti sur des swaps tiers hérite d’une exposition opérationnelle et réputationnelle liée au chemin sous-jacent. Une décision d’intégration doit tenir compte du comportement de ce chemin lors des défaillances internes comme des enquêtes criminelles externes.

Les développeurs font face à un problème de documentation connexe. Des formulations telles que « décentralisé » ou « non dépositaire » ne décrivent pas entièrement le comportement en situation d’urgence. Non dépositaire signifie généralement que les utilisateurs évitent de confier leurs actifs à un dépositaire de compte conventionnel, mais les détails de mise en œuvre déterminent toujours les dépendances opérationnelles.

Une documentation utile précise les limites de contrôle. Elle identifie qui peut suspendre les opérations, quelles activités sont suspendues, comment la reprise se produit et ce que les utilisateurs peuvent attendre pendant l’interruption. Ces détails rendent les promesses architecturales évaluables.

L’affaire de blanchiment Binance via THORChain révèle le coût de frontières laissées floues. Les victimes entendent un refus, les développeurs décrivent une capacité manquante et les opérateurs subissent une pression concernant des contrôles aux effets plus larges. Des explications précises n’élimineront pas le désaccord, mais elles permettront d’y répondre.

Surveiller les contrôles, les preuves de récupération et l’application formelle de la loi

Les prochains mois doivent être évalués à l’aune de développements observables plutôt que de déclarations selon lesquelles la décentralisation ou l’application de la loi l’aurait emporté. Trois signaux comptent le plus : les changements de contrôles, les preuves concernant les actifs récupérables et les actions formelles identifiant les participants responsables.

Les preuves décisives concerneront ce que les participants modifient et ce que les enquêteurs récupèrent.

Premièrement, surveillez les propositions concrètes de THORChain ou les changements déployés visant les fonds illicites identifiés. Une simple discussion démontrerait moins qu’une mise en œuvre adoptée. Les éléments les plus solides expliqueraient la portée du contrôle et montreraient comment les opérateurs l’utilisent.

Une restriction sélective réduirait l’argument actuel concernant les capacités indisponibles. Une dépendance continue à l’égard de pauses générales préserverait le compromis entre intervention et disponibilité du service. L’un ou l’autre résultat devrait être évalué à partir du déploiement réel plutôt que de descriptions promotionnelles.

Les questions pertinentes comprennent l’identité de ceux qui autorisent les restrictions et la manière dont les cas contestés sont examinés. Une liste d’adresses n’est qu’une donnée d’entrée. Son origine, son processus de mise à jour et son mécanisme de correction déterminent si le contrôle résultant peut fonctionner de manière prévisible.

Deuxièmement, surveillez les évaluations actualisées de traçage et de récupération. Les analystes doivent distinguer les actifs toujours associés aux attaquants, les actifs restreints par des émetteurs, les conversions effectuées et les produits présumés avoir atteint des canaux de conversion en espèces. Ces catégories répondent à des questions différentes sur l’avancement de l’enquête.

Un solde tracé plus important ne signifierait pas automatiquement que la récupération s’est améliorée. Un solde visible plus faible n’établirait pas automatiquement une conversion en espèces réussie. La méthodologie et l’incertitude comptent autant que le total mis en avant.

La preuve que des produits substantiels restent identifiables soutiendrait la valeur continue de l’analyse publique des transactions. Une récupération vérifiée apporterait une preuve plus forte d’une intervention pratique. La preuve d’une conversion en espèces achevée intensifierait l’examen des points où une action antérieure était possible.

Troisièmement, surveillez les évolutions formelles de l’application de la loi nommant des acteurs et des comportements précis. Les appels publics communiquent des priorités, mais les actes de procédure ou actions officielles peuvent établir des allégations plus précises. Toute évolution de ce type doit être évaluée à partir de ses affirmations réelles et des preuves qui les étayent.

Une action future centrée sur un fournisseur d’interface soulèverait des questions différentes d’une action visant des opérateurs de réseau. Les allégations concernant le contrôle, la coordination ou la connaissance nécessiteraient leur propre fondement probatoire. Les lecteurs doivent résister à la tentation de traiter chaque rôle d’infrastructure comme équivalent.

Ces signaux aideront également à évaluer la durabilité de la position de THORChain. Une documentation plus claire des contrôles renforcerait l’explication technique. Un écart inexpliqué entre les capacités documentées et les affirmations publiques affaiblirait la confiance dans cette explication.

Pour les lecteurs suivant le blanchiment via THORChain et Binance, organisez l’enquête autour de la distinction entre mouvement, contrôle et récupération. Comparez les conclusions datées plutôt que de fusionner différents instantanés en un total indifférencié. Demandez-vous si une intervention signalée affecte un portefeuille, une route de trading, une interface ou l’ensemble du réseau. Pour les développeurs et acheteurs de services, examinez le comportement d’urgence de chaque dépendance de swap avant le prochain incident. Identifiez qui peut agir, ce que cette action interrompt et comment les utilisateurs reçoivent des mises à jour fiables. Suivez ensuite les trois signaux concrets : contrôles déployés, produits récupérables et mesures d’exécution formelles. Quels participants peuvent démontrer que leurs responsabilités déclarées correspondent aux contrôles qu’ils exploitent réellement ?