727 FinanceEn examinant le cas de Bybit, comment les hackers ont converti 500 000 ETH en BTC en 10 jours, révélant le processus complet du blanchiment de cryptomonnaies cross-chain et de la conversion en espèces via des OTC souterrains. La pression vendeuse sur l'ETH était concentrée, l'impact sur le BTC était limité, et les hackers n'étaient pas la cause principale de la chute majeure.
Auteur : SoSoValue Research
Dans la soirée du 29 octobre, Binance a subi ce qui est soupçonné d'être la plus grande attaque de pirates informatiques de l'histoire. Chainalysis estime le montant dérobé à environ 5,9 milliards de dollars, et le détective on-chain ZachXBT pense qu'elle a très probablement été menée par Lazarus, le groupe nord-coréen.
Beaucoup de gens s'inquiètent : comment les pirates vont-ils gérer ces jetons ? Vont-ils les vendre massivement ? Pour répondre à cette question, la meilleure référence est l'affaire Bybit menée par le même groupe en février 2025.
I. Retour sur Bybit : 500 000 ETH, tous convertis en BTC en 10 jours
Le 21 février 2025, environ 500 000 ETH ont été dérobés à Bybit, d'une valeur d'environ 1,4 milliard de dollars à l'époque, ce qui en fait le plus grand vol de cryptomonnaies de l'histoire jusqu'alors.
Les pirates ont agi très rapidement :
● Jour 1 : conversion d'abord des dérivés de staking tels que stETH et mETH en ETH natif, puis répartition sur un grand nombre d'adresses.
● Jour 5 : au moins 160 000 ETH avaient déjà été transférés cross-chain via THORChain.
● Jour 9 : 62 200 ETH supplémentaires ont été transférés en une seule journée, portant le total cumulé à environ 343 000 ETH déplacés.
● Jours 10–12 : Arkham a confirmé qu'environ 500 000 ETH avaient tous été pontés d'Ethereum vers du BTC natif.
Quels canaux ont été utilisés ?
● THORChain (protocole cross-chain décentralisé) : environ 72 %, 361 000 ETH
● eXch (plateforme d'échange sans KYC) : environ 16 %, 79 700 ETH
● OKX Web3 Wallet : environ 8 %, 40 000 ETH
THORChain a ainsi perçu environ 5,5 millions de dollars de frais, ce qui a suscité de vives critiques de la communauté. eXch a ensuite annoncé sa fermeture le 1er mai 2025.
Combien pourrait finalement être récupéré ? Deux mois plus tard, le PDG de Bybit a publié des chiffres montrant que 68,6 % restaient traçables, 27,6 % avaient « disparu » et seulement 3,8 % avaient été gelés.
Conclusion : la quasi-totalité de l'ETH dérobé a été convertie en BTC, et moins de 4 % a réellement été récupéré.
II. Pourquoi les pirates doivent-ils convertir en BTC ?
1. Personne ne peut le geler
2. USDT et USDC ont des émetteurs qui peuvent mettre des adresses sur liste noire à tout moment. Dans l'incident Binance, Tether et Circle ont rapidement gelé environ 2,4 milliards de dollars de stablecoins. L'ETH lui-même ne peut pas être gelé, mais les DEX, les protocoles de prêt et les ponts cross-chain de l'écosystème Ethereum peuvent tous le bloquer. Il n'existe pas de tels « points de contrôle » sur la chaîne Bitcoin.
3. La liquidité la plus profonde et l'acceptation la plus élevée
4. N'importe quel courtier hors bourse, partout dans le monde, accepte le BTC. MIT Technology Review soulignait dès 2020 que les pirates finissent par revenir au Bitcoin, car aucune autre monnaie n'est aussi largement acceptée ni aussi facile à convertir en espèces.
5. Adapté au stockage à long terme
6. Lazarus est une organisation de pirates informatiques de niveau étatique et n'est pas pressée d'utiliser l'argent. Le BTC peut être conservé pendant des mois, voire des années, en attendant que la pression retombe avant d'être encaissé par lots.
III. Après conversion en BTC, comment est-il encaissé ?
La réponse est : l'encaissement se fait via des courtiers OTC (de gré à gré) souterrains.Le département du Trésor américain souligne que la Corée du Nord utilise généralement des courtiers hors bourse pour convertir les crypto-actifs volés en monnaie traditionnelle, et que la plupart de ces courtiers se trouvent en Chine, échappant ainsi à la vigilance des institutions financières et des régulateurs.
Le parcours général :
ETH volés → pontés en BTC → fractionnés et mélangés → souvent convertis en USDT sur la chaîne Tron → courtiers clandestins → monnaie fiduciaire ou biens en nature
Comment les courtiers « brisent-ils la chaîne » ? Par le biais de « transactions miroir ».
Les courtiers disposent simultanément d'un autre groupe d'acheteurs qui ont besoin de cryptomonnaies mais ne se soucient pas de leur provenance, comme des personnes cherchant à transférer des fonds à l'étranger, des plateformes de jeux en ligne et de fraude, et du commerce transfrontalier de marché gris. Le courtier vend les jetons des pirates à ces personnes, puis remet la monnaie fiduciaire locale payée par ces dernières aux personnes désignées par les pirates. Le traçage on-chain s'arrête au courtier, tandis que l'argent off-chain provient de parties totalement indépendantes.
Où aboutit finalement la monnaie fiduciaire ? Les affaires publiques incluent :
● Comptes bancaires et cartes UnionPay. Un rapport du Groupe multilatéral de surveillance des sanctions (MSMT) indique que les forces cybernétiques nord-coréennes ont utilisé le système financier chinois, y compris les cartes de crédit UnionPay et les banques commerciales, pour convertir en espèces les crypto-actifs volés.
● Cartes-cadeaux. Deux ressortissants chinois inculpés par le département de la Justice américain en 2020 ont été accusés d'avoir converti les jetons nord-coréens en RMB ou en cartes-cadeaux Apple pour les encaisser.
● Plateformes financières grises en Asie du Sud-Est, telles que le groupe cambodgien Huione.
● Les régions concernées incluent la Chine, la Russie, l'Argentine, le Cambodge, le Vietnam, les Émirats arabes unis, entre autres.
IV. « Les BTC signalés ne peuvent-ils pas entrer dans les exchanges ? »
C'est la question la plus fréquente. La réponse comporte trois points :
1. Les jetons sales n'ont pas du tout besoin d'entrer dans des exchanges conformes. Ils sont vendus à des acheteurs de l'économie grise, qui utilisent les jetons pour la circulation et le règlement continus et ne les déposeront pas sur Binance ou Coinbase.
2. Le signalement n'est pas une étiquette permanente « noir ou blanc » mais un score de risque. Après plusieurs couches de relais, de mélange et de fusion avec d'autres fonds, le traçage passe de « certain » à « probabiliste ». C'est pourquoi 27,6 % des fonds dans l'affaire Bybit ont « disparu ».
3. Les courtiers couvrent le risque par des frais élevés. Les courtiers savent qu'il s'agit d'argent sale et facturent des frais bien supérieurs aux niveaux normaux. Les portefeuilles, cartes bancaires et sociétés écrans sont remplacés après usage, et le risque de sanctions et de gel est entièrement intégré dans les prix.
Bien sûr, ce parcours a aussi des coûts : frais de mélange, frais de pont inter-chaînes, décotes des courtiers et portions gelées peuvent entraîner des pertes considérables. Mais pour un pays sous sanctions disposant de presque aucune autre source de devises étrangères, récupérer la moitié reste un gain énorme. Le rapport du MSMT estime que la Corée du Nord a volé environ 2,84 milliards de dollars de crypto-actifs entre janvier 2024 et septembre 2025.
V. Qu'est-ce que cela signifie pour le marché ?● La pression vendeuse sur l'ETH est concentrée dans la phase initiale. Le processus de conversion de l'ETH en BTC par les hackers implique de véritables ventes on-chain. Le cas Bybit a pris environ 10 jours et peut servir de référence.
● La pression vendeuse sur le BTC est faible et dispersée. Après la conversion en BTC, l'encaissement se fait principalement par des opérations miroir hors plateforme et peut durer des mois, voire des années, sans passer la plupart du temps par les carnets d'ordres des exchanges, de sorte que l'impact direct sur le prix est très faible.
● Les hackers ne sont pas la cause principale des baisses majeures. Le jour du vol de Bybit, l'ETH a chuté d'environ 8 %, et la baisse majeure qui a suivi provenait principalement de facteurs macroéconomiques tels que les droits de douane et la liquidation par effet de levier.
Qu'est-ce qui différencie cet incident Binance ? L'essentiel des actifs volés était des stablecoins, qui ont déjà été largement gelés ; les ETH directement non gelables s'élèvent à environ 195 000 pièces, d'une valeur d'environ 440 millions de dollars, une échelle plus petite que le cas Bybit. En outre, les hackers utilisent des protocoles tels que Uniswap et Aave pour convertir les stablecoins en ETH, de sorte que leurs avoirs finaux en ETH pourraient augmenter.
Ce qu'il convient de surveiller ensuite : l'évolution du trafic dans les protocoles cross-chain tels que THORChain et Chainflip, qui sont des signaux directs de la vitesse à laquelle les hackers convertissent l'ETH en BTC.
Cet article est à but éducatif uniquement et ne constitue pas un conseil en investissement. L'incident Binance est encore en cours de développement et les données pertinentes peuvent être mises à jour.