Imaginez découvrir, un dimanche matin, que plus de cent millions de dollars ont disparu d’un ensemble de comptes sur plusieurs plateformes d’échange, sans qu’aucune alerte officielle ne soit levée. C’est exactement ce que l’enquêteur blockchain ZachXBT a mis en lumière le 2 novembre, avant de révéler le lendemain que le montant suspecté dépassait désormais les 133 millions de dollars. Derrière ces chiffres impressionnants se cache une question plus troublante encore : une institution financière majeure d’Europe de l’Ouest tenterait-elle de dissimuler l’incident ?
Un montage on-chain qui ne laisse presque aucun doute
Tout commence par une alerte communautaire lancée le 2 novembre. ZachXBT signale alors qu’une entité européenne non identifiée a apparemment perdu plus de 106 millions de dollars en une seule journée, le 1er novembre. Les fonds ont été retirés de plusieurs comptes ouverts auprès d’échanges centralisés. L’enquêteur publie immédiatement une cartographie de transactions montrant comment les actifs ont circulé entre portefeuilles, plateformes et services tiers.
Le 3 novembre, une mise à jour vient alourdir le bilan. Quatre nouvelles adresses sont rattachées à l’opération, portant le total des portefeuilles publiquement identifiés à quinze. Ces retraits supplémentaires totalisent environ 27 millions de dollars. Certains d’entre eux ont même eu lieu après la première divulgation publique. Le montant global franchit alors la barre des 133 millions.
ZachXBT ne se contente pas d’additionner des chiffres. Il pointe du doigt l’absence totale de communication de la part de l’organisation concernée. Selon lui, plus de 30 millions de dollars ont déjà été blanchis et auraient pu être gelés par les autorités européennes si l’incident avait été signalé rapidement. Cette accusation de dissimulation transforme une simple affaire de vol en potentiel scandale institutionnel.
Les premiers mouvements : stablecoins et swaps rapides
Les fonds ont d’abord quitté les échanges sous forme de deux stablecoins indexés sur le dollar : USDC et USDT. Cette étape est classique. Elle permet de sortir rapidement de l’environnement réglementé des plateformes centralisées tout en conservant une valeur stable. Dans les 24 heures qui ont suivi, une grande partie de ces stablecoins a été échangée contre de l’Ethereum.
Une fois convertis en ETH, les actifs ont emprunté plusieurs chemins parallèles. Une portion a rejoint des services d’échange instantané tels que WellWallet et Kyrrex. Ces plateformes, souvent peu regardantes sur les procédures de connaissance client, facilitent le transfert rapide d’un actif à un autre sans laisser de traces aussi nettes que les grands échanges centralisés.
Un autre parcours a conduit vers Wagyu, un service permettant de convertir les fonds en Monero. La monnaie de confidentialité Monero (XMR) est réputée pour rendre le traçage extrêmement difficile. En mélangeant les transactions et en occultant les montants et les adresses, elle constitue un outil de choix pour les acteurs cherchant à effacer les liens on-chain.
Des opérations de bridging entre différentes blockchains ont également été observées. En faisant passer les actifs d’un réseau à un autre, l’attaquant multiplie les couches de complexité et complique le travail des enquêteurs. Cette stratégie de dispersion est aujourd’hui l’une des plus utilisées dans les affaires de vol de cryptomonnaies de grande envergure.
Pourquoi ZachXBT écarte le groupe Lazarus
L’une des premières questions qui vient à l’esprit dans ce type d’affaire est l’implication éventuelle de groupes étatiques, notamment le célèbre Lazarus Group lié à la Corée du Nord. ZachXBT se montre pourtant très confiant : selon lui, l’attaquant n’appartient pas à cette organisation.
Plusieurs indicateurs tirés des transactions de blanchiment divergent des schémas habituellement associés à Lazarus. L’enquêteur a également relevé que l’auteur des retraits semble francophone et présente certaines connexions on-chain avec des utilisateurs de forums cybercriminels. Ces éléments orientent plutôt vers un acteur indépendant ou un groupe plus localisé, même si l’identité précise reste pour l’instant inconnue.
Cette distinction est importante. Attribuer trop rapidement un vol à un groupe connu peut orienter les investigations dans une mauvaise direction et retarder la mise en place de mesures de gel efficaces. En écartant Lazarus, ZachXBT force la communauté et les autorités à considérer d’autres pistes, potentiellement plus proches géographiquement de l’entité victime.
Le précédent des gels de Tether et les méthodes récurrentes
Ce n’est pas la première fois que des fonds volés transitent par Monero et des échanges instantanés. En juin, une enquête similaire avait permis de retracer environ 120,2 millions de dollars. Tether avait alors gelé 72 millions d’USDT après que les flux avaient été suivis à travers Tron, KuCoin, des services d’échange rapide et des portefeuilles liés à NEAR Intents.
Ces précédents montrent que les techniques évoluent peu. Les attaquants privilégient toujours les mêmes étapes : sortie rapide en stablecoins, conversion vers des actifs plus liquides ou plus privés, utilisation de services peu régulés, puis dispersion sur plusieurs chaînes. La différence se situe souvent dans la vitesse de réaction des enquêteurs et des émetteurs de stablecoins.
Dans le cas présent, ZachXBT insiste sur le fait que plus de 30 millions de dollars auraient encore pu être gelés si l’institution européenne avait immédiatement alerté les autorités et les partenaires concernés. Chaque heure de silence augmente la probabilité que les fonds disparaissent définitivement dans le labyrinthe des monnaies de confidentialité et des mixeurs.
Une institution financière européenne sous le radar
Le point le plus sensible de l’affaire reste l’identité de la victime. ZachXBT soupçonne qu’une grande institution financière d’Europe de l’Ouest a été compromise. Aucun nom n’a encore filtré, ce qui alimente les spéculations. S’agit-il d’une banque traditionnelle ayant développé une offre crypto ? D’un courtier réglementé ? D’un gestionnaire d’actifs numériques ?
L’absence de communication officielle est elle-même un élément d’analyse. Dans le secteur financier européen, les obligations de déclaration d’incidents de sécurité sont strictes. Taire un vol de cette ampleur pourrait constituer une violation réglementaire, en plus d’un manquement éthique envers les clients et les partenaires. L’accusation de cover-up formulée par ZachXBT n’est donc pas anodine.
Elle place l’entité concernée face à un dilemme classique : communiquer et assumer un préjudice d’image immédiat, ou rester silencieuse et risquer une révélation encore plus dommageable lorsque les preuves on-chain deviennent irréfutables. Dans un univers où la transparence est une valeur cardinale pour de nombreux acteurs crypto, le silence est souvent interprété comme un aveu.
Les outils utilisés et la sophistication relative de l’attaque
Contrairement à certaines opérations spectaculaires menées par des groupes étatiques, celle-ci semble reposer davantage sur l’exploitation d’accès légitimes que sur une faille technique inédite. Les retraits ont eu lieu depuis des comptes d’échanges centralisés, ce qui suggère soit un vol de clés d’API, soit une compromission d’identifiants, soit une complicité interne.
Une fois les fonds sortis, la sophistication apparaît surtout dans la rapidité et la diversification des chemins de blanchiment. L’utilisation combinée d’échanges instantanés, de bridging inter-chaînes et de conversion en Monero montre une connaissance approfondie des outils disponibles sur le marché. Ce n’est pas l’attaque la plus complexe jamais observée, mais elle est clairement préparée.
ZachXBT a d’ailleurs noté que certaines transactions ont continué après sa première publication. Cela indique soit une absence de surveillance en temps réel de la part de l’entité victime, soit une volonté délibérée de maximiser les retraits avant que les adresses ne soient largement signalées. Dans les deux cas, la réactivité des équipes de sécurité apparaît insuffisante.
Ce que révèle cette affaire sur la sécurité des institutions
Les institutions financières européennes qui s’ouvrent aux cryptomonnaies se trouvent aujourd’hui à un carrefour. Elles doivent conjuguer les exigences réglementaires traditionnelles avec les spécificités d’un actif qui se déplace en quelques secondes d’un continent à l’autre. Un vol de 133 millions de dollars n’est pas seulement une perte financière : c’est un test grandeur nature de leurs procédures de détection et de réponse.
Les échanges centralisés eux-mêmes ne sont pas exempts de responsabilité. Même si les retraits ont été autorisés selon les procédures internes, la concentration de montants aussi importants sur un nombre limité de comptes devrait normalement déclencher des alertes automatiques. La question se pose de savoir si ces systèmes ont fonctionné ou s’ils ont été contournés.
Du côté des autorités, l’affaire souligne une nouvelle fois l’importance de la collaboration internationale. Les fonds transitent par des services situés dans différentes juridictions. Sans coordination rapide entre les régulateurs européens, les plateformes d’échange et les émetteurs de stablecoins, les chances de récupération diminuent drastiquement.
Les leçons pour les investisseurs et les entreprises
Pour les investisseurs particuliers, cette histoire rappelle une vérité simple : même les structures apparemment solides peuvent être victimes de vols importants. Diversifier les dépositaires, utiliser des solutions de stockage à froid pour les montants significatifs et surveiller régulièrement les mouvements de fonds restent des réflexes essentiels.
Pour les entreprises et les institutions, l’affaire met en lumière la nécessité de procédures de communication de crise adaptées au monde crypto. Attendre plusieurs jours avant de signaler un incident de cette ampleur expose non seulement l’organisation à des critiques, mais réduit aussi les chances de récupérer les actifs. La transparence, même douloureuse, est souvent la meilleure stratégie à long terme.
Enfin, pour la communauté des enquêteurs indépendants, le travail de ZachXBT montre une fois de plus la valeur de l’analyse on-chain ouverte. En publiant rapidement les adresses et les flux, il permet à d’autres acteurs de contribuer au suivi et d’alerter les plateformes concernées. Cette forme de vigilance collective devient un contre-pouvoir face aux silences institutionnels.
Un schéma qui se répète : Monero, échanges instantanés et dispersion
En octobre, une autre enquête avait déjà mis en évidence le rôle de services liés à Monero dans le blanchiment de fonds issus d’exploits et de ransomware. Plus de 87 % des flux entrants sur certaines plateformes étaient associés à des activités illicites. Les montants identifiés dépassaient les 20 millions de dollars et concernaient des incidents touchant DCENT Wallet, Fetch.ai, Axelar ou encore la plateforme de jeux Gamdom.
Ces récurrences ne sont pas anodines. Elles indiquent que les chemins de blanchiment privilégiés restent relativement stables. Les attaquants savent où trouver des services qui acceptent encore des volumes importants sans questions trop pressantes. Tant que ces points de passage existent, les vols de grande ampleur continueront de trouver des débouchés.
La solution ne réside pas uniquement dans la traçabilité technique. Elle passe aussi par une pression réglementaire accrue sur les services d’échange instantané et les convertisseurs vers monnaies de confidentialité. Sans cadre clair, le chat et la souris entre enquêteurs et blanchisseurs se poursuivra indéfiniment.
Que peut-on attendre des prochains jours ?
Plusieurs scénarios sont possibles. L’entité européenne concernée pourrait finalement sortir du silence et publier un communiqué, même minimaliste. Les autorités de régulation pourraient ouvrir une enquête formelle. Les émetteurs de stablecoins pourraient geler de nouvelles adresses identifiées par ZachXBT ou par d’autres analystes.
Il est également possible que l’affaire reste dans l’ombre pendant un certain temps. Les institutions financières n’aiment pas afficher leurs faiblesses, et un vol de cette taille peut entraîner des conséquences réglementaires et commerciales importantes. Le silence prolongé renforcerait toutefois les soupçons de cover-up formulés par l’enquêteur.
Dans tous les cas, les adresses publiques sont désormais connues. La communauté on-chain continuera de surveiller les mouvements. Chaque nouvelle transaction sera analysée, chaque conversion en Monero scrutée. L’attaquant sait qu’il est observé. La question est de savoir s’il a déjà réussi à placer l’essentiel des fonds hors de portée.
Une affaire qui dépasse les seuls chiffres
Au-delà des 133 millions de dollars, cette histoire interroge la maturité du secteur. Les cryptomonnaies ont gagné en adoption institutionnelle. Des banques, des gestionnaires d’actifs et des fintechs européennes proposent désormais des services liés aux actifs numériques. Avec cette adoption vient une responsabilité accrue en matière de sécurité et de transparence.
Lorsqu’un incident de cette ampleur survient et que la communication se fait attendre, c’est toute la confiance dans ces acteurs qui est mise à l’épreuve. Les clients, les partenaires et les régulateurs attendent des réponses claires. L’absence de celles-ci crée un vide que les spéculations et les analyses on-chain viennent rapidement remplir.
ZachXBT, en publiant ses découvertes, joue un rôle de révélateur. Il force le débat. Il place les institutions face à leurs responsabilités. Et il rappelle que, dans un univers où chaque transaction laisse une trace, le silence n’est jamais total. Tôt ou tard, les flux parlent.
L’affaire n’est pas terminée. De nouvelles adresses pourraient encore apparaître. Le montant final pourrait évoluer. L’identité de l’entité compromise pourrait finalement être révélée. En attendant, le message est clair : un vol de plus de 133 millions de dollars a eu lieu, une partie des fonds a déjà été blanchie, et quelqu’un, quelque part en Europe de l’Ouest, préfère pour l’instant ne rien dire.
Cette discrétion forcée ou choisie ne protège personne. Elle ne protège pas les clients dont les actifs ont peut-être été impactés. Elle ne protège pas l’institution elle-même, dont la réputation souffre déjà des soupçons. Et elle ne protège certainement pas la confiance globale dans un secteur qui a encore beaucoup à prouver en matière de robustesse opérationnelle.
Les prochains développements seront suivis de près. Chaque nouveau post de ZachXBT, chaque mouvement suspect sur les adresses identifiées, chaque éventuelle déclaration officielle sera analysé. Dans l’univers crypto, l’information circule vite. Les vérités aussi, même lorsqu’elles dérangent.
En définitive, cette affaire illustre parfaitement les forces et les faiblesses du monde des actifs numériques. La transparence on-chain permet de reconstituer des parcours complexes en quelques heures. Mais cette même transparence ne suffit pas toujours à forcer les acteurs traditionnels à communiquer. Entre les deux, un espace d’incertitude demeure, et c’est précisément dans cet espace que les 133 millions de dollars se jouent encore aujourd’hui.
