• Une entité de l’UE non identifiée a perdu plus de 106 millions de dollars, retirés de plusieurs comptes de plateformes d’échange le 1er novembre.

• Les fonds volés ont été retirés en USDC et en USDT avant le début du blanchiment.

• Les voleurs ont converti les USDC en ETH, puis ont utilisé les services d’échange instantané WellWallet et Kyrrex.

Les stablecoins retirés des comptes d’une plateforme d’échange

Plus de 106 millions de dollars ont quitté, le 1er novembre, les comptes d’une plateforme d’échange centralisée appartenant à une entité non identifiée au sein de l’Union européenne, et la trace de ces fonds sur la blockchain est désormais publique. L’enquêteur on-chain ZachXBT a publié la piste des fonds dans un message d’enquête sur Telegram, le soir du 2 novembre. Il y écrit que les fonds présumés volés ont été retirés de plusieurs comptes de plateformes d’échange centralisées sous forme de stablecoins USDC et USDT. Ni la victime ni aucun tiers n’ont confirmé publiquement le montant ou la méthode, et l’identité de l’entité européenne reste inconnue. La trace révèle une volonté délibérée d’effacer les indices par étapes. Les auteurs ont d’abord converti les USDC en ether, la paire la plus profonde et la plus liquide à laquelle ils pouvaient accéder sur les plateformes de swap. Ils ont ensuite fait transiter l’ether par des services d’échange instantané aux exigences d’identification limitées, notamment WellWallet et Kyrrex, des services conçus pour convertir un actif en un autre en quelques minutes, sans dossier de conformité complet. À l’étape suivante, les fonds ont été convertis en monero (XMR), une blockchain de couche 1 axée sur la confidentialité, où les montants des transferts et les contreparties sont masqués par conception. Enfin, les fonds ont été transférés entre plusieurs blockchains publiques, selon un schéma omnichain qui rompt la chaîne de traçabilité à chaque saut et oblige les enquêteurs à reprendre leurs recherches à zéro. ZachXBT a situé le plus gros des mouvements sur une période d’environ 24 heures et décrit les auteurs comme ayant agi rapidement. Le retrait en stablecoins fixe aussi la valeur du vol au moment du retrait, ce qui permet d’avancer précisément le montant de 106 millions de dollars, même si la victime garde le silence. Le fait que les fonds proviennent de plusieurs comptes plutôt que d’un seul portefeuille laisse penser à une compromission coordonnée d’identifiants plutôt qu’à la fuite d’une seule clé, bien que le vecteur d’attaque ne soit pas encore documenté. Il a également publié plusieurs adresses liées au vol afin que les plateformes d’échange et les observateurs de la communauté puissent comparer les dépôts entrants à leurs propres registres.

La fenêtre de gel après conversion

ZachXBT a ajouté un second jugement : au vu de plusieurs caractéristiques du blanchiment, il est très convaincu que l’auteur du vol présumé n’est pas le groupe Lazarus, le collectif nord-coréen à l’origine d’une longue série de piratages de plateformes d’échange, et la véritable identité du coupable reste inconnue. La partie non résolue de l’affaire est d’ordre opérationnel. Si les fonds ont réellement quitté plusieurs comptes de plateformes d’échange centralisées, la faille se situe au niveau des comptes : les connexions, les clés API, les listes blanches de retrait et les mécanismes d’interception des retraits anormaux n’ont pas été activés avant que les stablecoins puissent être signalés. Cet enchaînement est important, car les deux actifs concernés restent sous le contrôle de leurs émetteurs. L’USDC et l’USDT disposent de mécanismes de gel par leur émetteur, et un émetteur ou une plateforme ne peut intervenir que tant que la valeur reste sous une forme à laquelle ces parties peuvent accéder. Le gel fonctionne au niveau du jeton, ce qui signifie qu’un émetteur peut mettre sur liste noire une adresse détenant l’actif ; ce même pouvoir ne suit pas les fonds lorsqu’ils sont convertis en Ether ou en Monero. Chaque conversion fait perdre cette possibilité : une fois que l’argent est en Ether, une fois qu’il a effectué un échange instantané, une fois qu’il est en Monero, la fenêtre se referme. Pour les plateformes d’échange, cet épisode plaide en faveur d’un partage plus rapide des adresses sur liste noire et d’alertes KYT plus strictes — le contrôle en temps réel qui signale les dépôts provenant d’adresses sur liste noire — entre les plateformes ; pour les institutions détenant d’importants soldes sur des plateformes centralisées, il renforce l’argument en faveur de l’authentification multifacteur, des délais de blocage des retraits et de la répartition de la conservation des actifs entre plusieurs prestataires. La répartition exacte entre les deux stablecoins dans le montant total volé n’a pas été publiée. L’événement survient également alors que l’émetteur de l’USDC est en pleine rénovation : Circle a programmé une pause le 1er décembre pour le CCTP V1, son ancien pont USDC ; l’aperçu par COINOTAG des résultats du troisième trimestre de Circle (CRCL) prévoit un BPA de 0,40 $ parallèlement à la croissance de l’USDC, et une mesure récente sur sept jours indiquait une baisse de 800 millions de la circulation de l’USDC. Les outils de l’émetteur sont en cours de refonte au moment même où des voleurs montrent à quelle vitesse ils peuvent les contourner.

Une perte non confirmée, un auteur non identifié

Les éléments de preuve disponibles ici proviennent de la chaîne elle-même : les adresses ont été publiées, le parcours des fonds documenté, le montant total indiqué, mais l’entité qui aurait perdu l’argent n’a toujours rien confirmé. Selon notre analyse, le point d’entrée était très probablement lié à un compte plutôt qu’à une faille de protocole, et les mesures correctives qui s’ensuivent sont peu spectaculaires : renouvellement des identifiants, vérification des listes blanches et gel préventif déclenché en quelques minutes, car la conversion en Ether et en Monero fait rapidement échapper les fonds à la portée de l’émetteur. Le vol de comptes sur des plateformes centralisées échappe également à la plupart des couvertures d’assurance DeFi, qui concernent les exploits de protocoles on-chain plutôt que les identifiants compromis. Pour l’instant, l’affaire reste ouverte : l’auteur n’a pas été identifié, la piste passe par Monero et emprunte plusieurs ponts, et ni la victime ni le montant de la perte n’ont été confirmés de manière indépendante.