Attaque dust sur Kraken : pourquoi 12 000 versements minuscules ont bloqué des comptes clients

Lorsque votre compte est bloqué sans préavis sur une plateforme crypto, cela peut n’avoir aucun rapport avec vous. Entre le 17 et le 24 août 2026, Kraken a reçu près de 12 000 dépôts minuscules provenant de portefeuilles que des sociétés d’analyse attribuent à la plateforme sanctionnée HTX. Les montants allaient le plus souvent de quelques centimes à quelques dollars. Cela a suffi au contrôle automatique des sanctions de la plateforme : les comptes concernés ont été temporairement bloqués jusqu’à la fin des vérifications. Kraken a depuis rétabli l’accès et ne retient plus que les fonds signalés. Ce qu’il faut en retenir figure plus bas en trois étapes, dont la principale : ne touchez pas aux montants minuscules d’origine inconnue.

Attaque dust sur Kraken : ce qui s’est passé entre le 17 et le 24 août

En huit jours, les clients de Kraken ont reçu près de 12 000 virements que personne n’avait demandés. Plusieurs médias spécialisés font état, de manière concordante, de montants compris entre quelques centimes et quelques dollars par transfert. Le service d’analyse de la blockchain Arkham Intelligence attribue le portefeuille émetteur à la plateforme HTX, qui opérait auparavant sous le nom de Huobi.

Kraken a qualifié ces opérations d’attaque et non d’erreur. Un porte-parole de la plateforme a déclaré à Bloomberg que l’on ignorait qui se trouvait derrière ; les expéditeurs comptaient vraisemblablement sur le fait que des fonds sanctionnés présents sur le compte d’un client déclenchent un blocage total du compte et perturbent ainsi le fonctionnement de nombreux utilisateurs à la fois. HTX récuse toute participation et indique examiner si une attribution d’adresse erronée, une défaillance interne ou l’action de tiers est en cause. Les deux versions coexistent ; ce qui est établi à ce jour, c’est l’attribution du portefeuille par un service d’analyse, non la question de savoir qui a déclenché les transferts.

Ce qu’est une attaque dust et pourquoi elle bloque les comptes d’autrui

Une attaque dust consiste à envoyer massivement des montants minuscules vers des adresses tierces, afin de polluer leur historique de transactions ou de déclencher les routines de contrôle chez les prestataires destinataires. Le nom vient du mot anglais désignant la poussière : il s’agit de sommes sans valeur en elles-mêmes. Le dommage ne vient pas du montant, mais de son origine.

À l’origine, la méthode servait à lever l’anonymat. Celui qui envoie de la poussière à des milliers d’adresses et observe lesquels de ces montants sont ensuite dépensés avec d’autres avoirs peut regrouper des adresses et en tirer des conclusions sur des utilisateurs précis. Le cas Kraken illustre un second usage : si l’expéditeur figure sur une liste de sanctions, le destinataire devient un dossier pour le service conformité sans avoir rien fait lui-même.

Pour vous, investisseur, la différence compte. Lors d’un piratage, vous perdez des avoirs. Lors d’une attaque dust, vous perdez d’abord seulement l’accès, et ce parce que votre prestataire remplit une obligation légale.

Contrôle des sanctions chez la plateforme : pourquoi le blocage est automatique

Une plateforme agréée dans l’Union européenne confronte en continu les paiements entrants aux listes de sanctions. Dès qu’une correspondance apparaît, le contrôle s’applique immédiatement et sans décision humaine préalable. Ce n’est pas une question de bonne volonté, mais le cœur du dispositif de lutte contre le blanchiment. C’est précisément cet automatisme que vise une attaque dust.

Concrètement, cela signifie que le compte est restreint pendant la vérification. Sa durée dépend du cas d’espèce. Kraken a rouvert l’accès une fois les contrôles achevés, sans indiquer le nombre de clients concernés ni la durée des blocages. Ce qui se passe juridiquement pendant cette période, et pourquoi votre prestataire n’a souvent pas même le droit de vous en indiquer le motif, nous l’avons exposé dans compte bloqué sur une plateforme crypto.

Celui qui conserve ses avoirs exclusivement chez des prestataires agréés en Europe subit ces contrôles de la même façon, mais dans un cadre où une autorité de surveillance est compétente et où une voie de recours existe. Quels sont ces prestataires, l’aperçu des plateformes crypto réglementées le précise.

HTX sur la liste de sanctions de l’UE : le cadre juridique depuis le 23 août

La date de l’attaque coïncide avec une échéance. Par le règlement (UE) 2026/1848, le Conseil de l’Union européenne a inscrit la mention « HTX (HUOBI GLOBAL SA) » à l’annexe XLV du règlement de sanctions visant la Russie. L’annexe fixe au 23 août 2026 la date d’application. À compter de cette date, les transactions avec la plateforme sont interdites aux personnes et aux entreprises de l’Union.

Le Royaume-Uni a agi plus tôt. Huobi Global S.A. y a été désignée dès le 26 mai 2026 au titre des Russia (Sanctions) (EU Exit) Regulations 2019, selon des informations concordantes la première désignation nominative d’une plateforme crypto par le gouvernement britannique. Ces deux actes juridiques expliquent qu’un versement de quelques centimes puisse déclencher un blocage.

Nous avons déjà traité l’interdiction elle-même et les plateformes concernées : HTX sur la liste de sanctions de l’UE et le blocage de quatorze plateformes à compter du 23 août. Le présent article traite de la conséquence qui n’était pas encore prévisible alors : le fait que des fonds sanctionnés atterrissent chez les clients de plateformes tout autres.

4,2 millions de dollars gelés : ce qu’il advient des fonds signalés

Selon plusieurs médias spécialisés, Kraken retient toujours quelque 4,2 millions de dollars issus de l’épisode, alors même que les comptes ont été rouverts. La plateforme n’a pas confirmé publiquement ce montant, et au moins une des rédactions qui le rapportent le signale expressément comme non vérifié de manière indépendante. Traitez donc ce chiffre comme un ordre de grandeur et non comme un poste comptable vérifié.

La séparation est le point vraiment important : l’accès au compte et les fonds signalés sont traités séparément. Le reste des avoirs demeure négociable, la part marquée non. Pour vous, cela signifie qu’en cas de problème un blocage ne touche pas automatiquement l’ensemble de votre patrimoine, mais aussi que la part marquée peut rester immobilisée pour une durée indéterminée tant que la situation juridique n’est pas tranchée.

De la poussière dans votre portefeuille : pourquoi ne pas bouger ces montants

Si un montant minuscule inexplicable apparaît dans votre propre portefeuille, une règle simple s’applique : laissez-le où il est. La poussière ne cause aucun dommage tant qu’elle reste intacte. Elle devient dangereuse au moment où vous la dépensez avec le reste de vos avoirs, car la blockchain relie alors durablement l’origine de cette poussière à vos autres fonds.

Pour le bitcoin, cela tient à l’architecture du réseau. Chaque paiement en bitcoin se compose de fragments d’avoirs distincts et clairement délimités, les UTXO. Un UTXO est une entrée de paiement unique, non encore dépensée, que votre portefeuille gère comme un bloc autonome. Si vous emportez par inadvertance l’UTXO de poussière lors d’un paiement, son historique passe dans la nouvelle transaction.

Deux choses sont à éviter dans cette situation. Ne cliquez sur aucun lien apparaissant avec un jeton inattendu dans votre portefeuille, et ne cherchez pas à « renvoyer » le montant. Ces deux réflexes sont un schéma fréquent qui transforme une pollution anodine en perte réelle.

Coin control et sélection des UTXO : comment isoler les montants pollués

Un bon logiciel de portefeuille vous laisse choisir quels fragments d’avoirs un paiement peut utiliser. Cette fonction s’appelle le coin control. Le coin control est la sélection manuelle des entrées à partir desquelles une transaction est constituée. Il vous permet d’écarter durablement un montant marqué du reste de vos avoirs sans avoir à le supprimer. La suppression est de toute façon impossible, car ce qui figure sur la blockchain y reste.

En pratique : marquez l’entrée de poussière comme non dépensable dans votre portefeuille et laissez-la en place. Sur un compte ouvert chez une plateforme, vous n’avez pas cette possibilité, car la plateforme gère les clés et opère elle-même la sélection. C’est l’une des raisons pour lesquelles les avoirs importants relèvent de l’autoconservation ; les appareils envisageables figurent dans le comparatif des portefeuilles matériels.

L’ordre des choses compte ici : l’autoconservation ne vous protège pas de recevoir de la poussière. Toute adresse publique peut recevoir quelque chose à tout moment ; ce n’est pas une faille, c’est le fonctionnement même du système. L’autoconservation vous donne seulement la maîtrise de ce qu’il advient de ce que vous avez reçu.

Compte bloqué : quels justificatifs raccourcissent la vérification

Si votre compte est effectivement restreint, la qualité de vos justificatifs détermine la durée de cet état. Il est utile de disposer d’une preuve de l’origine des fonds pour les avoirs concernés : justificatifs d’achat de la plateforme, relevés bancaires du virement et, pour les transferts depuis votre propre portefeuille, les identifiants de transaction.

Pour l’entrée non sollicitée elle-même, une chose aide avant tout : l’identifiant de la transaction en cause, accompagné de la mention que vous ne l’avez ni demandée ni déplacée ensuite. Celui qui a déjà déplacé la poussière devrait le déclarer ouvertement : l’examinateur voit la chaîne de toute façon, et une omission coûte plus de temps qu’elle n’en fait gagner.

Fixez-vous une attente réaliste. Un contrôle de sanctions n’est pas une démarche de service client que l’insistance accélère. La vérification prend fin lorsque l’appréciation est arrêtée.

Avoirs sur une plateforme sanctionnée : la voie d’autorisation de l’article 5ad

Un cas particulier concerne tous ceux qui détiennent encore des avoirs chez HTX ou sur une autre plateforme listée. Le règlement prévoit à cet égard une exception étroitement encadrée. Selon le paragraphe 4 nouvellement ajouté à l’article 5ad, les autorités compétentes d’un État membre peuvent autoriser les transactions strictement nécessaires au retrait de fonds ou à la clôture de comptes.

Le texte assortit cette autorisation de conditions, qu’il vaut mieux connaître avant de faire des plans :

• Sont éligibles les ressortissants d’un État membre, d’un État de l’EEE ou de la Suisse, ainsi que les personnes physiques titulaires d’un titre de séjour temporaire ou permanent dans ces pays.
• La transaction doit être nécessaire pour mettre fin à la relation contractuelle avec l’entité listée.
• La demande doit être déposée au plus tard trois mois après la date d’application indiquée à l’annexe. Pour HTX, cette date d’application est le 23 août 2026.
• Les fonds doivent être virés vers un établissement financier ou de crédit constitué ou enregistré selon le droit d’un État membre.

Chaque autorisation est délivrée pour trois mois au maximum. L’autorité compétente est celle de votre État membre, non la plateforme, et la décision relève de son appréciation ; la loi ne vous ouvre aucun droit à un résultat déterminé.

Réglementée ou non : ce que le choix de la plateforme change à ce risque

Le cas se prête aisément à une lecture erronée. Kraken a fait ici ce que le droit des sanctions exige. Une plateforme qui ne contrôle même pas les fonds entrants issus de portefeuilles listés est pour vous l’endroit le plus dangereux. Là, le problème grossit en silence jusqu’à ce qu’une autorité de surveillance s’en saisisse.

Ce que vous pouvez piloter, c’est la répartition. Un compte sur lequel repose tout votre patrimoine transforme chaque vérification en immobilisation totale. Deux prestataires et un stockage personnel n’en font qu’un désagrément.

Notre propre analyse : le texte du règlement vérifié dans son intégralité

Pour cet article, nous avons lu nous-mêmes l’acte juridique de référence plutôt que de le reprendre de seconde main. Cette analyse a été réalisée par cryptoticker.io le 27 août 2026.

Méthode : la version allemande au Journal officiel du règlement (UE) 2026/1848 a été consultée le même jour sur EUR-Lex dans son texte HTML intégral, dépouillée de son balisage, puis parcourue à la recherche des mentions relatives à HTX et des modifications de l’article 5ad. Deux passages exactement de l’acte ont été vérifiés, chacun intégralement : la mention à l’annexe XLV et le paragraphe 4 nouvellement ajouté à l’article 5ad.

Résultat : l’annexe porte « HTX (HUOBI GLOBAL SA) » avec une date d’application au 23 août 2026. Le paragraphe 4 de l’article 5ad reprend littéralement les quatre conditions citées plus haut, ainsi que la durée maximale de trois mois par autorisation et l’obligation pour l’État membre d’informer les autres États membres et la Commission dans un délai de deux semaines.

Ce que nous n’avons pas pu vérifier fait aussi partie du tableau : d’abord, la manière dont une autorité nationale donnée traite effectivement une telle demande, car la disposition lui reconnaît expressément une marge d’appréciation. Ensuite, la désignation britannique, que nous n’avons pu établir que par voie de presse ; le texte officiel intégral ne nous était pas accessible. Enfin, l’ensemble des indications relatives au déroulement de l’attaque, soit le nombre de transferts, la période et le montant retenu, qui proviennent de la presse et que nous n’avons pas recomptés.

Ce qu’il faudra observer dans les prochaines semaines

Deux évolutions détermineront si cet épisode reste isolé. La première tient à la question de l’origine : tant que l’on ignore qui a déclenché les transferts, on ignore aussi si le schéma se reproduira. La seconde concerne les autres prestataires européens. Kraken est la plateforme où l’épisode a été rendu public ; cela ne dit rien de ce que d’autres plateformes ont pu recevoir de la même source.

Pour vous, il n’en découle rien de dramatique, mais quelque chose de concret : vérifiez dans les prochains jours la liste des entrées de vos comptes et de vos portefeuilles à la recherche de montants que vous ne pouvez pas rattacher, et laissez-les intacts.

Attaque dust et blocage de compte : ce qu’il faut en retenir

1. Ne déplacez pas les montants minuscules d’origine inconnue. Passez en revue les entrées de vos portefeuilles et de vos comptes, marquez les flux inexplicables et ne les dépensez pas avec le reste de vos avoirs. Là où vous voulez opérer la sélection vous-même, il vous faut vos propres clés ; les appareils correspondants figurent dans le comparatif des portefeuilles matériels.
2. Vérifiez où sont vos avoirs et qui en répond. Une plateforme agréée en Europe bloque tout autant, mais elle le fait dans un cadre doté d’une surveillance et d’une voie de recours. L’aperçu des agréments et des sièges des prestataires se trouve du côté des plateformes crypto réglementées.
3. Répartissez vos avoirs au lieu de tout placer sur un seul compte. Celui qui utilise deux prestataires n’est pas paralysé pendant une vérification en cours. Quelles plateformes s’y prêtent et ce qu’elles coûtent, le comparatif des meilleures plateformes crypto le montre.

Vous pouvez consulter vous-même les deux sources de cet article : le texte du règlement (UE) 2026/1848 sur EUR-Lex et le compte rendu de l’épisode sur crypto.news.

(Au 27 août 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)