Vol présumé de cryptos dans l’UE : Kraken et Crypto.com gèlent des fonds après une fuite de 133 millions de dollars

Plus de 133 millions de dollars en cryptomonnaies auraient été détournés d’une entité de l’Union européenne dont le nom n’a pas été divulgué. C’est ce qu’affirme l’enquêteur blockchain ZachXBT, et les plateformes Kraken et Crypto.com ont depuis restreint des comptes et bloqué des fonds liés à l’incident. L’identité de la victime reste inconnue. À ce stade, ni une autorité ni une entreprise n’a confirmé qu’une attaque ait même eu lieu. Selon les plateformes citées, leurs clients ne courent aucun risque. Cet article fait la part entre ce qui est établi et ce qui relève de l’hypothèse, et explique comment protéger votre propre compte contre les attaques qui suivent habituellement ce type d’affaire.

Vol de cryptos dans l’UE : ZachXBT suit la trace de 133 millions de dollars

ZachXBT est un enquêteur on-chain sous pseudonyme qui retrace publiquement, depuis des années, les flux d’argent consécutifs aux piratages et aux escroqueries. L’analyse on-chain consiste à lire les transactions publiquement consultables d’une blockchain et à relier adresses, montants et horodatages pour reconstituer un tableau. Le lundi 2 novembre 2026, il a signalé des sorties suspectes d’environ 106 millions de dollars, selon Cointelegraph. La source serait une entité de l’Union européenne, qu’il ne nomme pas.

Mardi, il a complété son signalement. Il a repéré d’autres retraits depuis des plateformes centralisées pour environ 27 millions de dollars, dont une partie n’est sortie qu’après sa première alerte. Le préjudice présumé atteint ainsi quelque 133 millions de dollars. Le public ne connaît pas le nom de la victime : ZachXBT ne le divulgue pas, et les plateformes concernées restent elles aussi muettes sur ce point.

De 106 à 133 millions de dollars : comment le montant a augmenté

ZachXBT avance le montant total et suit les portefeuilles liés aux fonds. La société d’analyse Bitquery a recalculé les mouvements sur ces adresses :

• 62,98 millions de dollars en stablecoins ont été échangés contre 27 553 ethers en quatre heures environ.
• Lundi après-midi, environ 78,3 millions de dollars se trouvaient encore, selon Bitquery, sur des portefeuilles attribués à l’attaquant présumé.
• Environ 30,5 millions de dollars avaient déjà quitté à ce moment-là les adresses surveillées.

Le montant augmente donc parce que les enquêteurs découvrent d’autres sorties issues de la même source, et non parce que de nouvelles victimes apparaissent. Les données datent du début d’après-midi du mardi 3 novembre 2026. De nouvelles découvertes pourraient encore modifier ce chiffre.

Kraken, Crypto.com et OKX : les plateformes touchées par la piste

Selon Bitquery, les fonds volés ont été retirés via des comptes chez Kraken, Crypto.com et OKX. Les trois plateformes servent aussi une clientèle en Allemagne, si bien que la question d’une éventuelle exposition des particuliers s’est rapidement posée. Les déclarations des plateformes, telles que les rapporte Cointelegraph, plaident en sens contraire :

• Kraken a restreint des comptes liés au vol et coopère avec les autorités répressives en vue de récupérer les fonds. L’incident n’aurait pas pris naissance sur la plateforme Kraken, ses systèmes de sécurité n’auraient pas été compromis, aucun compte client n’aurait été piraté et il n’existerait aucun risque persistant pour les clients.
• Crypto.com indique avoir bloqué des fonds liés à l’incident. La plateforme fonctionnerait pleinement et les avoirs des utilisateurs seraient en sécurité.
• OKX a accusé réception de la demande de la presse et déclaré examiner l’affaire.

Concrètement, les blocages de comptes chez Kraken visent des comptes liés à l’auteur présumé ou au circuit des fonds. Un compte client ordinaire n’est pas restreint pour autant. Nous avions décrit le fonctionnement technique de ces blocages à propos de l’attaque par dust contre Kraken en août.

Stablecoins gelés : pourquoi Circle et Tether n’ont pu bloquer que 4,84 millions de dollars

Les stablecoins sont des jetons dont la valeur est adossée à une monnaie officielle, le plus souvent le dollar américain. Les grands émetteurs Circle (USDC) et Tether (USDT) peuvent bloquer certaines adresses et y geler les jetons. Après un piratage, c’est souvent le levier le plus rapide pour immobiliser le butin. Dans le cas présent, il n’a guère fonctionné : selon Cointelegraph, Circle n’a pu geler qu’environ 3,74 millions de dollars en USDC, tandis que Tether avait bloqué 1,1 million de dollars en USDT. Au total, cela représente environ 4,84 millions de dollars, soit moins de 4 % du montant présumé.

La raison tient à la vitesse. Échanger des stablecoins contre de l’ether en quelques heures les soustrait à l’emprise de l’émetteur. L’ether lui-même ne peut être gelé de manière centralisée par personne. Les attaquants exploitent régulièrement cette faille, ce qui montre pourquoi plateformes et émetteurs dépendent de signalements rapides après un incident.

Blanchiment via l’ether et le Monero : le parcours des fonds selon ZachXBT

Après l’échange contre de l’ether, les fonds auraient poursuivi leur route. ZachXBT décrit comment l’auteur présumé est passé en ether et en Monero au moyen de services d’échange instantané et de passerelles entre blockchains. Une passerelle, ou bridge en anglais, est un service qui transfère de la valeur d’une blockchain à une autre. Le Monero est une cryptomonnaie dans laquelle l’expéditeur, le destinataire et le montant d’une transaction sont masqués. Y transférer des fonds rend la piste nettement plus difficile à lire pour les enquêteurs.

Une autre appréciation de l’enquêteur retient l’attention : selon lui, les schémas ne correspondent pas à ceux du groupe nord-coréen Lazarus. L’affaire serait donc isolée et ne constituerait pas un nouvel épisode de la vague d’attaques liée au piratage de Binance du 29 octobre. Qui se cache précisément derrière cette nouvelle affaire reste inconnu. Vous trouverez un panorama des attaques des derniers jours dans notre point de situation piratage crypto : l’actualité.

Soupçon de dissimulation visant une institution non nommée : les preuves manquent

Le volet le plus sensible du signalement relève de la supposition. Selon Cointelegraph, l’hypothèse de travail de ZachXBT est qu’une grande institution financière d’Europe occidentale a été attaquée et que l’incident est actuellement étouffé. Faute d’une divulgation en bonne et due forme, plus de 30 millions de dollars auraient pu être blanchis. Sans cela, les autorités répressives européennes auraient peut-être pu geler les fonds.

Ces propos constituent l’appréciation de l’enquêteur et non un fait établi. Aucune institution n’est nommée, et il n’existe aucune déclaration d’une autorité de l’UE ni d’une victime. ZachXBT n’a pas encore présenté publiquement de preuves solides d’une attaque contre une institution financière ou d’une dissimulation, et l’identité de la victime n’est pas confirmée. On peut donc distinguer clairement : les sorties sur la blockchain sont traçables, les blocages de comptes par les plateformes sont confirmés, tandis que la lecture d’un vol au détriment d’une institution financière et le soupçon de dissimulation restent ouverts.

Obligation de notification au titre de DORA : les institutions financières doivent signaler les incidents informatiques graves

La question de la divulgation a un fondement juridique. Depuis le 17 janvier 2025 s’applique dans l’UE le règlement sur la résilience opérationnelle numérique, dit DORA (règlement (UE) 2022/2554). DORA impose aux banques, aux assureurs, aux entreprises d’investissement et aussi aux prestataires de services sur cryptoactifs agréés au titre de MiCA des normes minimales de sécurité informatique. Parmi elles figure l’obligation de notifier les incidents majeurs liés aux TIC à l’autorité de surveillance compétente, en Allemagne généralement la BaFin.

La limite de cette obligation est importante : la notification va au superviseur, pas au public. Qu’une institution touchée ait signalé son incident ne peut être vérifié de l’extérieur. L’absence d’information publique ne prouve donc ni une dissimulation ni le contraire. Les entreprises financières doivent informer leurs clients surtout lorsque les intérêts financiers de ceux-ci sont touchés.

Se protéger du phishing et du piratage de compte après un incident sur une plateforme

Ce qui s’est passé : entre le 1er et le 3 novembre 2026, plus de 133 millions de dollars auraient quitté les comptes d’une entité non nommée de l’UE, selon ZachXBT et Bitquery, notamment via Kraken, Crypto.com et OKX. Les fonds ont été rapidement échangés contre de l’ether et du Monero ; environ 4,84 millions de dollars ont été gelés à ce jour (au 3 novembre 2026, source Cointelegraph).

Êtes-vous concerné ? Selon Kraken et Crypto.com, aucun compte client n’a été piraté et les plateformes fonctionnent normalement. Si vous détenez un compte ordinaire chez l’une des trois plateformes, vous n’êtes pas concerné en l’état actuel des informations. Le risque pour les particuliers se situe ailleurs : les gros titres attirent des escrocs qui envoient, au nom des plateformes, courriels, SMS ou appels exigeant de prétendus contrôles de sécurité.

1. Canal officiel : n’ouvrez les messages relatifs à cette affaire que dans l’application ou via l’adresse de votre plateforme saisie vous-même, jamais par un lien reçu par courriel ou SMS.
2. Double authentification par application : passez la connexion et les retraits sur une application d’authentification ou une clé de sécurité, car les codes SMS peuvent être interceptés via une carte SIM détournée.
3. Liste blanche de retrait : activez la liste d’adresses de retrait si votre plateforme la propose ; les retraits de cryptos ne partent alors que vers des adresses validées au préalable.
4. Vérifier les clés API : supprimez les clés API créées pour des robots de trading ou des outils fiscaux que vous n’utilisez plus, et retirez aux autres le droit de retrait.
5. Aucun service de récupération : ignorez les offres de récupération payante de cryptos perdues ou bloquées, et ne communiquez jamais votre phrase de récupération ; aucune plateforme ne la demande.

Les bases d’une conservation sûre sont expliquées dans notre guide conserver ses cryptos en sécurité, et le comparatif des portefeuilles matériels passe en revue les appareils adaptés.

Hot wallet et compte sur plateforme : où se trouvent les cryptos lors d’un incident

L’affaire montre une fois de plus avec quelle rapidité des cryptoactifs peuvent être déplacés dès lors que quelqu’un accède à un compte. Sur un compte de plateforme, celle-ci conserve vos jetons dans ses propres portefeuilles. Une partie se trouve dans des hot wallets, connectés à Internet et prêts pour des retraits rapides. Chez les prestataires sérieux, la plus grande part est conservée hors ligne dans des cold wallets. Ce qui compte avant tout pour vous, c’est que votre prestataire soit supervisé et qu’il sépare les fonds de ses clients.

Dans l’UE, ces questions sont régies depuis fin 2024 par le règlement MiCA. Les prestataires de services sur cryptoactifs agréés au titre de MiCA doivent détenir les avoirs de leurs clients séparément des leurs et sont soumis à une surveillance. Notre comparatif des plateformes crypto réglementées indique lesquelles disposent de cet agrément. Si vous conservez vos jetons sur la durée sans les négocier, mieux vaut les placer sur votre propre portefeuille, dont vous seul contrôlez les clés. Avec un portefeuille matériel, la clé privée reste sur un appareil qui n’est jamais directement connecté à Internet.

Fonds des clients chez Kraken et Crypto.com : les plateformes annoncent un fonctionnement normal

En l’état actuel, l’incident change peu de choses au quotidien des investisseurs allemands. Kraken et Crypto.com font état d’un fonctionnement normal, dépôts et retraits sont assurés. Les comptes bloqués relèvent de l’enquête et ne traduisent pas une panne. La situation était différente pour la plateforme brésilienne Mercado Bitcoin, qui a suspendu tous les retraits le 2 novembre après une attaque ; les détails figurent dans notre article Mercado Bitcoin suspend les retraits.

Trois points restent en suspens et devraient s’éclaircir dans les prochains jours : l’identité de la victime, la confirmation éventuelle de l’affaire par un superviseur et le gel éventuel d’autres fonds. Tant qu’aucune déclaration d’une victime ou d’une autorité n’est disponible, la thèse d’un vol au détriment d’une institution financière d’Europe occidentale reste une hypothèse.

Vol de cryptos dans l’UE : seuls 4,84 millions sur 133 millions de dollars sont gelés

D’après tout ce que l’on sait, le vol présumé ne touche pas directement les particuliers. Il constitue néanmoins une occasion de vérifier votre propre organisation, car les attaques de phishing qui suivent visent précisément ces derniers. Trois étapes y contribuent :

1. Vérifiez que votre plateforme dispose d’un agrément MiCA et conserve les fonds des clients de manière séparée. Le comparatif des plateformes crypto réglementées en donne un aperçu.
2. Placez les avoirs que vous ne négociez pas activement sur votre propre portefeuille matériel. Le comparatif des portefeuilles matériels présente les appareils adaptés.
3. Utilisez pour la DeFi et les essais un portefeuille applicatif distinct, doté d’un petit montant. Vous trouverez des applications adaptées dans le comparatif des wallets logiciels.

(Au 3 novembre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)