Vol de 133 M$ en crypto à une institution de l'UE non identifiée

Le 1er novembre 2026, une institution non identifiée de l'Union européenne s'est vu siphonner environ 133 millions de dollars en stablecoins depuis ses comptes d'échange en un seul week-end. L'enquêteur ZachXBT a signalé le vol publiquement pour la première fois le 2 novembre ; l'identité de la victime — et celle de l'attaquant — est restée inconnue tandis que les fonds volés étaient rapidement convertis et transférés hors d'atteinte.

Ce qui s'est passé

À partir du dimanche 1er novembre, des adresses contrôlées par l'attaquant ont retiré des USDC et USDT de comptes que la victime détenait sur plusieurs plateformes d'échange centralisées. ZachXBT a d'abord recensé plus de 106 millions de dollars répartis sur onze adresses de portefeuille, puis a relevé l'estimation à plus de 133 millions de dollars le 3 novembre, après avoir identifié environ 27 millions de dollars de retraits supplémentaires. La société d'analyse on-chain Bitquery a attribué les sorties à des comptes chez Kraken, Crypto.com et OKX, comptabilisant environ 108,8 millions de dollars rien qu'en USDC sur une fenêtre d'environ 21 heures. Plutôt qu'un exploit de contrat intelligent, le schéma pointait vers une compromission côté détenteur : l'attaquant semblait posséder à la fois les identifiants des plateformes et les clés privées des portefeuilles utilisés par la victime, de sorte que chaque retrait s'exécutait comme une action légitime et authentifiée. La voie de l'accès initial n'a jamais été rendue publique.

Conséquences

L'attaquant a blanchi les fonds rapidement. Environ 62,98 millions de dollars en stablecoins ont été échangés contre quelque 27 553 ETH en quatre heures, en grande partie via UniswapX, certaines portions transitant par des services d'échange instantané et étant transférées vers Monero. Tether a gelé une fraction des USDT volés, tandis que Circle n'avait pas gelé les USDC restants au moment des faits ; Crypto.com et OKX ont déclaré agir sur les comptes liés ou les examiner. ZachXBT a reproché à la victime de ne pas avoir signalé la faille aux autorités, laissant blanchir plus de 30 millions de dollars qui auraient autrement pu être gelés. Il s'est aussi dit très confiant que les schémas de blanchiment ne correspondaient pas au groupe nord-coréen Lazarus.

Pourquoi c'est important

Ce vol rappelle que les pertes crypto les plus dommageables proviennent de moins en moins de bugs de contrats inédits et de plus en plus d'identifiants et de clés compromis côté victime — le même mode de défaillance que le drainage de hot wallets de Mercado Bitcoin quelques jours plus tôt et la faille record de Binance. Il met aussi en lumière un déficit de divulgation : quand une victime garde le silence, le blanchiment se poursuit sans entrave, et la seule comptabilité publique émane d'enquêteurs on-chain indépendants, et non de l'institution qui a perdu l'argent.