L'investigateur blockchain ZachXBT a indiqué mardi que la perte en cryptomonnaies non divulguée subie par une institution d'Europe occidentale non nommée a dépassé 133 millions de dollars, contre les 106 millions de dollars qu'il avait cités la veille. ZachXBT, qui a déjà poussé à des divulgations en rendant publiques des violations impliquant des cryptomonnaies, affirme désormais que l'entité européenne concernée dissimule la faille au lieu de la signaler aux autorités de l'UE.

Une banque européenne dissimule-t-elle un piratage crypto ?

Écrivant sur son canal Telegram mardi en début de journée, ZachXBT a déclaré : « Mon hypothèse de travail est qu'une grande institution financière d'Europe occidentale a été compromise et que cela fait actuellement l'objet d'une dissimulation. »

Selon l'investigateur, l'estimation de la perte s'élève désormais à 133 millions de dollars après 27 millions de dollars supplémentaires en retraits traités via des plateformes centralisées. Les retraits se sont poursuivis même après sa divulgation initiale lundi.

Malgré des signalements répétés de l'incident, la victime n'a pas été nommée, et l'affirmation de dissimulation n'a pas été vérifiée de manière indépendante.

ZachXBT ne soupçonne pas l'implication du groupe Lazarus de Corée du Nord, l'unité impliquée dans nombre des plus grandes violations ayant frappé l'industrie crypto, estimant que le schéma de blanchiment ne ressemble pas aux itinéraires généralement utilisés par ce groupe. Il a également souligné que plus de 30 millions de dollars des fonds présumément volés seraient tombés dans le filet de gel de l'UE si l'incident avait été signalé.

Trois plateformes vidées en une journée

La société d'analyse Bitquery, qui a publié sa propre enquête sur le vol, a retracé 108,8 millions de dollars liés à l'incident on-chain. Les transferts ont commencé dimanche 1er novembre, vidant des comptes chez Kraken, Crypto.com et OKX sur environ 21 heures.

La majeure partie des fonds a été déplacée en USDC vers 15 portefeuilles, dont 11 avaient déjà reçu des paiements de ces mêmes plateformes avant le vol. Ce détail a conduit Bitquery à conclure que l'attaquant détenait les clés de la victime et ses identifiants d'accès aux plateformes, l'hypothèse de travail étant que l'attaquant a compromis les appareils du propriétaire, ou du moins un appareil appartenant à un membre de l'équipe de la victime.

Huit des portefeuilles compromis étaient des comptes intelligents Trust Wallet. Bitquery a insisté sur le fait que l'incident n'indique pas de faille dans l'application Trust Wallet.

Après le vol, les fonds ont été rapidement déplacés d'actifs gelables vers des actifs non gelables. Environ 62,98 millions de dollars en stablecoins ont été échangés contre 27 553 ETH via UniswapX en environ quatre heures, puis dirigés vers le Monero (XMR), une crypto de confidentialité conçue pour masquer les détails des transactions, et via des ponts.

Bitquery a indiqué qu'environ 78,3 millions de dollars se trouvaient toujours sur Ethereum dans des portefeuilles liés à l'attaquant au 2 novembre à 13h47 UTC, tandis que le portefeuille de l'attaquant détient toujours 3,74 millions de dollars en USDC — des fonds que Circle peut encore geler.

Pourquoi une victime bancaire changerait la donne

L'hypothèse de ZachXBT pointe vers une catégorie d'entreprises qui n'ont que récemment entré le marché. Les banques européennes ont consacré l'année 2026 à se lancer dans les cryptomonnaies sous les règles européennes sur les marchés des crypto-actifs, et les prêteurs représentent désormais près de 23 % des prestataires de services de crypto-actifs inscrits au registre MiCA de l'UE en septembre. Deutsche Bank, la plus grande banque d'Allemagne, visait l'approbation MiCA pour la conservation d'actifs numériques. L'autorisation MiCA est ce qui rend cette transition possible : les prestataires de services de crypto-actifs agréés peuvent offrir des services tels que la conservation et l'échange, ce qui explique comment les banques sont passées du statut d'observateurs à celui de gestionnaires directs des actifs numériques de leurs clients.

Le rapport précédent de Cryptopolitan sur le prélèvement de 106 millions de dollars notait le même schéma observé lors des piratages de Binance et Bitget : les attaquants convertissent les stablecoins en Ether et en cryptos de confidentialité avant que Circle ou Tether ne puissent agir.

La question de la divulgation

L'accusation de dissimulation prend tout son poids si la victime est une entité financière. En vertu du règlement européen sur la résilience opérationnelle numérique (DORA), en vigueur depuis le 17 janvier 2025, les entreprises financières, y compris les prestataires de services de crypto-actifs, doivent signaler les incidents ICT majeurs aux autorités de supervision via une première alerte, une mise à jour de suivi et un rapport final, selon le régulateur des marchés français, l'AMF.

Le point de ZachXBT est que ce retard a eu un coût direct : sans divulgation, soutient-il, environ 30 millions de dollars ont échappé aux autorités qui auraient pu les geler. On ne sait pas si une entité couverte par le DORA est impliquée, et aucun régulateur n'a nommé de victime. Pour l'instant, l'histoire repose sur une courte liste de faits en attente : l'identité de l'institution, si un superviseur confirme avoir reçu un rapport d'incident, et si l'USDC encore gelable est gelé ou converti en actifs qu'aucun émetteur ne peut toucher.