Cabinets d’enquête on-chain : qui traque les hackers en 2026

Quand un protocole perd cent millions d’euros un mardi matin, deux mondes se réveillent en même temps. Le premier est celui des auditeurs qui avaient relu le code: ils rouvrent leur rapport, vérifient le périmètre exact de leur mission et préparent une explication. Le second est beaucoup plus discret, et pourtant c’est lui qui fait la une dans l’heure qui suit: les cabinets d’enquête on-chain. Chainalysis, TRM Labs, Elliptic, mais aussi des enquêteurs indépendants comme ZachXBT ou des plateformes ouvertes comme Arkham se mettent à suivre l’argent bloc par bloc, à étiqueter les adresses et à nommer le coupable pendant que les fonds sont encore en mouvement.

C’est le paradoxe de la sécurité crypto en 2026. L’attribution n’a jamais été aussi rapide: lors du vol de 1,5 milliard de dollars (environ 1,3 milliard d’euros) subi par Bybit en février 2025, l’analyste ZachXBT avait transmis à Arkham des preuves reliant le groupe nord-coréen Lazarus au casse en quelques heures, bien avant la confirmation du FBI, selon The Block. Et pourtant, la récupération, elle, s’est effondrée. Sur les 224 incidents recensés au premier semestre 2026, seuls 16 ont donné lieu à une restitution, soit 7,1 %, pour à peine 10,86 % de la valeur volée, d’après le cabinet Global Ledger. Pendant que le taux de retour s’écroule, l’industrie de la traque, elle, prospère: TRM Labs est devenue une licorne en février et Elliptic a levé 120 millions de dollars à une valorisation de 670 millions.

Cet article passe en revue ces cabinets, comme HOGE Wire a déjà passé en revue les auditeurs de smart contracts. La différence tient en une phrase, qui sert de fil rouge à tout ce qui suit: tracer n’est pas récupérer.

Quand l’audit échoue, la traque commence

Un audit de smart contract est une promesse de prévention: il examine le code avant le déploiement et rend un rapport, pas un remboursement. L’enquête on-chain est l’exact miroir: elle intervient après, quand le vol a eu lieu, et son produit n’est pas une garantie mais une carte, celle du chemin emprunté par les fonds. Ces deux métiers répondent à la même question (qui protège la DeFi ?) à deux moments opposés du cycle de vie d’un exploit.

Or la forme des pertes en 2026 explique pourquoi le second métier a pris tant d’importance. Selon les données de Global Ledger, les exploits de contrats représentent 150 des 224 incidents du premier semestre (67 %), mais une perte moyenne de 3,52 millions de dollars par cas. Les compromissions de clés privées, elles, ne comptent que 29 incidents, pour une moyenne de 15,52 millions de dollars, la plus élevée de toutes les catégories. Autrement dit, l’audit couvre le vecteur le plus fréquent, rarement le plus coûteux. Le fondateur de CertiK, Ronghui Gu, résume la bascule sans détour dans Forbes: selon lui, les attaquants obtiennent aujourd’hui un meilleur rendement en s’en prenant à la gestion des clés, à la gouvernance des multisig et à l’infrastructure opérationnelle qu’en cherchant des bugs dans le code.

Quand le vol passe par les clés et les humains plutôt que par une faille de code, l’auditeur n’a rien manqué au sens strict: le contrat s’est comporté comme écrit. C’est justement là que la relance change de mains. L’auditeur ferme son dossier; le cabinet d’enquête ouvre le sien. Reste à savoir ce que ce dernier peut réellement faire, et ce qu’il ne pourra jamais promettre.

Ce que fait vraiment un cabinet d’enquête on-chain

Le matériau de base de la forensique blockchain est une évidence trop souvent oubliée: une blockchain publique est pseudonyme, pas anonyme. Chaque transaction reste inscrite pour toujours, consultable par tous. Le travail du cabinet consiste à transformer ce registre brut en renseignement exploitable. Trois techniques forment le cœur du métier.

La première est le clustering d’adresses: regrouper des centaines d’adresses apparemment sans lien sous une même entité, grâce à des heuristiques comme la propriété commune des entrées d’une transaction. La deuxième est l’étiquetage (attribution): relier un cluster à un acteur du monde réel, exchange, mixeur, pont, protocole sanctionné, en croisant fuites de données, dossiers judiciaires et signaux publics. La troisième est l’analyse de graphes: suivre le flux à travers des swaps, des ponts inter-chaînes et des services d’obscurcissement pour retrouver, au bout de la chaîne, un point de sortie où les fonds redeviennent des euros ou des dollars.

Il faut distinguer deux usages qui se ressemblent mais n’ont pas la même finalité. Le screening (ou KYT, know your transaction) est préventif: il alerte un exchange en temps réel quand une adresse à risque tente un dépôt. L’investigation est rétrospective: elle reconstitue le parcours d’un vol déjà commis pour geler, saisir, ou témoigner devant un tribunal. Les grands cabinets font les deux, mais c’est le second usage, plus spectaculaire, qui les rend célèbres à chaque casse à neuf chiffres.

Chainalysis : le mètre-étalon judiciaire

Fondée en 2014 à New York, Chainalysis est le nom que citent en premier les procureurs, les agences et les tribunaux. La société revendique plus de 1 500 organisations clientes et s’est imposée comme la référence pour le traçage inter-chaînes et le témoignage judiciaire. Son rapport annuel, le Crypto Crime Report, est devenu la statistique de référence du secteur.

L’édition 2026 chiffre à 3,4 milliards de dollars (environ 2,9 milliards d’euros) les fonds volés par piratage entre janvier et début décembre 2025, un montant dépassé seulement par l’année 2022. Les trois plus gros casses concentrent à eux seuls 69 % du total. Les hackers nord-coréens y auraient dérobé 2,02 milliards de dollars sur la seule année 2025, en hausse de 51 % sur un an, portant leur cumul historique à 6,75 milliards. Au-delà du vol direct, Chainalysis estime à 17 milliards de dollars les pertes liées aux arnaques, et rappelle que les adresses illicites ont reçu au moins 154 milliards de dollars en 2025, chiffres qui donnent la mesure du terrain de jeu des enquêteurs (Finance Magnates).

Le modèle économique de Chainalysis penche de plus en plus vers le secteur public: agences de renseignement, forces de l’ordre, régulateurs. Après deux vagues de licenciements en 2023 et une valorisation revenue de ses sommets, la société a racheté plusieurs acteurs, dont Alterya dans la détection de fraude, pour élargir son offre au-delà de la seule conformité. Sa force reste son bilan devant les cours: quand un dossier de blanchiment arrive au pénal, c’est souvent une analyse Chainalysis qui sert de pièce à conviction. Sa faiblesse est le revers de la même médaille: ses heuristiques propriétaires sont parfois contestées par la défense, faute d’un standard public opposable.

TRM Labs : la licorne qui trace en temps réel

Fondée en 2018, TRM Labs est la grande histoire financière du secteur cette année. En février 2026, la société a bouclé une série C de 70 millions de dollars à une valorisation de 1 milliard de dollars (environ 855 millions d’euros), décrochant le statut de licorne avec la participation de Goldman Sachs et de Galaxy Ventures, et portant le total levé à quelque 220 millions de dollars, selon CoinDesk. La plateforme sert des clients dans plus de 50 pays, dont Circle, Coinbase et Stripe, et affiche une croissance de revenus supérieure à 150 % par an sur cinq ans.

La signature technique de TRM est son réseau Beacon: quand un enquêteur signale une adresse contrôlée par un attaquant, le système trace automatiquement les fonds et diffuse une alerte à plus de 30 plateformes membres en quasi temps réel. L’idée est de réduire l’écart entre l’attribution et l’action, de faire passer un délai de réaction compté en jours à un signal compté en minutes. C’est la seule façon d’espérer geler des fonds avant qu’ils ne franchissent un pont ou un mixeur.

TRM est aussi la voix la plus écoutée sur la menace nord-coréenne. Le cabinet attribue 76 % de la valeur volée par piratage en 2026 aux groupes de la RPDC, l’essentiel provenant de deux attaques seulement, et estime à plus de 6 milliards de dollars leur butin cumulé depuis 2017 (The Block). Son responsable des politiques publiques, Ari Redbord, insiste sur le tournant de l’IA offensive: dans Dark Reading, il explique que les opérateurs nord-coréens ont toujours été de bons ingénieurs sociaux, mais que l’IA fait tomber les contraintes qui limitaient historiquement leur précision: barrières linguistiques, temps nécessaire pour bâtir des personnages crédibles, difficulté de personnaliser les attaques à grande échelle. Il décrit même, à propos du vol de 285 millions de dollars subi par Drift, des intermédiaires nord-coréens assis en face d’employés de protocole pendant des mois, un scénario qu’il juge inédit dans la campagne de piratage de Pyongyang (CoinDesk).

Elliptic : le pionnier britannique qui couvre 65 chaînes

Elliptic est le plus ancien des trois grands. Fondée à Londres en 2013 par Tom Robinson, Adam Joyce et James Smith, la société a inventé l’analyse de blockchain à une époque où Bitcoin passait encore pour intraçable. En mai 2026, elle a levé 120 millions de dollars (environ 103 millions d’euros) en série D à une valorisation de 670 millions, un tour mené par One Peak avec Nasdaq Ventures, Deutsche Bank et la British Business Bank, d’après FinTech Global.

Sur le plan de la couverture, Elliptic met en avant des chiffres impressionnants: plus de 65 blockchains suivies, plus de 700 clients dans 30 pays et plus d’un milliard de transactions passées au crible chaque semaine, selon son communiqué officiel. La société revendique la couverture on-chain la plus large du secteur privé. Son ADN reste la conformité et les sanctions: c’est souvent Elliptic qui, la première, relie un service de blanchiment ou un mixeur à un acteur sous sanctions, un travail moins médiatique que l’attribution d’un casse, mais central pour couper les rampes de sortie de l’argent volé.

La présence au capital de la Deutsche Bank et de Nasdaq Ventures dit quelque chose de la trajectoire du secteur: la finance traditionnelle achète désormais la forensique blockchain comme un service d’infrastructure, au même titre que la conformité anti-blanchiment classique. Le renseignement on-chain n’est plus un gadget crypto-natif, c’est un fournisseur de la banque.

Merkle Science, Global Ledger et la vague des challengers

Sous le trio de tête, un deuxième rang de spécialistes démocratise l’enquête on-chain. Merkle Science, basée à Singapour et fondée en 2018 par Mriganka Pattnaik, mise sur un moteur de règles comportementales pour dépasser les simples listes noires; sa gamme réunit la surveillance transactionnelle (Compass), le traçage d’actifs (Tracker) et la due diligence (KYBB), avec une spécialité reconnue sur les chaînes multiples et les pools de liquidité (Tracxn).

Global Ledger, de son côté, s’est fait un nom en publiant des recherches ouvertes sur la vitesse du blanchiment et les taux de récupération, une donnée que les grands cabinets gardent souvent pour leurs clients. C’est son rapport du premier semestre 2026 qui fournit le chiffre le plus dérangeant de tout ce dossier, celui du fossé entre traçage et restitution, que nous détaillons plus bas. Cette floraison de challengers a une conséquence pratique: l’attribution n’est plus le monopole de quelques sociétés, et un protocole victime peut aujourd’hui obtenir une première piste en quelques heures, parfois gratuitement, via des enquêteurs qui n’existaient pas il y a cinq ans.

Comparatif 2026 des cabinets d’enquête on-chain

Le tableau ci-dessous résume les principaux acteurs institutionnels et leur positionnement. Les valorisations sont issues des tours de table les plus récents; elles ne mesurent pas la qualité d’une enquête, mais elles disent où vont les capitaux.

ZachXBT, Arkham et les enquêteurs indépendants

À côté des cabinets, une couche indépendante a changé la dynamique. L’enquêteur pseudonyme ZachXBT est devenu, à lui seul, une institution: là où une agence met des jours à coordonner une réponse, il publie une attribution en quelques heures. Dans le cas Bybit, un confrère enquêteur, Nick Bax, a décrit ZachXBT analysant manuellement environ 500 transactions en une douzaine d’heures pour relier le casse à Lazarus (Technology.org). Son avantage n’est pas technologique, il est éditorial: il travaille en public, vite, et sa réputation fait foi.

Arkham a industrialisé cette logique de foule. Sa place de marché, l’Intel Exchange, permet de poster des primes en jetons ARKM pour obtenir un renseignement précis, un modèle parfois qualifié de dox-to-earn qui suscite autant d’enthousiasme que d’inquiétudes sur la vie privée (Decrypt). Après le vol Bybit, c’est justement via une prime de 50 000 ARKM que la traque a été crowdsourcée, avant que ZachXBT n’apporte les preuves décisives. Cette surveillance permanente des portefeuilles rejoint une tendance de fond que nous décrivions dans notre analyse des alertes de baleines: sur une chaîne publique, chaque gros portefeuille est observé en continu, y compris celui d’un attaquant.

Indépendants et institutionnels ne se concurrencent pas vraiment, ils se complètent. Les premiers apportent la vitesse, la publicité et l’intuition; les seconds apportent la couverture systématique, la robustesse juridique et le lien direct avec les exchanges capables de geler un dépôt. Un dossier solide, en 2026, combine presque toujours les deux.

Bybit : l’autopsie qui a tout révélé

Aucun cas ne résume mieux la puissance et l’impuissance de la forensique que Bybit. Le 21 février 2025, environ 1,5 milliard de dollars d’ETH quittent un portefeuille froid de l’exchange, le plus gros vol de l’histoire de la crypto. L’attribution est quasi immédiate: ZachXBT, Arkham, puis le FBI et TRM convergent vers Lazarus en moins d’une journée. De ce point de vue, la forensique a parfaitement fonctionné.

Puis vient le blanchiment, et là, la traque perd. Les fonds sont convertis massivement en Bitcoin via le protocole inter-chaînes THORChain, qui a traité plus de 5,5 milliards de dollars de volume dans le sillage du casse; selon BeInCrypto, près de 72 % des actifs volés y ont transité. La part gelée par la coopération des exchanges et des émetteurs de stablecoins n’a atteint qu’une fraction du butin, de l’ordre de 3 %. Bybit a certes rendu leurs avoirs à ses clients, mais grâce à des prêts relais, des dépôts de baleines et des rachats de gré à gré, c’est-à-dire en comblant le trou avec du capital frais, pas en récupérant l’argent volé. La nuance est capitale: rembourser les clients et récupérer le butin sont deux opérations distinctes, et seule la première a réussi.

Le même scénario s’est rejoué en 2026 avec les deux casses que TRM Labs place au sommet de son bilan, Kelp DAO (environ 292 millions de dollars) et Drift (environ 285 millions), qui concentrent à eux seuls l’essentiel des 76 % attribués à la Corée du Nord (The Block). Dans le cas Kelp, une partie du rsETH volé a même servi de collatéral pour emprunter sur Aave, une mécanique que nous décortiquons dans notre guide de l’emprunt adossé aux cryptos, et dont l’onde de choc a nourri des cascades de liquidations à travers la DeFi. Attribution rapide, récupération quasi nulle: le motif se répète.

Tracer n’est pas récupérer : le chiffre qui dérange

Voici la statistique que l’industrie de la traque met rarement en avant. Sur le premier semestre 2026, la restitution n’a concerné que 16 des 224 incidents (7,1 %), et la valeur récupérée ou gelée ne représente que 143,38 millions de dollars sur 1,32 milliard volé, soit 10,86 %, selon Global Ledger. Une autre lecture, relayée par Odaily, aboutit au même constat: près de 90 % des fonds volés sont irrécupérables.

Ce taux moyen cache une réalité très inégale. Les petites compromissions de portefeuille se récupèrent souvent à 60-80 %, parce que les fonds sont modestes, moins bien blanchis et plus faciles à intercepter. Les gros casses d’exchange, eux, récupèrent typiquement moins de 1 %. Et quand l’attaquant est un acteur étatique qui liquide via des réseaux OTC chinois, la part restituée tombe sous les 5 %. La bonne nouvelle relative, c’est que la tendance progresse: sur un an, le nombre d’incidents avec restitution a bondi de 69 % et la valeur récupérée de 136 %. La mauvaise, c’est que ce progrès part d’un niveau si bas qu’il ne change pas l’équation pour une victime moyenne.

C’est pourquoi la question de la récupération ne se résout jamais entièrement on-chain. Pour un particulier, les voies de recours passent aussi par le pénal, la coopération des plateformes et, parfois, la négociation directe avec l’attaquant via une prime de white-hat, un terrain que nous explorons dans notre dossier sur la récupération de fonds après un rug pull. Le cabinet d’enquête fournit la carte; il ne signe pas le chèque.

La fenêtre des 45 jours

Pourquoi la récupération échoue-t-elle si souvent alors que le traçage réussit ? Parce que le blanchiment est une course de vitesse, et que l’attaquant part avec plusieurs longueurs d’avance. Les analyses convergent vers une fenêtre d’environ 45 jours au-delà de laquelle la piste devient froide (news.Bitcoin.com). Le tableau ci-dessous décompose ce compte à rebours.

La logique est implacable: chaque saut inter-chaînes, chaque passage par un mixeur, chaque fractionnement en petites tranches ajoute du bruit et du temps. Le réseau Beacon de TRM et les alertes temps réel existent précisément pour comprimer les cinq premiers jours, la seule phase où un gel reste plausible. Passé ce délai, le cabinet ne trace plus pour récupérer, il trace pour documenter, sanctionner et prévenir le prochain coup.

Ce que la forensique ne peut pas faire

Il faut être honnête sur les limites, comme nous le sommes sur celles d’un audit. D’abord, attribuer n’est pas arrêter. Nommer Lazarus ne met personne en prison quand le coupable opère depuis une juridiction hors d’atteinte; l’attribution devient alors un outil de sanction et de dissuasion, pas de justice au sens classique.

Ensuite, certains terrains restent opaques. Les cryptomonnaies de confidentialité comme Monero cassent le clustering; les places no-KYC et les réseaux OTC en langue chinoise offrent des sorties que la carte on-chain ne franchit pas. Il y a aussi la question de la fiabilité des étiquettes: une attribution repose sur des heuristiques propriétaires qui peuvent se tromper, et un faux positif peut geler injustement les fonds d’un innocent. Enfin, la forensique arrive après coup: elle ne bloque pas un phishing qui remonte la chaîne logicielle jusqu’à un dépôt npm empoisonné, pas plus qu’un audit ne l’aurait fait.

Un dernier parallèle mérite d’être souligné. Tout comme aucun régulateur n’accrédite les auditeurs de smart contracts, aucun n’accrédite les cabinets d’enquête on-chain. Leur autorité repose sur la réputation et sur leur bilan devant les tribunaux, pas sur un label officiel. Cela signifie que le marché s’autorégule, avec les mêmes angles morts que du côté de l’audit: la qualité se mesure aux résultats passés, jamais à un tampon.

France et Europe : TRACFIN, Europol et l’AMLA

En France, l’État achète la traque qu’il ne construit pas lui-même. TRACFIN, la cellule de renseignement financier rattachée au ministère de l’Économie, reçoit et analyse les déclarations de soupçon des prestataires de services sur actifs numériques, et monte en compétence technique sur les actifs crypto (AMF). La loi du 13 juin 2025 contre le narcotrafic a durci ces obligations à partir de 2026, avec une attention accrue portée aux mixeurs et aux services d’anonymisation. L’AMF et l’ACPR supervisent les prestataires au titre de MiCA et de la lutte anti-blanchiment, mais ni l’une ni l’autre n’accrédite un cabinet forensique: là encore, l’expertise vient du privé.

À l’échelle européenne, la coordination monte d’un cran. Des opérations menées avec l’appui d’Europol et d’Eurojust ont démantelé des infrastructures de blanchiment crypto et gelé des avoirs dans un dossier portant sur plus de 336 millions d’euros de fonds illicites (Fincrime Central). Surtout, la nouvelle Autorité européenne de lutte contre le blanchiment, l’AMLA, s’installe à Francfort et supervisera directement, à partir de 2028, les établissements jugés les plus risqués. L’objectif affiché est de réduire la fragmentation réglementaire que les réseaux de blanchiment exploitent d’un pays à l’autre.

La conséquence, pour un lecteur européen, est double. D’un côté, les outils de Chainalysis, TRM ou Elliptic irriguent désormais l’enquête policière et la conformité bancaire du continent. De l’autre, la fenêtre des 45 jours et les réseaux OTC hors d’Europe restent des angles morts que même l’AMLA ne fermera pas d’un coup de règlement. La coopération public-privé comble une partie du fossé, jamais la totalité.

Comment juger un cabinet d’enquête

Si vous êtes un protocole, un exchange ou une victime cherchant à mandater un cabinet, cinq critères séparent une enquête solide d’un joli rapport. Premier critère, la couverture inter-chaînes: un attaquant sautera de réseau en réseau, et un cabinet aveugle à une seule chaîne perd la piste au premier pont. Deuxième critère, le bilan judiciaire: un traçage n’a de valeur que s’il tient devant un tribunal, ce qui suppose une méthodologie documentée et des témoignages passés.

Troisième critère, la vitesse et le temps réel: puisque tout se joue dans les cinq premiers jours, la capacité à alerter un réseau d’exchanges en minutes, à la manière de Beacon, vaut plus qu’une analyse brillante rendue trois semaines trop tard. Quatrième critère, la transparence des étiquettes: demandez sur quoi repose une attribution, et méfiez-vous d’une boîte noire qui refuse d’expliquer ses heuristiques. Cinquième critère, la capacité de restitution: un cabinet qui entretient des liens opérationnels avec les plateformes et les forces de l’ordre a plus de chances de faire geler des fonds qu’un simple fournisseur de tableaux de bord.

Reste la lucidité finale, celle qui vaut aussi pour l’audit. Le meilleur cabinet du monde vous livrera une carte du vol, souvent d’une précision stupéfiante, et pointera le coupable avec une confiance élevée. Il ne vous rendra pas forcément votre argent. En 2026, dans plus de neuf cas sur dix, la carte s’arrête là où commence une juridiction qui ne coopérera jamais. C’est la vraie leçon de l’année: la traque s’est professionnalisée et capitalisée, la récupération, elle, reste l’exception.

Foire aux questions

Quelle est la différence entre un audit de smart contract et une enquête on-chain ?

L’audit intervient avant le déploiement: il relit le code et rend un rapport pour prévenir les failles. L’enquête on-chain intervient après le vol: elle suit les fonds, étiquette les adresses et identifie l’attaquant. L’un promet la prévention, l’autre reconstitue le parcours de l’argent une fois le mal fait; les deux sont nécessaires et aucun ne suffit seul.

Chainalysis, TRM Labs ou Elliptic : quel cabinet choisir ?

Chainalysis reste la référence pour les dossiers judiciaires et le secteur public. TRM Labs, devenue licorne en 2026, se distingue par ses alertes temps réel et son suivi de la menace nord-coréenne. Elliptic, le pionnier londonien, revendique la plus large couverture (plus de 65 chaînes) et une spécialité sanctions. Le bon choix dépend du besoin: témoignage devant un tribunal, gel rapide, ou conformité bancaire.

Peut-on récupérer des cryptos volées grâce au traçage on-chain ?

Rarement. Au premier semestre 2026, seuls 7,1 % des incidents ont donné lieu à une restitution, pour environ 11 % de la valeur volée. Les petites compromissions se récupèrent parfois à 60-80 %, mais les gros casses d’exchange rendent moins de 1 %. Le traçage identifie le chemin des fonds; il ne garantit pas leur retour, surtout face à un acteur étatique.

Qui est ZachXBT et comment retrouve-t-il les hackers ?

ZachXBT est un enquêteur on-chain pseudonyme, devenu une référence du secteur. Il travaille en public et très vite: lors du vol Bybit, il aurait analysé environ 500 transactions en une douzaine d’heures pour relier le casse à Lazarus. Il s’appuie sur des outils comme Arkham et complète l’action des cabinets institutionnels par sa rapidité et sa réputation.

Comment la France et l’Europe traquent-elles l’argent crypto volé ?

En France, TRACFIN analyse les déclarations de soupçon des prestataires crypto, et la loi anti-narcotrafic de juin 2025 a renforcé la surveillance des mixeurs. Au niveau européen, Europol et Eurojust coordonnent le démantèlement des infrastructures de blanchiment, et la nouvelle Autorité anti-blanchiment (AMLA), basée à Francfort, supervisera directement les acteurs les plus risqués à partir de 2028. L’enquête s’appuie largement sur les outils des cabinets privés.

Par Anneke de Vries, desk sécurité de HOGE Wire.