Le 24 septembre 2026, les syst\u00e8mes de surveillance de Bitget ont d\u00e9tect\u00e9 des transferts non autoris\u00e9s depuis une partie de ses portefeuilles chauds. Le temps de suspendre les retraits, l’estimation grimpait d\u00e9j\u00e0 : environ 352 millions de dollars, pr\u00e8s de 309 millions d’euros, siphonn\u00e9s en quelques minutes, dans ce qui pourrait bien \u00eatre le plus gros vol crypto de l’ann\u00e9e. Dix-huit jours plus t\u00f4t, le 6 septembre, le Liquid Network avait vu dispara\u00eetre \u00e0 peu pr\u00e8s 4 000 des 4 200 bitcoins d’un portefeuille utilis\u00e9 par plusieurs plateformes, soit quelque 320 millions de dollars (environ 281 M\u20ac). Deux ponctions en un m\u00eame mois, deux architectures diff\u00e9rentes, et pour les victimes une seule question qui compte vraiment : reverra-t-on l’argent ?<\/p>
C’est la partie de l’histoire que les gros titres racontent rarement. On documente abondamment comment un exploit a lieu, la ligne de code fautive, la cl\u00e9 compromise, l’ing\u00e9nierie sociale. Beaucoup moins ce qui se passe ensuite : la traque, le gel, la n\u00e9gociation, la restitution. Or c’est l\u00e0 que se joue le sort r\u00e9el des fonds, dans une fen\u00eatre qui se referme vite et selon des m\u00e9canismes que peu d’investisseurs comprennent avant d’en avoir besoin. Cet article suit cette seconde moiti\u00e9 du drame, celle de l’apr\u00e8s, \u00e0 travers le travail des firmes qui en ont fait un m\u00e9tier, au premier rang desquelles Halborn et son partenaire d’enqu\u00eate Chainalysis. La th\u00e8se tient en une phrase : la r\u00e9cup\u00e9ration est l’exception, pas la r\u00e8gle, et le coupe-circuit le plus fiable de la crypto n’est ni un r\u00e9gulateur ni un tribunal, mais la liste noire d’un \u00e9metteur de stablecoin.<\/p>
Bitget et Liquid ne sont pas des cas isol\u00e9s. Selon TRM Labs, le premier semestre 2026 a compt\u00e9 un nombre record de 207 incidents pour environ 972 millions de dollars (854 M\u20ac) d\u00e9rob\u00e9s, en recul par rapport \u00e0 2025 en valeur mais en hausse en fr\u00e9quence (rapport semestriel TRM Labs<\/a>). Sur l’ensemble de 2025, Chainalysis chiffrait le butin \u00e0 plus de 3,4 milliards de dollars (pr\u00e8s de 3 milliards d’euros), dont environ 2,02 milliards attribu\u00e9s \u00e0 des acteurs nord-cor\u00e9ens (Chainalysis, vol de fonds 2025<\/a>). Le vol est industriel. La restitution, artisanale.<\/p> La r\u00e9cup\u00e9ration crypto est une course contre l’horloge, et l’horloge d\u00e9marre \u00e0 la seconde du premier transfert frauduleux. Une fois les fonds dans un portefeuille contr\u00f4l\u00e9 par l’attaquant, chaque minute qui passe les rapproche d’un mixeur, d’un pont inter-cha\u00eenes ou d’un bureau de gr\u00e9 \u00e0 gr\u00e9 qui les rendra beaucoup plus difficiles \u00e0 saisir. Les enqu\u00eateurs parlent d’une fen\u00eatre en or de quelques dizaines de minutes \u00e0 quelques heures, pendant laquelle il est encore possible d’alerter la plateforme destinataire et de geler les comptes qui ont re\u00e7u des fonds du voleur avant qu’il ne d\u00e9place le magot ailleurs.<\/p> Chainalysis, qui commercialise un service de r\u00e9ponse \u00e0 incident sous forme d’abonnement (Crypto Incident Response), r\u00e9sume la logique sans d\u00e9tour sur son blog : si la plateforme victime a souscrit ce contrat et pr\u00e9vient l’\u00e9quipe imm\u00e9diatement, les enqu\u00eateurs peuvent contacter la seconde plateforme et faire geler les comptes ayant re\u00e7u des fonds du portefeuille du pirate avant que l’argent ne bouge (Chainalysis, sur la r\u00e9ponse \u00e0 incident<\/a>). Depuis sa cr\u00e9ation, la soci\u00e9t\u00e9 affirme avoir contribu\u00e9 \u00e0 r\u00e9cup\u00e9rer plus de 11 milliards de dollars (environ 9,7 milliards d’euros) de fonds vol\u00e9s ; mais via le seul programme d’abonnement lanc\u00e9 en juin 2022, le chiffre tombe \u00e0 environ 50 millions de dollars (44 M\u20ac), avec un argument commercial parlant : 80 % des clients de ce service r\u00e9cup\u00e8rent davantage que ce qu’ils ont d\u00e9pens\u00e9 pour lui.<\/p> Ce grand \u00e9cart entre 11 milliards et 50 millions dit l’essentiel. La quasi-totalit\u00e9 des r\u00e9cup\u00e9rations spectaculaires passe par des op\u00e9rations judiciaires longues, coordonn\u00e9es avec les autorit\u00e9s, souvent des ann\u00e9es apr\u00e8s les faits. Le canal rapide, celui qui joue dans la fen\u00eatre en or, ne ram\u00e8ne qu’une goutte d’eau. Et il ne fonctionne que pour les victimes d\u00e9j\u00e0 pr\u00e9par\u00e9es : celles qui, avant l’attaque, ont un plan de r\u00e9ponse, des contacts directs chez les plateformes et les \u00e9metteurs, et un prestataire pr\u00eat \u00e0 d\u00e9crocher son t\u00e9l\u00e9phone. La victime qui d\u00e9couvre tout \u00e0 froid, en pleine nuit, perd pr\u00e9cis\u00e9ment la seule fen\u00eatre qui comptait.<\/p> Halborn, firme de s\u00e9curit\u00e9 blockchain fond\u00e9e \u00e0 Miami en 2019, s’est fait conna\u00eetre par ses audits offensifs et ses exercices de red team, mais aussi par sa s\u00e9rie d’autopsies publiques, les billets \u00abExplained\u00bb qui reconstituent, hack apr\u00e8s hack, la cha\u00eene d’attaque. Cette casuistique est devenue une signature : quand un protocole tombe, la profession attend l’analyse de Halborn presque autant que le communiqu\u00e9 de la victime. En avril 2023, la firme a formalis\u00e9 une alliance avec Chainalysis, le sp\u00e9cialiste am\u00e9ricain de l’analyse de la blockchain, pour couvrir pr\u00e9cis\u00e9ment la moiti\u00e9 \u00abapr\u00e8s\u00bb de l’\u00e9quation (annonce du partenariat, Halborn<\/a>).<\/p> La r\u00e9partition des r\u00f4les est nette. Halborn agit en amont, sur le pr\u00e9ventif : audit de code, test d’intrusion, durcissement de l’infrastructure, pr\u00e9paration \u00e0 l’incident. Chainalysis intervient en aval, sur l’investigatif : tra\u00e7age des flux, identification des points de sortie, appui \u00e0 la r\u00e9cup\u00e9ration et coordination avec les autorit\u00e9s. Les deux soci\u00e9t\u00e9s d\u00e9crivent un plan en sept phases cens\u00e9 accompagner un projet Web3 de l’architecture initiale jusqu’\u00e0 la gestion de crise (Blockworks<\/a>). ZetaChain a servi de vitrine \u00e0 cette approche, avec revues d’architecture, surveillance et dispositif de r\u00e9ponse pr\u00eat \u00e0 l’emploi (Chainalysis, cas ZetaChain<\/a>).<\/p> L’id\u00e9e de fond m\u00e9rite d’\u00eatre soulign\u00e9e, car elle contredit le r\u00e9flexe du secteur. Beaucoup de projets pensent la s\u00e9curit\u00e9 comme un \u00e9v\u00e9nement ponctuel : un audit, un badge, une case coch\u00e9e avant le d\u00e9ploiement. Or l’audit, aussi rigoureux soit-il, ne dit rien de ce qu’il faudra faire \u00e0 3 heures du matin quand un attaquant vide la tr\u00e9sorerie. C’est tout le sens de l’axe pr\u00e9ventif-plus-r\u00e9actif : payer un audit sans avoir de plan de r\u00e9ponse, c’est acheter une serrure sans jamais avoir r\u00e9p\u00e9t\u00e9 l’appel aux secours. Le sujet de la valeur r\u00e9elle d’un audit face aux pertes constat\u00e9es, nous l’avons trait\u00e9 en d\u00e9tail dans notre bilan 2026 des projets audit\u00e9s puis pirat\u00e9s<\/a>.<\/p> La premi\u00e8re force de la crypto pour l’enqu\u00eateur, c’est sa transparence : chaque transaction est publique et immuable. Des outils comme Chainalysis Reactor cartographient en quasi temps r\u00e9el les mouvements du portefeuille voleur, regroupent les adresses li\u00e9es, rep\u00e8rent le moment o\u00f9 les fonds touchent une plateforme centralis\u00e9e avec obligation de connaissance du client. En th\u00e9orie, on ne perd jamais la trace. En pratique, tracer n’est pas geler : voir l’argent bouger ne l’emp\u00eache pas de bouger.<\/p> L’attaquant s\u00e9rieux le sait et brouille la piste. Il fragmente le butin, le fait transiter par des mixeurs, saute d’une cha\u00eene \u00e0 l’autre via des ponts, convertit en actifs plus difficiles \u00e0 figer, \u00e9change sur des protocoles de swap inter-cha\u00eenes comme THORChain qui ne demandent pas d’identit\u00e9. Les exploits eux-m\u00eames empruntent des primitives DeFi qui compliquent la lecture, \u00e0 l’image des pr\u00eats flash, ce cr\u00e9dit qui na\u00eet et meurt dans un seul bloc<\/a> et sert souvent \u00e0 amplifier une attaque avant que quiconque ait r\u00e9agi. Face \u00e0 un blanchiment men\u00e9 par des professionnels \u00e9tatiques, la vitesse de dispersion d\u00e9passe souvent la vitesse d’alerte.<\/p> Le tra\u00e7age garde pourtant une valeur cardinale : il produit l’attribution, c’est-\u00e0-dire la r\u00e9ponse \u00e0 la question \u00abqui\u00bb. Et cette r\u00e9ponse conditionne tout le reste. Si l’analyse pointe vers un groupe criminel classique cherchant \u00e0 mon\u00e9tiser, la n\u00e9gociation reste possible. Si elle pointe vers un \u00c9tat sous sanctions, la partie r\u00e9cup\u00e9ration est quasiment jou\u00e9e d’avance, car aucun interm\u00e9diaire l\u00e9gal ne touchera ces fonds et aucune prime ne saurait \u00eatre vers\u00e9e sans risque p\u00e9nal. Le tra\u00e7age ne rend pas l’argent ; il dit surtout s’il a une chance de revenir.<\/p> Pour transformer des cryptos vol\u00e9es en pouvoir d’achat, le voleur finit presque toujours par les faire passer par une plateforme centralis\u00e9e. C’est l\u00e0, \u00e0 ce goulot d’\u00e9tranglement, que la r\u00e9cup\u00e9ration redevient possible. Un exchange qui applique la connaissance du client peut, sur signalement cr\u00e9dible, geler un compte, bloquer un retrait et coop\u00e9rer avec les enqu\u00eateurs. D’o\u00f9 la logique de la fen\u00eatre en or : plus l’alerte arrive t\u00f4t, plus il est probable que les fonds soient encore sur une plateforme joignable plut\u00f4t que dispers\u00e9s dans la nature.<\/p> Le levier a deux limites structurelles. D’abord, il ne mord que sur les acteurs coop\u00e9ratifs : une plateforme opaque, offshore, sans obligations s\u00e9rieuses, ignorera la demande. Ensuite, il ne s’applique pas du tout \u00e0 la finance d\u00e9centralis\u00e9e pure ni \u00e0 l’auto-conservation : il n’y a personne \u00e0 appeler pour geler un contrat autonome ou un portefeuille personnel. Le gel sur exchange est donc puissant mais conditionnel, tributaire \u00e0 la fois de la rapidit\u00e9 de la victime et du bon vouloir d’un tiers. C’est un point d’\u00e9tranglement, pas un interrupteur universel.<\/p> Il existe pourtant un interrupteur qui, lui, fonctionne presque partout o\u00f9 il s’applique : la liste noire des \u00e9metteurs de stablecoins. Les principaux jetons adoss\u00e9s au dollar, USDT de Tether et USDC de Circle, int\u00e8grent dans leur contrat une fonction qui permet \u00e0 l’\u00e9metteur de figer une adresse, rendant les jetons intransf\u00e9rables, puis souvent de les d\u00e9truire et de les r\u00e9\u00e9mettre vers un portefeuille propre remis aux autorit\u00e9s. Tant que le butin reste libell\u00e9 en stablecoin, l’\u00e9metteur peut le neutraliser d’un seul appel de fonction, sans validateur \u00e0 convaincre ni tribunal \u00e0 saisir dans l’imm\u00e9diat.<\/p> L’ampleur de ce pouvoir est devenue spectaculaire. Le 23 avril 2026, Tether a gel\u00e9 plus de 344 millions de dollars (environ 302 M\u20ac) d’USDT sur deux adresses, en coordination avec l’OFAC et les forces de l’ordre am\u00e9ricaines, dans un dossier li\u00e9 \u00e0 l’Iran : le plus gros gel de son histoire, d\u00e9passant les 182 millions fig\u00e9s en janvier de la m\u00eame ann\u00e9e (communiqu\u00e9 de Tether<\/a> ; note Chainalysis sur la d\u00e9signation OFAC<\/a>). Le PDG de Tether, Paolo Ardoino, l’a formul\u00e9 sans nuance : \u00abL’USDT n’est pas un refuge pour l’activit\u00e9 illicite. Lorsque des liens cr\u00e9dibles avec des entit\u00e9s sanctionn\u00e9es ou des r\u00e9seaux criminels sont identifi\u00e9s, nous agissons imm\u00e9diatement et de fa\u00e7on d\u00e9cisive.\u00bb Au total, Tether affirme avoir gel\u00e9 plus de 4,4 milliards de dollars (3,87 milliards d’euros) d’actifs li\u00e9s \u00e0 des activit\u00e9s illicites, dont plus de 2,1 milliards en lien avec les autorit\u00e9s am\u00e9ricaines, et travaille avec plus de 340 agences dans 65 pays.<\/p> La le\u00e7on pour la r\u00e9cup\u00e9ration est brutale de simplicit\u00e9 : le moyen le plus fiable de r\u00e9cup\u00e9rer des cryptos vol\u00e9es n’est ni d\u00e9centralis\u00e9 ni public, c’est le geste priv\u00e9 d’un \u00e9metteur centralis\u00e9, adoss\u00e9 \u00e0 une d\u00e9signation de sanctions. Mais ce coupe-circuit a une port\u00e9e pr\u00e9cise. Il ne mord que si le voleur a laiss\u00e9 les fonds en USDT ou USDC. Un attaquant averti convertit vite en bitcoin ou en ether, hors d’atteinte de toute liste noire. Le gel de stablecoin est donc l’arme la plus efficace du dispositif et, paradoxalement, la plus facile \u00e0 esquiver pour qui sait courir.<\/p>Les premi\u00e8res heures d\u00e9cident de presque tout<\/h2>
Halborn et Chainalysis : pr\u00e9venir, puis traquer<\/h2>
Suivre l’argent : le tra\u00e7age on-chain et ses angles morts<\/h2>
Le point d’\u00e9tranglement : geler sur les plateformes<\/h2>
Le vrai coupe-circuit : le gel des stablecoins<\/h2>