ZachXBT Engage 3,5 Millions Pour Traquer Le Butin Bybit

Et si la piste la plus utile pour retrouver un butin volé n’était pas une transaction publique, mais une conversation privée avec celui qui prétend le déplacer ? Le 5 octobre 2026, l’enquêteur connu sous le nom de ZachXBT a affirmé avoir franchi cette ligne. Il dit avoir engagé environ 3,5 millions de dollars de ses propres fonds pour se faire passer pour un client d’un intermédiaire, et documenter un circuit soupçonné de servir des acteurs liés au piratage de Bybit. L’histoire ne se résume pas à un chiffre spectaculaire. Elle pose une question plus dérangeante : jusqu’où faut-il aller, et avec quel argent, pour transformer un suivi de blockchain en renseignement humain.

Le récit publié ce jour-là décrit une infiltration progressive. Des groupes publics sur Telegram et Discord. Un pseudonyme, Jimmy Green. Des échanges entre USDC et USDT. Des pertes acceptées, proches de 5 % par opération, pour acheter de la confiance. Puis des confidences sur de prochains mouvements de fonds, et l’affirmation selon laquelle l’équipe de l’intermédiaire aurait traité une part importante du butin de Bybit. À partir de là, ZachXBT dit avoir relié un ensemble d’adresses sur Solana à plus de 12 millions de dollars issus du piratage, et contribué au gel d’environ 442 000 USDT par Tether. Les informations auraient été transmises à des enquêteurs privés et aux forces de l’ordre.

Rien, dans cette séquence, ne signifie que l’échange a récupéré son argent. Identifier, geler et restituer restent trois étapes distinctes. C’est précisément ce décalage qui rend l’affaire intéressante. Elle montre à la fois la puissance et la limite d’une méthode hybride, où l’analyse on-chain ne suffit plus et où l’enquêteur devient, un temps, un client du circuit qu’il cherche à décrire.

Une infiltration à 3,5 millions pour dépasser le simple suivi

Le point de départ public reste le vol subi par Bybit le 21 février 2025. L’échange a alors perdu environ 1,5 milliard de dollars de cryptomonnaies, l’un des plus gros piratages de l’histoire du secteur. Cinq jours plus tard, le FBI a attribué l’attaque à la Corée du Nord et a désigné l’activité malveillante sous le nom de TraderTraitor. L’agence a décrit une dispersion rapide : une partie des actifs convertie en bitcoins et en d’autres cryptomonnaies, puis répartie entre des milliers d’adresses sur plusieurs blockchains. Elle a appelé les acteurs du secteur à bloquer les transactions associées aux adresses identifiées.

Ce cadre officiel explique pourquoi une infiltration privée peut paraître, à certains, presque logique. Quand un butin est éclaté en quelques jours, le graphe public devient un labyrinthe. Les adresses se multiplient. Les ponts entre chaînes brouillent la lecture. Les stablecoins changent de mains. Les intermédiaires humains, eux, restent souvent les mêmes. ZachXBT dit avoir cherché ces intermédiaires là où ils se montrent : dans des groupes publics, avec des comptes qui semblaient traiter des opérations liées aux fonds dérobés.

L’approche décrite n’est pas celle d’un simple observateur. L’enquêteur se présente comme un client. Il réalise plusieurs conversions entre USDC et USDT. Il affirme avoir mobilisé environ 3,497 millions de dollars en USDC. Cette somme correspond, selon le récit, aux capitaux engagés, et non à une perte totale. La perte acceptée, proche de 5 % par opération, fonctionne comme un droit d’entrée. Dans les circuits de change informels, ce spread n’est pas un détail. C’est souvent le prix de la discrétion, de la rapidité, et parfois de l’absence de questions.

La distinction entre capital engagé et perte nette est essentielle. Un lecteur pressé peut retenir « 3,5 millions brûlés ». Le récit dit autre chose. L’argent circule dans des opérations de change. Une partie revient, amputée d’une commission. Le coût réel est celui de l’information obtenue, pas celui d’un chèque jeté dans le vide. Cette nuance change la lecture morale autant que la lecture financière. Elle n’efface pas le risque. Elle le replace à sa juste échelle.

Pourquoi un enquêteur devient client

Les blockchains publiques excellent à montrer qu’un transfert a eu lieu. Elles sont beaucoup moins bavardes sur le pourquoi, le pour qui, et le prochain saut. Une adresse peut appartenir à un portefeuille chaud, à un mélangeur, à un pont, à un comptoir de gré à gré, ou à une personne qui ne fait que prêter son compte. Sans un nom, un canal, ou une habitude, le graphe reste une carte sans légende.

C’est là que le renseignement humain reprend la main. Un opérateur qui se croit face à un client parle autrement qu’un suspect face à un analyste. Il annonce des fenêtres de transfert. Il vante son volume. Il désigne, parfois sans le vouloir, les outils qu’il utilise. Dans le récit de ZachXBT, la confiance s’installe au fil des échanges. L’intermédiaire finit par évoquer de prochains mouvements et par affirmer que son équipe a traité une part importante du butin de Bybit. Ces phrases ne sont pas des preuves judiciaires. Ce sont des pistes à confronter aux transactions visibles.

Suivre l’argent documente le blanchiment. Parler à celui qui le déplace peut ouvrir une fenêtre pour l’interrompre. Les deux démarches ne se remplacent pas.

Cette articulation explique l’intérêt de l’opération, au-delà du montant. Un analyste seul peut colorier des clusters pendant des mois. Un client fictif peut, en quelques conversations, apprendre qu’un lot va bouger telle nuit, via tel stablecoin, vers telle chaîne. Si l’information arrive avant le transfert, un émetteur de stablecoin ou un exchange peut encore agir. Si elle arrive après, elle ne sert plus qu’à raconter l’histoire.

Jimmy Green, un pseudonyme comme porte d’entrée

Le nom Jimmy Green n’a, en lui-même, aucune valeur d’identité. C’est un masque commercial, du genre que l’on croise dans les canaux de change informels. L’important n’est pas le prénom. C’est la fonction. L’homme, ou l’équipe derrière le compte, se présente comme un intermédiaire capable de traiter des volumes. Il opère dans un espace où la réputation se construit par le bouche-à-oreille, les captures d’écran et la vitesse d’exécution.

ZachXBT dit l’avoir repéré dans des groupes publics Telegram et Discord, parmi des comptes qui semblaient traiter des opérations liées aux fonds dérobés. Cette précision compte. Le premier contact n’a pas eu lieu dans un salon secret. Il a eu lieu là où des opérateurs cherchent des clients, donc là où ils doivent se montrer. Un réseau de blanchiment professionnel n’est pas seulement une liste d’adresses. C’est aussi une vitrine, parfois maladroite, parfois très rodée.

Se faire passer pour un client exige plus qu’un message. Il faut un historique de paiements, une tolérance au spread, une manière de parler qui ne sonne pas comme un questionnaire. Les conversions répétées entre USDC et USDT servent ce rôle. Elles créent une trace commerciale. Elles habituent l’opérateur à voir arriver des fonds, puis à les renvoyer sous une autre forme. Chaque aller-retour est à la fois une perte partielle et une preuve de sérieux.

Solana, 12 millions, et le gel de 442 000 USDT

Selon le récit, les échanges ont permis d’identifier un ensemble d’adresses sur Solana associé à plus de 12 millions de dollars provenant du hack de Bybit. Le choix de la chaîne n’est pas anodin. Solana offre des frais bas et une finalité rapide. Pour un intermédiaire qui doit fragmenter, convertir et rerouter, ces propriétés sont pratiques. Elles le sont aussi pour un enquêteur, à condition de savoir quelles adresses regarder au bon moment.

Les 12 millions ne sont pas le butin. Ils en sont une fraction visible, reliée par le travail d’enquête à un circuit précis. Le gel annoncé porte sur environ 442 000 USDT. L’écart entre les deux chiffres rappelle une règle simple. Repérer un flux n’est pas le bloquer. Bloquer un stablecoin n’est pas récupérer l’ensemble du cluster. Tether peut, dans certains cas, geler des jetons qu’elle a émis lorsqu’une adresse est signalée. Elle ne peut pas geler du bitcoin natif, ni un jeton déjà converti sur une autre chaîne, ni des fonds déjà sortis vers un comptoir qui ne coopère pas.

Le gel de 442 000 USDT reste néanmoins un résultat concret. Il montre que l’information humaine a pu être traduite en action technique. Il montre aussi la modestie du montant au regard des 1,5 milliard initiaux. Une fenêtre s’est ouverte. Elle n’a pas refermé l’affaire.

Bybit, février 2025, et la dispersion décrite par le FBI

Pour mesurer ce que vaut une infiltration en octobre 2026, il faut revenir au choc de février 2025. Bybit a subi un vol d’environ 1,5 milliard de dollars. L’attaque a été attribuée par le FBI à la Corée du Nord, sous l’étiquette TraderTraitor. Le scénario public n’est pas celui d’un ransomware artisanal. C’est celui d’une opération attribuée à un appareil d’État, habitué à financer des programmes par le vol de cryptomonnaies.

Le FBI a décrit une conversion partielle en bitcoins et en d’autres actifs, puis une répartition entre des milliers d’adresses. Cette dispersion est une technique classique. Elle réduit la valeur de chaque portefeuille isolé. Elle multiplie les juridictions. Elle force les exchanges, les émetteurs de stablecoins et les forces de l’ordre à courir plusieurs lièvres à la fois. Cinq jours après le vol, l’attribution était déjà publique. Dix-huit mois plus tard, des intermédiaires parlaient encore, selon ZachXBT, d’une part importante du butin.

Ce délai est instructif. Un hack de cette taille ne se blanchit pas en une nuit, même si les premières heures sont décisives. Une fraction reste liquide, une autre est parquée, une autre circule par petits lots pendant des mois. Les réseaux qui acceptent ce travail ne sont pas forcément les pirates. Ce sont souvent des prestataires. Ils prennent une commission. Ils connaissent les comptoirs. Ils savent quelles plateformes posent des questions, et lesquelles ferment les yeux.

TraderTraitor, Lazarus, et la chaîne de sous-traitance

Le nom Lazarus circule depuis des années dès qu’un vol majeur est attribué à Pyongyang. TraderTraitor est l’étiquette plus précise retenue par les autorités américaines pour l’activité liée à Bybit. La nuance mérite d’être gardée. Attribuer une intrusion à un groupe étatique ne dit pas qui, ensuite, change les jetons contre du cash ou contre d’autres cryptos. Entre le voleur et le bénéficiaire final, il y a souvent une chaîne de sous-traitants.

C’est dans cette chaîne que se situe le récit d’octobre 2026. ZachXBT ne dit pas avoir parlé à un opérateur nord-coréen. Il dit avoir infiltré un réseau chinois de blanchiment soupçonné de travailler pour ces hackers. Le soupçon n’est pas une condamnation. Il oriente toutefois la lecture. Les grands vols attribués à la Corée du Nord ont, dans le passé, transité par des places asiatiques de gré à gré, des mules, des comptes d’exchanges et des convertisseurs de stablecoins. Un intermédiaire basé dans un environnement où le change informel est dense peut servir plusieurs clients, dont certains liés à des vols d’État.

Cette sous-traitance complique la justice. Poursuivre l’auteur de l’intrusion initiale est une affaire de renseignement et de diplomatie. Poursuivre le changeur qui a accepté un lot volé est une affaire de preuves, de juridictions et de coopération. L’infiltration vise ce second maillon, plus bavard, plus commercial, et parfois plus exposé aux gels de stablecoins.

Ce que « réseau chinois » veut dire, et ce que cela ne veut pas dire

L’expression réseau chinois de blanchiment peut prêter à confusion. Elle ne désigne pas l’État chinois. Elle désigne, dans le récit, un circuit d’intermédiaires opérant dans un environnement sinophone, avec des habitudes de change, des canaux Telegram et une capacité à traiter des volumes en stablecoins. La Chine continentale interdit depuis plusieurs années les échanges crypto domestiques. Cette interdiction n’a pas fait disparaître la demande. Elle l’a en partie déplacée vers le pair-à-pair, les comptoirs offshore et les groupes de messagerie.

Un opérateur de ce type peut être un changeur indépendant, une petite équipe, ou la vitrine d’une structure plus large. Il peut traiter des fonds licites d’exportateurs pressés autant que des lots douteux. C’est précisément cette mixité qui rend l’infiltration délicate. Un client fictif ne sait pas, au premier message, s’il parle à un blanchisseur dédié ou à un comptoir qui accepte tout. Les déclarations de l’intermédiaire, confrontées aux adresses, servent à trancher.

Le récit de ZachXBT retient une affirmation forte : l’équipe aurait traité une part importante du butin de Bybit. Une affirmation de vendeur n’est pas un aveu judiciaire. Les intermédiaires gonflent souvent leur volume pour rassurer un gros client. D’où l’intérêt de la seconde étape, celle qui relie les paroles à des adresses visibles et à un gel effectif. Sans ce retour on-chain, le témoignage resterait une anecdote de messagerie.

USDC, USDT, et le prix de la confiance

Le choix des deux stablecoins n’est pas décoratif. L’USDC et l’USDT sont les wagons les plus liquides du change informel. Passer de l’un à l’autre permet de tester un opérateur sans exposer immédiatement du bitcoin ou de l’ether. Cela permet aussi de voir quels portefeuilles reçoivent, quels délais s’appliquent, et quelle décote est exigée. Une perte proche de 5 % par opération est élevée pour un particulier. Elle est banale pour quelqu’un qui veut sortir vite, sans dossier, et sans nom.

Sur 3,497 millions de dollars engagés, 5 % ne font pas 3,5 millions de perte. Le pourcentage s’applique à des rotations, pas à un stock détruit. Si les fonds reviennent en grande partie, le coût net peut rester une fraction du capital mobilisé. Si une contrepartie disparaît, le coût peut devenir total. ZachXBT présente la somme comme un engagement, pas comme une perte sèche. Cette présentation doit être lue telle quelle, sans l’arrondir vers le sensationnel.

Accepter une décote a une autre fonction. Elle place l’enquêteur dans la posture du client pressé, pas dans celle de l’audit. Un blanchisseur méfiant se méfie des questions. Il se méfie moins d’un homme qui paie le spread sans discuter. La méthode achète du temps de parole. Elle achète aussi un risque de contrepartie, de vol secondaire, et de contamination : l’enquêteur manipule des flux qui peuvent eux-mêmes être suspects.

Identifier n’est pas geler, geler n’est pas restituer

Trois verbes structurent toute affaire de ce type. Identifier. Geler. Restituer. Le récit d’octobre coche les deux premiers, partiellement, et laisse le troisième ouvert. Les 12 millions repérés sur Solana ne sont pas une somme récupérée. Les 442 000 USDT gelés ne sont pas, à la date du récit, des fonds versés à Bybit. Un gel de stablecoin est une mesure conservatoire. La restitution dépend d’une procédure, d’une coopération, parfois d’un tribunal.

Cette patience frustrante explique pourquoi les annonces de « fonds retrouvés » vieillissent mal. Un cluster colorié sur un explorateur n’est pas un virement. Une adresse gelée n’est pas un jugement. Entre les deux, des mois peuvent passer, et une partie des jetons peut avoir déjà quitté le périmètre gelable. L’honnêteté du récit tient à cette retenue. Il documente une fenêtre. Il ne proclame pas une victoire comptable.

Pour un exchange victime, la troisième étape est la seule qui répare le bilan. Pour un enquêteur, la première peut déjà valoir le détour, parce qu’elle cartographie un prestataire réutilisable. Pour un émetteur de stablecoin, la deuxième est le levier le plus immédiat. Confondre les trois, c’est raconter une histoire plus simple que la réalité.

Ce que les forces de l’ordre peuvent faire de ce matériau

ZachXBT dit avoir transmis les informations à des enquêteurs privés et aux forces de l’ordre. La phrase est vague, et elle doit le rester tant que les destinataires ne parlent pas. Un dossier utilisable contient plus que des captures d’écran. Il contient des horodatages, des adresses, des montants, des canaux de contact, et une chaîne de conservation des preuves. Un pseudonyme seul ne suffit pas. Une adresse qui a reçu un lot identifiable, si, à condition que le lien avec le hack initial tienne.

Les autorités américaines avaient déjà, en février 2025, appelé le secteur à bloquer les adresses associées. Une infiltration privée peut enrichir cette liste. Elle peut aussi poser un problème de méthode. Un particulier qui se fait passer pour un client n’agit pas sous commission rogatoire. Ce qu’il obtient peut éclairer une enquête. Ce qu’il obtient peut aussi être contesté si une procédure formelle exige d’autres garanties. Le récit ne tranche pas ce point. Il indique seulement que le matériau a circulé.

Dans les affaires attribuées à la Corée du Nord, la coopération internationale est le goulet. Un gel à Singapour, un comptoir à Hong Kong, un opérateur qui parle depuis un groupe Telegram, une victime aux Émirats ou ailleurs : les pièces ne sont jamais dans le même tiroir. Plus le dossier arrive tôt, plus le gel a une chance. Dix-huit mois après le vol, une fenêtre sur 442 000 dollars reste utile. Elle n’est plus celle des premières 48 heures.

Le rôle singulier de ZachXBT dans l’écosystème

ZachXBT n’est pas un service de police. C’est un enquêteur indépendant, devenu une source régulière pour la presse et pour une partie des équipes de sécurité du secteur. Sa méthode habituelle repose sur le croisement d’adresses, de fuites, de captures et de signalements communautaires. L’opération décrite en octobre 2026 ajoute une couche plus engagée : l’usage de fonds propres à grande échelle pour tenir un rôle de client.

Cette évolution change le statut de l’enquêteur. Observer des transactions est une activité d’analyse. Payer un intermédiaire pour qu’il parle est une activité d’infiltration. Les risques ne sont pas les mêmes. Il y a le risque de perdre le capital. Il y a le risque d’être identifié. Il y a le risque de manipuler, même brièvement, des fonds dont la provenance est trouble. Il y a aussi le risque de crédibiliser, par ses volumes, un opérateur que l’on cherche à affaiblir.

Le secteur a pourtant besoin de ce type de pont. Les équipes internes des exchanges voient leurs propres dépôts. Elles voient mal les comptoirs qui n’ouvrent jamais de compte chez elles. Les forces de l’ordre voient les plaintes. Elles voient mal les groupes Telegram où se négocient les lots. Un enquêteur qui circule entre les deux mondes comble un vide. Il le comble sans mandat, ce qui est à la fois sa force et sa limite.

Pourquoi les groupes publics restent une mine

On imagine souvent le blanchiment comme une affaire de salons fermés. Une partie l’est. Une autre se passe au grand jour, dans des groupes où des opérateurs publient des taux, des délais et des preuves de paiement. La visibilité est leur acquisition client. Elle est aussi leur faille. ZachXBT dit avoir repéré ses cibles dans des groupes publics Telegram et Discord. Le détail mérite d’être souligné, parce qu’il contredit l’idée d’un réseau invisible.

Un opérateur qui cherche du volume doit être trouvable. Un opérateur trouvable peut être approché. Un opérateur approché peut être testé avec de petits montants, puis avec des montants qui ressemblent à ceux d’un vrai client. La gradation fait partie de la méthode. Brûler la couverture trop tôt, c’est perdre le canal. Attendre trop longtemps, c’est laisser partir le lot.

Les plateformes de messagerie ne sont pas des blockchains. Elles ne garantissent ni l’identité ni la conservation des messages. Un enquêteur prudent archive. Un tribunal exigera souvent plus qu’une capture. D’où l’importance, dans ce récit, du retour vers les adresses. La messagerie ouvre la porte. La chaîne publique la verrouille, ou non.

Solana comme chambre de compensation informelle

Que le cluster décrit se trouve sur Solana n’étonne pas ceux qui suivent les flux de stablecoins. Des frais faibles permettent de fragmenter un lot en dizaines de transferts sans manger la marge. Une finalité rapide permet à un intermédiaire de prouver un envoi en quelques secondes. Les ponts vers d’autres chaînes permettent ensuite de sortir du périmètre observé. Pour un blanchisseur, Solana n’est pas une idéologie. C’est un outil.

Pour un enquêteur, c’est une contrainte de veille. Il faut surveiller les adresses au moment où elles bougent, pas trois semaines plus tard. L’information humaine sert exactement à cela : savoir quand regarder. Sans la confidence sur un prochain mouvement, un analyste peut rater une fenêtre de quelques heures. Avec elle, il peut préparer un signalement avant que les jetons ne quittent un émetteur coopératif.

Les 12 millions associés au cluster restent une estimation liée au récit. Ils indiquent un ordre de grandeur, pas un coffre scellé. Une partie a pu être convertie. Une partie a pu être déjà sortie. Une partie a pu ne jamais être gelable. Le chiffre utile pour le public est double : plus de 12 millions reliés, environ 442 000 gelés. Le ratio dit la difficulté mieux qu’un slogan.

Tether, le gel, et le pouvoir des émetteurs

Le gel de 442 000 USDT rappelle une réalité que les maximalistes de la décentralisation aiment oublier. Un stablecoin émis par une société peut être bloqué par cette société. Tether l’a déjà fait dans d’autres affaires, à la demande d’autorités ou après des signalements documentés. Ce pouvoir n’existe pas pour le bitcoin natif. Il existe pour l’USDT, sous conditions, et dans les limites des jetons encore détenus sur des adresses que l’émetteur peut lister.

Cette asymétrie oriente les blanchisseurs. Ils cherchent à sortir des stablecoins gelables vers des actifs plus rigides, ou vers des comptoirs qui convertissent hors chaîne. Ils cherchent aussi à fragmenter avant qu’un signalement n’arrive. L’infiltration vise à raccourcir ce délai. Si l’opérateur annonce un mouvement, le signalement peut précéder la sortie. Si l’opérateur a déjà converti, le gel ne mord plus que le reliquat.

442 000 dollars, ce n’est pas négligeable pour un particulier. C’est une miette face à 1,5 milliard. La valeur de l’opération se juge aussi autrement : par les adresses exposées, par le mode opératoire documenté, par la possibilité de reconnaître le même prestataire sur un prochain lot. Un gel modeste peut valoir plus qu’un thread spectaculaire s’il ferme une porte réutilisable.

Ce que Bybit peut, et ne peut pas, attendre

Bybit a déjà vécu la phase aiguë du vol, l’attribution, la communication, et les mois de suivi. Une annonce d’infiltration en octobre 2026 ne réécrit pas le bilan de février 2025. Elle ajoute une pièce. L’exchange peut espérer un complément de preuve, un gel supplémentaire, peut-être une restitution partielle si une procédure aboutit. Il ne peut pas comptabiliser 12 millions comme récupérés.

Les victimes institutionnelles de ce type de hack apprennent vite à séparer la communication de la trésorerie. Annoncer qu’un enquêteur a documenté un circuit rassure les utilisateurs. Annoncer qu’un montant est gelé est plus précis. Annoncer qu’il est restitué exige un virement. Le récit public du 5 octobre reste au deuxième niveau. C’est déjà plus que la plupart des threads d’investigation, qui s’arrêtent au premier.

Pour les clients de l’exchange, la leçon est plus simple. Un piratage de cette taille ne se résout pas par un article. Il se résout, quand il se résout, par des années de saisies partielles. La transparence consiste à dire où l’on en est, pas à additionner les pistes comme si elles étaient des remboursements.

Les limites d’une enquête menée avec ses propres fonds

Engager 3,5 millions de dollars personnels n’est pas une méthode reproductible. Peu d’enquêteurs indépendants disposent de cette trésorerie. Peu d’exchanges accepteraient de financer ouvertement une infiltration de ce type, par peur du risque juridique et du risque d’image. Le récit décrit donc une exception, pas un nouveau standard industriel.

L’exception a un coût caché. Elle concentre le savoir dans les mains d’une personne. Si cette personne archive mal, le dossier s’affaiblit. Si elle est compromise, le canal se ferme. Si elle se trompe d’opérateur, elle finance un circuit sans obtenir de preuve utile. La décentralisation de l’enquête, souvent vantée dans la crypto, montre ici son revers : pas de hiérarchie, pas de budget formalisé, pas de contrôle externe sur la méthode.

On peut néanmoins comprendre le calcul. Attendre un mandat, c’est parfois attendre que le lot ait quitté la zone gelable. Agir en client, c’est prendre un risque privé pour produire un renseignement que les institutions pourront, ensuite, exploiter. Le débat n’est pas de savoir si la méthode est élégante. Il est de savoir si le renseignement obtenu justifie le risque pris. Sur ce point, le gel annoncé est un argument. Il n’est pas une absolution.

Ce que cette affaire dit du blanchiment crypto en 2026

Dix-huit mois après un vol record, des intermédiaires discutent encore de lots liés à Bybit. Ce simple fait dit l’état du marché gris. Les outils de suivi ont progressé. Les coopérations entre exchanges aussi. Pourtant, une demande de conversion discrète trouve encore preneur, avec un spread de quelques pourcents, dans des groupes publics. L’industrialisation du blanchiment n’a pas besoin d’être parfaite. Elle a besoin d’être assez liquide.

Les stablecoins restent le carburant de cette liquidité. Ils offrent une unité de compte stable, des frais prévisibles, et, pour les émetteurs, un levier de gel que le bitcoin n’a pas. Les blanchisseurs le savent. Ils les utilisent quand même, parce que la vitesse compense le risque, tant que le signalement arrive trop tard. L’infiltration de ZachXBT est une tentative de renverser ce retard.

Le pair-à-pair asiatique, malgré les interdictions domestiques, continue d’absorber des volumes. Des rapports de chaîne, dont ceux de Chainalysis sur l’activité en Chine, décrivent depuis des mois une demande qui ne disparaît pas avec les décrets. Cette demande n’est pas tout entière criminelle. Elle crée toutefois un bruit de fond dans lequel un lot volé peut se fondre, si l’intermédiaire ne trie pas ses clients.

Comment lire une annonce d’enquêteur sans se faire embarquer

Une publication sur les réseaux n’est pas un jugement. Elle peut être exacte, partielle, ou orientée par le besoin de protéger une source. Pour la lire utilement, quelques réflexes suffisent. Séparer le capital engagé de la perte nette. Séparer les adresses identifiées des fonds gelés. Séparer les fonds gelés des fonds restitués. Demander qui a confirmé le gel, et sur quel périmètre. Ne pas traiter un pseudonyme comme une identité.

Dans le cas présent, plusieurs éléments se recoupent avec des faits déjà publics : la date du hack, le montant d’environ 1,5 milliard, l’attribution du FBI sous le nom TraderTraitor, la dispersion multi-chaînes. L’infiltration, les montants engagés, le pseudonyme et le lien Solana relèvent du récit de l’enquêteur, appuyé par un gel annoncé. Un lecteur rigoureux peut tenir les deux ensembles sans les fusionner.

Le sensationnalisme commence quand on additionne 3,5 millions, 12 millions et 442 000 comme s’il s’agissait de la même chose. Ce sont trois mesures différentes. La première est un engagement. La deuxième est un cluster relié. La troisième est un gel. Les confondre, c’est offrir un titre. Les distinguer, c’est comprendre l’affaire.

Ce que les exchanges peuvent en tirer

La leçon opérationnelle n’est pas d’envoyer des millions à des inconnus sur Telegram. Elle est de traiter le renseignement humain comme un complément du monitoring, pas comme un folklore. Un signalement d’adresse arrive souvent trop tard. Un signalement qui dit « ce comptoir va bouger tel stablecoin dans les prochaines heures » arrive parfois à temps. Encore faut-il avoir un canal pour le recevoir, et une procédure pour le vérifier sans le publier.

Les équipes de conformité peuvent aussi retenir le coût du spread. Un écart de 5 % n’est pas un bruit de marché. C’est un prix de contournement. Quand ce prix se paie de façon répétée vers les mêmes grappes d’adresses, il mérite une alerte, même si chaque transaction isolée reste sous les seuils. Le récit de ZachXBT décrit exactement ce genre de régularité : plusieurs allers-retours, une relation qui s’installe, puis des confidences.

Enfin, les exchanges victimes ont intérêt à dire clairement ce qui est gelé et ce qui ne l’est pas. Le silence laisse la place aux threads. La précision réduit la rumeur. Dans une affaire déjà attribuée publiquement par le FBI, la transparence sur les suites ne fragilise pas l’enquête. Elle cadre ce que le public peut espérer.

Ce que les utilisateurs peuvent en retenir

Pour un détenteur de cryptomonnaies, l’affaire ne change pas les règles de base. Un exchange peut être vidé par une intrusion ciblée, même s’il est majeur. Les fonds qui quittent la plateforme en quelques heures deviennent très difficiles à récupérer en totalité. Les stablecoins offrent un levier de gel que les actifs natifs n’offrent pas. Aucun de ces points n’est nouveau. L’infiltration d’octobre les illustre avec des chiffres frais.

Elle illustre aussi autre chose. Le secteur dispose d’enquêteurs capables de jouer un rôle que les institutions jouent mal. Ce rôle a un prix, parfois littéral. Il ne remplace ni la police, ni les tribunaux, ni la conservation des preuves. Il peut, dans le meilleur des cas, ouvrir une fenêtre de quelques heures sur un circuit qui se croyait anonyme.

Le reste est une affaire de suite. Si les 442 000 USDT restent gelés, si d’autres adresses sont bloquées, si un intermédiaire est identifié au-delà de son pseudonyme, le récit du 5 octobre deviendra un chapitre. S’il reste isolé, il restera un exemple de méthode, spectaculaire par le capital engagé, modeste par le montant arrêté. Les deux lectures sont compatibles. Elles dépendent de ce qui se passe après la publication.

Le chiffre qui circule n’est pas le chiffre qui revient. Entre les deux, il y a un gel, une procédure, et souvent beaucoup moins d’argent qu’annoncé.

C’est peut-être la phrase à garder. ZachXBT a décrit une infiltration, un engagement de l’ordre de 3,5 millions, un cluster de plus de 12 millions et un gel d’environ 442 000 USDT. Bybit a subi, en février 2025, un vol d’environ 1,5 milliard attribué par le FBI à TraderTraitor. Entre ces ordres de grandeur, il n’y a pas de contradiction. Il y a la réalité d’un butin éclaté, d’un prestataire bavard, et d’une fenêtre étroite. L’affaire ne se ferme pas avec un thread. Elle se juge à ce que les prochains gels, et les éventuelles restitutions, en feront.