Où finissent réellement les cryptomonnaies volées : au cœur d'un circuit de blanchiment de 45 jours

Six ans, plus de 16 milliards de dollars disparus

Le vol de cryptomonnaies n’est plus une phase que le secteur des actifs numériques est en train de surmonter progressivement, mais un secteur à part entière. À ce jour, rien qu’au cours des cinq dernières années, les enquêteurs spécialisés dans la blockchain ont recensé des montants volés en forte hausse (3,7 milliards de dollars en 2022, 1,7 milliard de dollars en 2023, 2,2 milliards de dollars en 2024 et 3,4 milliards de dollars en 2025), des chiffres qui ne montrent aucun signe de ralentissement.

En effet, il convient de mentionner que près de la moitié du total de l’année dernière provenait d’un seul événement, à savoir le piratage de Bybit en février 2025, au cours duquel les attaquants ont compromis le processus de signature du portefeuille froid de la plateforme d’échange et se sont enfuis avec 1,5 milliard de dollars (ce qui en fait le plus grand vol de cryptomonnaies de l’histoire).

Le premier semestre de cette année a été étrangement similaire, avec environ 1,1 milliard de dollars de pertes répartis sur un nombre record de 212 incidents, selon la société de sécurité Blockaid. Le plus gros coup porté a été l’exploitation, le 19 avril, du protocole de restaking KelpDAO (pour un montant de 293 millions de dollars), et TRM Labs a recensé 207 incidents au cours de ces six mois, soit plus du double par rapport à la même période l’année précédente.

Le scénario en 45 jours

Ce qui se passe généralement après les vols susmentionnés ressemble désormais presque à un scénario préétabli, les chercheurs décrivant un cycle de blanchiment caractéristique qui s’étend sur environ 45 jours en trois vagues.

Du jour zéro au jour cinq, la rapidité est primordiale : les tokens volés sont généralement échangés via des protocoles de finance décentralisée (DeFi) (l’activité connaît des pics pouvant atteindre 370 %) puis acheminés vers des services de mixage, qui regroupent et mélangent les cryptomonnaies afin de rompre le lien entre la source et la destination. Du sixième au dixième jour, les fonds passent d’une chaîne à l’autre via des ponts inter-chaînes et transitent par des plateformes d’échange appliquant des contrôles « Know Your Customer » (KYC) limités.

Ensuite, du 20e au 45e jour environ, les cryptomonnaies sont converties en espèces par petites tranches (généralement inférieures à 500 000 dollars afin de rester en dessous des seuils de déclaration) via des plateformes sans KYC, des échangeurs instantanés, des réseaux de gré à gré (OTC) en langue chinoise et des services de garantie tels que la place de marché Huione, soumise à des sanctions. Par conséquent, à la fin du cycle, l’argent a traversé tant de chaînes, de mélangeurs et de juridictions que, même si l’attribution reste possible (puisque les blockchains n’oublient jamais), le recouvrement l’est rarement. Pour mettre les choses en perspective, moins de 5 % des fonds volés à Bybit ont pu être récupérés, alors même que la plateforme disposait de certains des meilleurs « white hats » à ses côtés.

2026 : davantage de piratages, des butins moins importants

Cette année, les attaquants ont élargi leurs cibles car, outre les failles de protocole comme celle de KelpDAO, le mois d’avril a à lui seul établi un record mensuel avec 641,67 millions de dollars volés. Des groupes nord-coréens liés à Lazarus sont à l’origine d’environ 55 % des pertes du premier semestre, et le décompte de CertiK, qui inclut le phishing et les virements illicites depuis des portefeuilles personnels, estime les dommages de cette période à 1,32 milliard de dollars pour 344 incidents.

Plus récemment, l’exploitation du portefeuille matériel Coldcard a montré à quel point ce mode opératoire s’adapte également au bitcoin. Après avoir vidé environ 116 millions de dollars de portefeuilles à graine faible, le pirate a commencé à regrouper ses cryptomonnaies sous le regard attentif des observateurs qui suivaient chaque étape. À la lumière de cet incident, les principaux arguments de vente du bitcoin, à savoir la transparence et l’irréversibilité, sont devenus des armes à double tranchant presque du jour au lendemain : en effet, même si tout le monde pouvait voir les cryptomonnaies volées circuler, personne ne pouvait les récupérer.

Pourquoi la récupération n’a presque jamais lieu

Lorsque toutes ces attaques se produisent, le seul levier qui a maintes fois fait ses preuves est le gel centralisé des stablecoins. Tether et Circle peuvent mettre des adresses sur liste noire au niveau des contrats, bloquant instantanément tout USDT ou USDC encore détenu par les voleurs ; c’est précisément pour cette raison que les attaquants sophistiqués convertissent les stablecoins volés en ether ou en bitcoin dans les minutes qui suivent une intrusion, acceptant le risque de fluctuation des cours pour échapper à la zone de gel.

C’est une asymétrie révélatrice : les actifs les plus résistants à la censure sont les plus faciles à blanchir, tandis que ceux qui se prêtent le mieux au gel sont les plus faciles à récupérer. Chaque stratégie de blanchiment est en fin de compte une course pour transformer ce qui est « saisissable » en « insaisissable » avant que quiconque disposant d’un « bouton pause » ne s’en aperçoive.

Le calcul dérangeant du vol de cryptomonnaies est que la prévention représente la quasi-totalité de la stratégie. Les plateformes d’échange et les sociétés d’analyse peuvent geler les fonds qui transitent par des plateformes conformes, ce qui explique précisément pourquoi les blanchisseurs privilégient d’emblée la DeFi et les mixeurs, où personne ne peut rien geler.

Les sanctions visant les mixeurs et les services comme Huione augmentent les coûts, mais se contentent de détourner les flux vers d’autres acteurs plutôt que de les arrêter. Et le délai de 45 jours signifie qu’au moment où une procédure judiciaire transfrontalière est enfin engagée, les cryptomonnaies ont généralement déjà achevé leur parcours.

Pour les utilisateurs et les plateformes, la leçon à retenir est qu’une fois volés, la grande majorité de leurs fonds ne reviendront jamais. De plus, le cycle des attaquants est plus rapide que celui de la mise en conformité, et chaque année où l’on lit dans les gros titres que « les vols de cryptomonnaies sont en baisse », le prochain contre-exemple d’un milliard de dollars est déjà en marche. La blockchain enregistre tout et ne rend rien.