Controverse rond het blokkeren van USDC: ZachXBT beweert dat Circle 16 legitieme wallets heeft geblokkeerd en echte hacks over het hoofd heeft gezien

Belangrijkste punten:

• Onchain-onderzoeker ZachXBT identificeerde 15 gevallen met in totaal meer dan 420 miljoen dollar aan illegale USDC-stromen die Circle sinds 2022 niet onmiddellijk heeft bevroren.
• Bij de exploit van het Drift Protocol werd 232 miljoen USDC in 6 uur tijd via Circle's eigen CCTP overgezet, zonder dat deze tijdens Amerikaanse kantooruren werd bevroren.
• Circle bevroor 16 legitieme zakelijke wallets in een civiele zaak in maart 2026, waaronder het ckETH Minter-contract van de DFINITY Foundation, waarvan er later 5 werden ontdooid.

Heeft Circle nagelaten gestolen USDC te bevriezen? ZachXBT zegt van wel, met bewijzen

De thread, getiteld "Welcome to the Circle USDC files", werd op X geplaatst en beschreef specifieke hacks, fraude en diefstalzaken die verband hielden met Noord-Korea, waarbij Circle de technische mogelijkheid en contractuele bevoegdheid had om USDC-wallets te bevriezen of op een zwarte lijst te zetten, maar niet onmiddellijk of helemaal niet handelde. ZachXBT haalde on-chain adressen, transactietijdlijnen en communicatie aan waarbij wetshandhavers, slachtoffers en beveiligingsbedrijven uit de privésector betrokken waren.

Onder de gevallen noemde ZachXBT de Drift Protocol-exploit van 1 april 2026, die door blockchain-analysebedrijf Elliptic werd toegeschreven aan de Noord-Koreaanse Lazarus Group, als een opvallend voorbeeld. Aanvallers brachten meer dan 232 miljoen USDC over van Solana naar Ethereum met behulp van Circle's eigen Cross-Chain Transfer Protocol in meer dan 100 transacties gedurende zes uur tijdens Amerikaanse kantooruren. Circle heeft geen bevriezing doorgevoerd.

In zijn bericht belicht ZachXBT de Swapnet-exploit van 25 januari 2026, waarbij 16 miljoen dollar werd gestolen. 3 miljoen USDC bleef twee dagen lang toegankelijk terwijl wetshandhavers en particuliere onderzoekers verzoeken om tijdelijke bevriezing indienden die door Circle werden afgewezen. Het geld werd overgezet voordat een gerechtelijk bevel kon worden verkregen.

Bij de hack van het Cetus Protocol op 22 mei 2025 namen aanvallers 223 miljoen dollar mee en verplaatsten ze 61 miljoen USDC via de infrastructuur van Circle in 90 minuten. Circle zette de fondsen een maand later op de zwarte lijst, nadat ze al waren omgezet in Ether.

ZachXBT wees ook op de Mango Markets-exploit van oktober 2022, waarbij 57,5 miljoen dollar via een Circle-stortingsadres werd geleid en nooit on-chain werd bevroren. De exploiter werd later aangeklaagd door de Amerikaanse Securities and Exchange Commission (SEC). Bij de Nomad Bridge-hack van augustus 2022 stond ongeveer 45 miljoen dollar aan USDC gedurende 30 tot 45 minuten vrij om te worden bevroren, na een inbreuk van 190 miljoen dollar. Hij zegt dat Circle niet heeft ingegrepen.

De onderzoeker merkte op dat Circle 4,5 maanden langer nodig had dan Tether, Paxos en andere uitgevers van stablecoins om adressen te bevriezen die in verband werden gebracht met de Lazarus Group en die in een rapport van april 2024 waren gesignaleerd. Hij documenteerde ook vertraagde reacties met betrekking tot Garantex, de gesanctioneerde Russische beurs, waar meer dan 200.000 USDC onaangeroerd bleef terwijl Tether in een parallelle actie 22 miljoen dollar bevroor.

Het officiële standpunt van Circle, dat via verklaringen van woordvoerders aan de media is bekendgemaakt, is dat het bedrijf activa alleen bevriest wanneer dit wettelijk vereist is, bijvoorbeeld in reactie op sancties, bevelen van wetshandhavingsinstanties of gerechtelijke bevelen. Het bedrijf zegt dat preventieve bevriezingen zonder wettelijke toestemming Circle blootstellen aan aansprakelijkheid en inbreuk maken op de rechten van gebruikers. De servicevoorwaarden staan discretionaire maatregelen toe, maar in de praktijk geeft het bedrijf voorrang aan formele juridische procedures.

ZachXBT erkende dat Circle kwaliteitsproducten bouwt en zei dat hij zelf USDC bezit. Zijn kritiek richt zich op de vraag of de nalevingsprioriteiten van Circle in verhouding staan tot de verliezen die het bredere crypto-ecosysteem lijdt wanneer bevriezingen worden uitgesteld of achterwege blijven.

Legitieme transacties bevroren

Een afzonderlijk incident versterkte de kritiek. Op of rond 23 maart 2026 bevroor Circle USDC-saldi in 16 niet-gerelateerde zakelijke wallets die verband hielden met een verzegelde Amerikaanse civiele zaak in New York, geïdentificeerd als ongeveer zaak 26-cv-2327. De wallets waren eigendom van cryptobeurzen, online casino's, forex-makelaars, betalingsverwerkers en het ckETH Minter-smartcontract dat wordt beheerd door de DFINITY Foundation, dat het Internet Computer Protocol met Ethereum verbindt.

ZachXBT noemde het mogelijk de meest incompetente bevriezing die hij in meer dan vijf jaar onderzoek had meegemaakt. Hij zei dat een eenvoudige on-chain analyse zou hebben aangetoond dat de wallets actieve operationele infrastructuur waren zonder duidelijke verbanden met elkaar of met de onderliggende civiele zaak.

Ten minste vijf van de 16 wallets werden later vrijgegeven, waaronder het contract van DFINITY en de wallet van Goated.com met ongeveer $131.000 aan USDC. Op het moment van rapporteren werden nog meer vrijgaven verwacht. Circle had op 4 april 2026 nog geen gedetailleerde openbare weerlegging van de volledige thread gepubliceerd.

De zaken roepen gezamenlijk directe vragen op over hoe een door de VS gereguleerde uitgever van stablecoins met hoofdkantoor in New York juridische voorzichtigheid afweegt tegen reële verliezen als gevolg van illegale activiteiten die via zijn infrastructuur worden gefaciliteerd.