Entre le dimanche 1er et le lundi 2 novembre 2026, plus de 100 millions de dollars en USDC sont sortis, en 21 heures, de comptes ouverts chez Kraken, Crypto.com et OKX. L'enquêteur on-chain ZachXBT chiffre désormais le vol à plus de 133 millions de dollars, au détriment d'une entité européenne qui ne s'est pas manifestée. Kraken a restreint les comptes concernés et assure que ses systèmes n'ont pas été compromis.
Ce n'est donc pas un piratage de Kraken. C'est le vol des fonds d'un client, dont les comptes ont été vidés. Toute la question est de savoir comment, et pourquoi personne ne l'a signalé.
Cet article fait le point au 4 novembre. Plusieurs chiffres circulent, et aucun n'est officiel : ils viennent d'enquêteurs qui reconstituent les flux sur la blockchain.
Ce qu'il faut retenir :
- Kraken n'a pas été piraté. La plateforme dit que l'incident n'est pas parti de chez elle, qu'aucun compte client n'a été pris en main et qu'il n'y a aucun risque pour ses clients.
- Le montant : plus de 133 millions de dollars selon ZachXBT, dont 108,8 millions retracés sur Ethereum par Bitquery.
- La victime n'est pas confirmée. Aucune entreprise n'a reconnu de perte.
- Peu de fonds gelés : environ 1,14 million de dollars en USDT. Une grande partie du butin a été convertie en ETH en quatre heures.
Vos accès sont-ils aussi solides que vos placements ? Le RIFT Score évalue en 3 minutes la robustesse de votre portefeuille, sécurité et répartition des points de garde comprises. Gratuit.
Ce qui s'est passé
Le dimanche 1er novembre, à 12 h 25 UTC, un premier retrait part d'un compte OKX. Kraken suit 44 minutes plus tard. Selon la reconstitution de Bitquery, la quasi-totalité des fonds sort ensuite en quelques heures, vers 15 portefeuilles :
| Heure (UTC) | Ce qui se passe |
|---|---|
| Dim. 1er nov., 12 h 25 | Premier retrait, depuis un compte OKX |
| Dim. 1er nov., 20 h à 23 h | 73,2 millions de dollars sortent, deux tiers du total |
| Dim. 1er nov., 23 h 10 | 98 % des fonds sont partis |
| Dim. 1er nov., 23 h 44 | Un nouveau portefeuille commence à vendre les stablecoins contre de l'ETH |
| Lun. 2 nov., 09 h 09 | Dernier retrait |
Au total, Bitquery compte 108,8 millions de dollars en USDC sortis des comptes ouverts chez les trois plateformes. Kraken en a versé l'essentiel : environ 95 % du total, en 178 retraits.
Le lundi 2 novembre, ZachXBT signale publiquement un vol de plus de 106 millions de dollars au détriment d'une entité de l'Union européenne. Le lendemain, il relève son estimation à plus de 133 millions de dollars, après avoir identifié 27 millions de retraits supplémentaires, dont certains effectués après sa première alerte.
Pourquoi les chiffres ne concordent pas
| Source | Montant | Ce qu'il couvre |
|---|---|---|
| ZachXBT (2 nov.) | Plus de 106 M$ | Première estimation |
| Bitquery (3 nov.) | 108,8 M$ | USDC retirés vers 15 portefeuilles, sur Ethereum uniquement |
| ZachXBT (3 nov.) | Plus de 133 M$ | Estimation mise à jour, toutes chaînes |
Bitquery limite son analyse à Ethereum : le reste du montant de ZachXBT se trouve peut-être sur d'autres blockchains. ZachXBT estime aussi que le total réel pourrait être plus élevé, en tenant compte de transactions de gré à gré.
Ce que Kraken a dit
Kraken distingue clairement deux choses : le vol lui-même, et le passage d'une partie des fonds par sa plateforme. Dans une déclaration transmise à Cointelegraph, la plateforme indique que « cet incident n'est pas parti de la plateforme Kraken », qu'elle enquête sur des informations selon lesquelles une partie des actifs a ensuite transité par des comptes chez elle, et qu'elle a restreint les comptes concernés. Elle dit travailler avec les forces de l'ordre pour aider à récupérer les fonds.
Kraken précise aussi que ses systèmes de sécurité n'ont pas été compromis, qu'aucun compte client n'a été pris en main et qu'il n'y a aucun risque en cours pour ses clients. La plateforme n'a pas dit combien de comptes elle a restreints, ni quel montant est immobilisé.
Les deux autres plateformes ont réagi aussi :
- Crypto.com dit avoir pris des mesures pour empêcher les fonds liés à cet « incident tiers » de circuler sur sa plateforme, et assure que les fonds de ses utilisateurs sont en sécurité.
- OKX a indiqué examiner le dossier.
Le mardi 3 novembre au matin, Bitquery a vu 396 ETH arriver sur une adresse de dépôt Kraken, en provenance des portefeuilles de l'attaquant. Kraken sait à qui appartient le compte crédité, ce qui peut aider l'enquête.
Où est passé l'argent ?
L'attaquant n'a pas attendu. Dès le dimanche soir, un nouveau portefeuille a commencé à vendre les stablecoins : 62,98 millions de dollars de USDC et USDT ont été convertis en 27 553 ETH en environ quatre heures, via UniswapX. Une autre partie a été échangée contre du DAI.
Ce choix n'a rien d'un hasard. L'USDC et l'USDT sont émis par des sociétés, Circle et Tether, qui peuvent geler les jetons d'une adresse. L'ETH et le DAI, non. Convertir vite, c'est se mettre hors de portée d'un gel.
Résultat, au 3 novembre à 13 h 27 UTC, selon Bitquery :
- Environ 61 millions de dollars étaient encore sur des adresses liées à l'attaquant, surtout en ETH.
- Environ 50,3 millions étaient déjà sortis de ces adresses.
- Tether a gelé 1,14 million d'USDT.
- Circle n'avait gelé aucun des 2,53 millions d'USDC restants. Bitquery dit ne pas savoir si quelqu'un lui a demandé d'agir.
ZachXBT ajoute que l'attaquant fait passer une partie des fonds par des services d'échange instantané et des ponts entre blockchains, vers l'ETH et le Monero, une cryptomonnaie conçue pour rendre les transactions intraçables. Selon lui, le mode opératoire ne ressemble pas à celui du groupe nord-coréen Lazarus.
Qui est la victime ?
Personne ne le sait officiellement. Bitquery dit ne pas pouvoir l'identifier : sur la blockchain, elle ressemble à une entreprise de trading ou de paiement qui gère ses fonds depuis des portefeuilles classiques, et qui utilisait Kraken depuis mai, Crypto.com depuis octobre, ainsi qu'OKX. Bitquery présente lui-même cette lecture comme fragile.
ZachXBT, lui, pense à une grande institution financière d'Europe de l'Ouest. Le 4 novembre, il a avancé le nom d'une banque, qui n'a ni confirmé ni démenti. Nous ne la nommons pas tant que rien n'est confirmé : aucun élément public ne relie, à ce stade, cette banque aux flux observés.
ZachXBT va plus loin et accuse la victime d'étouffer l'affaire. Selon lui, l'absence de signalement a laissé filer plus de 30 millions de dollars qui auraient pu être gelés si les plateformes et la police européenne avaient été prévenues à temps. Cette accusation n'est pas démontrée. L'absence d'annonce publique ne prouve pas non plus qu'aucune autorité n'a été prévenue en toute discrétion.
Reste la question centrale : comment l'attaquant a-t-il pu vider des comptes ouverts sur trois plateformes différentes ? Personne ne l'a expliqué. Bitquery pose une piste sans conclure : si ces comptes utilisaient une liste blanche d'adresses de retrait, l'attaquant a pu y ajouter les siennes. Autrement dit, il avait probablement un accès complet aux comptes de la victime.
Ce que ce vol rappelle pour vos propres comptes
Le scénario le plus probable n'a rien d'exotique : quelqu'un a obtenu l'accès aux comptes d'un client, et a retiré les fonds comme l'aurait fait le titulaire. Aucune plateforme ne peut distinguer un retrait frauduleux d'un retrait légitime si l'attaquant a les bons accès. C'est vrai pour une entreprise comme pour un particulier.
Quatre réflexes réduisent fortement ce risque :
- Une double authentification solide. Une clé physique ou une application d'authentification, jamais le SMS seul, qu'un attaquant peut détourner en récupérant votre numéro.
- Une liste blanche d'adresses de retrait. Si votre plateforme le propose, limitez les retraits à des adresses enregistrées, avec un délai avant qu'une nouvelle adresse soit utilisable. Ce délai vous laisse le temps de réagir.
- Un e-mail dédié et protégé. C'est souvent par la boîte mail que tout commence : réinitialisation de mot de passe, validation de retrait. Protégez-la au moins autant que le compte lui-même.
- Le minimum sur la plateforme. Gardez sur l'exchange ce que vous tradez ou comptez utiliser à court terme, et le reste sur un hardware wallet dont vous seul détenez les clés.
Ce vol montre aussi que la vitesse compte. Les stablecoins ont été convertis en ETH en quatre heures, précisément pour échapper à un gel. Si vous êtes victime d'un vol, prévenez immédiatement les plateformes concernées et, si des stablecoins sont en jeu, leur émetteur. Chaque heure perdue réduit les chances de récupérer quelque chose.
Notre guide pour sécuriser son portefeuille crypto en 2026 détaille ces protections, du phishing au vol de numéro de téléphone.
Passer vos cryptos long terme en cold storage Sur un hardware wallet, vos clés privées ne quittent jamais l'appareil : un accès volé à votre compte d'exchange ne peut pas y toucher. Notre guide quelle Ledger choisir fait le tri selon votre profil.
👉 Commander une Ledger (10 $ de BTC offerts via notre lien) lien affilié · 📘 Détails de l'offre Ledger
Et si vous avez un compte Kraken ?
Rien à faire de particulier. Kraken n'a pas été piraté, et la plateforme dit qu'aucun compte client n'a été pris en main. Les comptes restreints sont ceux par lesquels sont passés les fonds volés.
Comme après chaque affaire médiatisée, méfiez-vous en revanche des messages qui se servent de l'actualité : faux e-mails de « vérification de compte », faux support sur Telegram, liens de « sécurisation urgente ». Passez uniquement par l'application ou le site officiel.
Pour le cadre réglementaire de la plateforme en France, notre article sur Kraken et MiCA détaille sa licence et ce qu'elle couvre.
Notre avis
Kraken et Crypto.com ont fait ce qu'on attend d'une plateforme dans ce cas : restreindre les comptes, bloquer les fonds et coopérer avec les forces de l'ordre. Le vrai problème est en amont. D'après les données disponibles, plus de 100 millions de dollars ont pu sortir de comptes en quelques heures sans que rien ne bloque les retraits, puis l'alerte publique est venue d'un enquêteur indépendant, pas de la victime.
Pour un investisseur particulier, la leçon est la même que pour une institution : la sécurité d'une plateforme ne protège pas un compte dont les accès sont compromis. Dans les portefeuilles que nous accompagnons chez RIFT, la protection des accès fait partie des premiers points que nous vérifions, avec la part du capital laissée sur les plateformes.
La sécurité fait partie de la structure d'un portefeuille, pas d'une option à ajouter après. La formation RIFT-360 couvre la répartition des points de garde, le risque de contrepartie et la construction d'une allocation qui tient dans la durée, avec la méthode que nos coachs appliquent sur les portefeuilles de nos membres.
FAQ
Kraken a-t-il été piraté ? Non. Kraken dit que l'incident n'est pas parti de sa plateforme, que ses systèmes de sécurité n'ont pas été compromis et qu'aucun compte client n'a été pris en main. Des fonds volés ont transité par des comptes chez Kraken, que la plateforme a restreints.
Combien a été volé ? Plus de 133 millions de dollars selon ZachXBT, qui avait d'abord estimé le vol à plus de 106 millions. Bitquery retrace 108,8 millions de dollars en USDC sur Ethereum. Aucun chiffre officiel n'a été publié.
Qui est la victime ? Elle n'est pas confirmée. Une entité de l'Union européenne, selon ZachXBT, qui pense à une grande institution financière d'Europe de l'Ouest. Aucune entreprise n'a reconnu de perte.
Les fonds volés peuvent-ils être récupérés ? En partie, peut-être. Tether a gelé environ 1,14 million d'USDT, et les comptes restreints chez Kraken et Crypto.com peuvent aider l'enquête. Mais une grande partie a été convertie en ETH, que personne ne peut geler, et une autre est passée vers le Monero.
Mes fonds sur Kraken sont-ils en danger ? Selon Kraken, non : la plateforme dit qu'il n'y a aucun risque en cours pour ses clients. Ce vol rappelle surtout de bien protéger l'accès à vos propres comptes, avec une double authentification solide et une liste blanche d'adresses de retrait.
Est-ce lié au piratage de Binance ? Rien ne l'indique. Le piratage de Binance, fin octobre, a touché les portefeuilles de la plateforme elle-même et a été attribué à la Corée du Nord par le FBI. Ici, ce sont les comptes d'un client qui ont été vidés, et ZachXBT estime que le mode opératoire ne ressemble pas à celui de Lazarus. Tout le contexte est dans notre article sur le piratage de Binance.
Sources
- Cointelegraph : Kraken restricts accounts linked to suspected $133M EU crypto theft (3 novembre 2026)
- Bitquery : $106M Crypto Hack, $108.8M Traced, $61.0M Still on Ethereum (données lues les 2 et 3 novembre 2026)
- Journal du Coin : Kraken gèle des comptes après un vol de 133 millions de dollars en Europe (3 novembre 2026)
