Chez Kraken, un client vérifié ordinaire ne peut pas déposer plus de 100K$ par jour, et ses plafonds de retrait montent avec l'activité et l'ancienneté du compte⁵. Personne ne retire 9,6M$ d'un compte tout juste ouvert. Une telle opération suppose des moyens prêts avant le dimanche.

Voilà pourquoi, en réalité, le casse de la Toussaint commence bien avant, au printemps. Leurs comptes sont préparés, alimentés par petites sommes, mois après mois, pour faire monter les plafonds. Dans le jargon, des comptes chauffés. En remontant l'historique de chacun des 18 receveurs, Zero Bullshit a retrouvé les traces de la préparation : de mai à la fin octobre, 12 d'entre eux encaissent 132 retraits de Kraken et de Crypto.com, 2,34M$ au total. 5 des 6 adresses des gros retraits du dimanche sont alimentées depuis mai, juillet, août ou septembre. 3 autres adresses, qui ne font pas partie des 18 receveurs, reçoivent elles aussi des retraits de Kraken, 1,1M$ en tout, et en reversent une partie aux futurs receveurs.

Ce sont les adresses voisines de la préparation. Aucune ne figure dans les listes publiées par ZachXBT, l'enquêteur indépendant qui a révélé l'affaire. Toutes paient les mêmes destinataires et se paient parfois entre elles. Vues de loin, des particuliers qui achètent un peu de crypto et la font circuler. Le même argent a pu tourner plusieurs fois, mais pour retirer jusqu'à 133K$ d'une traite, il faut de vrais fonds. Au total, 2,34M$ passent par les receveurs pendant la chauffe, et la préparation immobilise plusieurs centaines de milliers de dollars pendant des mois, pour un butin qui n'arrive qu'à la fin. Il faut connaître la mécanique des plateformes sur le bout des doigts, et avoir de quoi l'alimenter.

Graphique 4 · Avant le vol

Zero Bullshit a relevé l'heure de chacun. Ces 132 retraits ont tous lieu entre 7h12 et 21h43, heure de Paris, et 11 seulement un samedi ou un dimanche. Horaires de bureau, pause déjeuner comprise. Ce rythme colle à un fuseau proche de celui de Paris, de Londres à Moscou, pas à l'Asie ni aux Amériques, où il tomberait en pleine nuit. Rien de tout cela ne livre un nom ni une nationalité : un compte se pilote de n'importe où. Reste un emploi du temps de semaine, tenu depuis l'Europe ou ses abords, 107 retraits sur 132 du lundi au jeudi. Comme si des travailleurs de bureau bien organisés avaient géré le casse du siècle depuis un open space à la moquette bleu pâle.

Le soir du casse, plus d'horaire. Le dimanche à 17h20, 3 comptes retirent en même temps, chacun avec son style. Dans la nuit, entre 1h et 7h, 2 comptes enchaînent encore 73 retraits en parallèle, jusqu'au lundi matin. La nuit suivante, plus rien ne bouge entre 1h et 7h. Extinction des feux. Plusieurs mains, des équipes qui se relaient et qui dorment, ou des programmes lancés à l'avance : la blockchain ne permet pas de trancher. Rien, en revanche, ne ressemble au travail d'un pirate isolé tombé 2 jours plus tôt sur une faille en tripotant Claude pendant la nuit.

Graphique 5 · À quelle heure

Les comptes passent les contrôles d'identité exigés en Europe, le KYC. Plusieurs sources proches des plateformes affirment qu'au moins 2 des identités utilisées sont fausses, tirées de fuites de données récentes. Le journaliste spécialisé en crypto Grégory Raymond rapporte lui aussi des KYC faux⁶. Les fuites ne manquent pas : en septembre, Revolut a reconnu avoir transmis des copies de pièces d'identité de clients, et peut-être des selfies de vérification, à un tiers qui se faisait passer pour une administration⁷. Kraken assure d'ailleurs qu'aucun compte n'a été piraté chez elle⁸. En réalité ces comptes n'ont pas besoin de l'être. Chauffés depuis le printemps, ils n'ont pas été détournés au dernier moment : ce sont les fraudeurs qui les pilotent, même quand ils sont ouverts au nom d'un autre, avec une identité volée. Ils ne servent qu'à changer des euros en dollars numériques, puis à les faire sortir.

Au centre de ce réseau, un portefeuille né fin décembre 2025 voit passer 6,9M$ volés à Arkéa. Dès janvier, il commerce avec une adresse qui lui fera suivre, le 1er novembre, une partie de l'argent volé, et qui traite déjà avec une autre du même réseau depuis l'automne 2024. Ce circuit appartient peut-être à des intermédiaires, des professionnels qui changent les cryptos de n'importe quel client contre une commission, plutôt qu'aux fraudeurs eux-mêmes : son ancienneté ne date pas forcément la préparation du casse. Entre mai et août, ce portefeuille central fait 2 petits envois qui ressemblent à des essais de sortie : 1,6K USDC vers la néobanque Revolut, puis 1,35K USDC vers Deblock, une néobanque française qui mêle compte en euros et cryptos, par une adresse ouverte chez Deblock le 5 août. Interrogée par Zero Bullshit, Deblock dit répondre aux demandes des autorités et ne jamais commenter la situation d'un compte ou d'une adresse. La société précise seulement que cette adresse n'a plus bougé depuis le 6 août. Toutes les autres plateformes gardent le même silence.

10 des 18 portefeuilles receveurs fonctionnent avec le « compte intelligent » de Trust Wallet, une application grand public. Un compte ordinaire signe ses opérations une par une et paie lui-même ses frais. Le compte intelligent permet d'en grouper plusieurs et de les faire exécuter, frais compris, depuis une autre adresse. Une adresse extérieure, active depuis août 2025 et forte de 11'500 transactions, relie la préparation et le vol. Entre le 31 août et le 4 novembre, elle envoie de quoi payer les frais de réseau, les petites sommes en ether exigées pour chaque transaction, à 38 portefeuilles du réseau, avant et pendant le vol. Un même payeur de frais, avant et pendant le vol : la chauffe et le casse sont branchés sur la même installation.

L'argent de la chauffe, lui, ne reste pas en place. Il passe d'une adresse du circuit à l'autre, puis ressort vers KuCoin, vers une adresse de dépôt de Bybit, attribuée à un client précis de la plateforme, ou se disperse : du 13 au 19 octobre, l'une des adresses du circuit envoie 694K$ en USDT, l'autre grand dollar numérique, à 37 adresses différentes. En octobre, le payeur de frais alimente aussi les destinataires de la chauffe, jusqu'à 348K$ pour l'un d'eux. Le 28 octobre, l'un des futurs receveurs verse 10,8K USDC à une adresse qu'un gros fournisseur d'USDT, plus de 3'800 transactions au compteur, approvisionne le même jour. Ce fournisseur y verse environ 180K$ jusqu'au 30 octobre, puis plus de 200K$ le 2 novembre, et cet argent rejoint le portefeuille central pendant le vol.

Graphique 6 · Qui alimente qui

Le calendrier n'a rien d'improvisé non plus. Un virement SEPA classique, le virement standard en euros, ne circule pas le dimanche : il faut des paiements instantanés, ou des ordres partis avant, peut-être dès le vendredi. Leur date n'a pas été publiée. Le choix d'un dimanche férié n'a sans doute rien d'un hasard : moins de monde pour surveiller les comptes, et une nuit entière pour convertir avant le lundi matin. Celui de l'USDC non plus. Aucun retrait ne se fait en USDT, pourtant le dollar numérique le plus échangé au monde, émis par Tether. Depuis 2024 et 2025, pour se conformer à MiCA, le règlement européen sur les crypto-actifs, Kraken⁹, Crypto.com¹⁰ et OKX¹¹ ne le proposent plus à leurs clients européens. Des comptes européens alimentés en euros ne peuvent guère acheter autre chose.

Les euros arrivent par virement depuis une banque : il faut en face des comptes capables de recevoir de gros virements en euros, ce que beaucoup de plateformes offshore n'ont pas. Il faut aussi de la profondeur pour changer plus de 100M€ en une soirée sans faire bouger les prix. Et un virement vers Kraken ressemble à celui de n'importe quel client qui achète des cryptos. Une fois le KYC passé, c'est même la réglementation qui ouvre les gros plafonds de retrait. Le choix de 3 plateformes réglementées n'a rien d'un hasard.

Qui tient les commandes, la blockchain ne le dit pas. Le fournisseur de frais peut être un prestataire attitré ou un service de blanchiment à la demande. Un desk OTC, un intermédiaire qui achète et vend de gros montants de cryptos directement entre 2 parties, hors des plateformes, paie les frais de réseau d'un des portefeuilles des fraudeurs, et l'une des adresses de la préparation envoie de l'argent à la même adresse de dépôt de KuCoin que lui. Ce desk fait passer des lots de 5 à 10M$ depuis avril.

Le jeudi 29 octobre, 3 jours avant le premier retrait, Binance, première plateforme d'échange de cryptos au monde, se fait voler 6,34G$¹², le plus gros vol de l'histoire des cryptos. Les pirates sont entrés par un développeur : approché sur LinkedIn par un faux recruteur, il a installé après 2 entretiens un « exercice de code » qui contenait un logiciel espion¹³. Depuis son poste, ils ont atteint ceux de 2 ingénieurs chargés des portefeuilles, puis lancé un programme malveillant sur les serveurs avec des identifiants volés¹⁴. Le FBI attribue l'attaque à la Corée du Nord¹⁵. L'entrée chez Arkéa ressemble fortement à celle de Binance : un tiers compromis, avec des droits sur les transactions³. Rien n'établit pour autant de lien entre les 2 affaires, et ZachXBT exclut la piste nord-coréenne pour Arkéa¹⁶.

Le lendemain, vendredi 30 octobre, c'est Chainalysis, la société d'analyse qui aide plateformes et polices à suivre l'argent sur les blockchains, qui annonce s'être fait pirater. Un intrus a utilisé des agents d'intelligence artificielle pour entrer dans ses systèmes au cours du mois d'octobre, et emporté les noms, adresses e-mail et fonctions des utilisateurs de sa plateforme¹⁷, les enquêteurs et les équipes de conformité de ses clients. Chainalysis dit n'avoir trouvé aucun lien avec le vol de Binance, et rien ne relie cette fuite au casse d'Arkéa. Reste que 2 jours avant le premier retrait, ceux qui traquent l'argent sale ont vu leur propre annuaire partir dans la nature.

Dans son communiqué², Arkéa décrit :

« une attaque sophistiquée venant de l'extérieur »

Sophistiquée, et surtout préparée de longue date, depuis le printemps au moins. Des comptes ouverts sous de fausses identités et chauffés pendant des mois, un outillage commun, un fournisseur de frais, une date choisie, une monnaie choisie. Pas une faille exploitée à la hâte : une opération de haut vol, montée pendant des mois.