Une fois l'argent sorti des plateformes, une 2e course commence. D'un côté, les fraudeurs, qui doivent changer leurs dollars numériques en quelque chose que personne ne peut geler. De l'autre, ceux qui peuvent encore les arrêter : les plateformes, qui peuvent bloquer le compte d'un client, et les émetteurs, Circle et Tether, qui peuvent bloquer d'un clic les jetons d'une adresse, où qu'elle se trouve. À condition qu'on leur signale les adresses : la victime, sa banque, une plateforme ou les autorités. Et vite, avant que l'argent ne change de forme. Zero Bullshit a rapproché, heure par heure, les mouvements de l'argent, les alertes publiques et les gels, du dimanche soir au jeudi matin. Certaines heures décisives restent inconnues, à commencer par celle où la banque a repéré la fraude. Les fraudeurs, eux, mènent la course heure par heure. Le premier gel visible sur la blockchain n'arrive que dans la nuit du lundi au mardi.

Dès 15h54 le dimanche, avant même les gros retraits, une première route s'ouvre, que Zero Bullshit a reconstituée adresse par adresse. Des portefeuilles du réseau envoient leurs USDC sur Arbitrum, une blockchain annexe d'Ethereum par laquelle passent les dépôts sur Hyperliquid, une plateforme d'échange décentralisée. L'argent y sert à acheter du XMR1, un jeton émis par Wagyu.xyz qui représente du Monero, la cryptomonnaie conçue pour que personne ne puisse suivre les paiements. Les achats passent par petits ordres, quelques dizaines de dollars à la fois. Wagyu promet de livrer du vrai Monero en quelques minutes, sans vérification d'identité¹⁸. Le même chemin, par Arbitrum, Hyperliquid et le Monero, a servi à préparer le vol de THORChain, en mai, selon Chainalysis¹⁹, et ZachXBT a montré en octobre que plus de 87% de l'argent passé par un service concurrent venait d'activités illicites²⁰.

Le soir, à la sortie des plateformes, la moitié des sommes repart en moins de 72 secondes, à travers 508 portefeuilles, dont 442 sans aucune activité avant le 1er novembre. Chacun des 15 receveurs servis le dimanche répartit sa part entre plusieurs sorties. Une partie est changée en ether. Une autre prend des bridges, qui la font passer sur une autre blockchain. Une autre encore passe par des échanges instantanés, des sites qui convertissent une crypto en une autre en quelques minutes, sans ouvrir de compte. Le reste est déposé sur des plateformes. Le même schéma pour chaque receveur, en quelques minutes. Rien d'improvisé : la recette est écrite à l'avance, et appliquée au geste près. Elle utilise toutes les techniques de blanchiment que permet toute une partie de l'écosystème crypto.

Entre 1h et 5h du matin, dans la nuit du dimanche au lundi, 63M$ sont changés en ether. Une fois en ether, plus personne ne peut les geler. La fenêtre pour bloquer l'essentiel se referme avant l'ouverture des bureaux. Et les sommes atteignables se réduisent d'heure en heure.

Graphique 7 · La fenêtre de gel

Le lundi à 13h28, ZachXBT publie sur Telegram 11 adresses du vol, avec un premier montant : 106M$¹⁶. N'importe qui peut désormais suivre l'argent. 3 heures plus tard, Kraken laisse encore sortir 17,2M$, plus de 27 heures après le premier retrait, vers 2 nouveaux portefeuilles, 8,73M$ pour l'un et 8,52M$ pour l'autre, en 45 minutes. La plateforme n'a pas dit quand elle a été prévenue. Avec les 15 du dimanche, cela fait 17 receveurs. Zero Bullshit a retrouvé le 18e, alimenté par petits retraits jusqu'au 3 novembre. Lui et 2 autres receveurs, dont l'un des gros retraits de 9,6M$, ne figurent ni dans la première liste de ZachXBT¹⁶ ni dans la seconde²¹. Ces 3 receveurs-là ne sont pas les 3 adresses voisines de la préparation : Zero Bullshit élargit le réseau connu des 2 côtés.

Dans la nuit du lundi au mardi, Tether gèle 1,14M$ d'USDT, 35 heures après le premier retrait. C'est le premier gel. Leurs portefeuilles détiennent alors encore environ 16M$ gelables, qui ne le seront pas. Circle ne gèle rien. Les émetteurs savent pourtant aller vite : le soir du vol de Binance, Tether a gelé plus de 1,567G$ en USDT, selon son DG Paolo Ardoino, et Circle plus de 800M$ en USDC²².

Une partie de l'argent repasse pourtant à portée de gel. Au fil des jours, les fraudeurs font arriver environ 40M$ en USDT sur Tron, la blockchain de l'USDT, où un transfert coûte quelques centimes et où se négocie l'essentiel des reventes de dollars numériques contre des espèces. Plus de la moitié des flux de cryptos illicites de 2024 y sont passés, selon la société d'analyse TRM Labs²³. 9M$ y arrivent par Rango et par Bridgers, le bridge intégré aux applications Trust Wallet et SafePal. Sur Tron, l'USDT reste gelable par Tether.

Graphique 8 · Où il est allé

Le mardi 3 novembre, Kraken donne l'alerte, après avoir reçu d'une banque européenne des transferts d'un montant inhabituel, et bloque les transactions en cours³. C'est 2 jours après le premier retrait, et au lendemain des 17,2M$ du lundi. La plateforme dit avoir restreint les comptes en cause et travailler avec les forces de l'ordre⁸. Le même jour, ZachXBT relève son compteur à 133M$ et accuse la banque : faute de déclaration en bonne et due forme, plus de 30M$ que les polices européennes auraient pu geler ont été blanchis²¹. Selon une source au sein de l'ACPR, l'autorité qui supervise les banques françaises, Arkéa a pourtant bien alerté son superviseur, avant que l'affaire ne devienne publique, sans pour autant être capable d'en donner les détails.

Le mercredi 4 novembre, l'affaire éclate en France. Plus de 100M€ de cryptomonnaies volés chez Fortuneo : pendant 2 jours, c'est la version qui circule. Franceinfo annonce un piratage de plus de 100M€, transformés en cryptomonnaie pour sortir de la banque²⁴. Grégory Raymond évoque des virements partis de Fortuneo vers les comptes Kraken⁶. Et selon L'Agefi, cité par Decrypt, la banque a demandé en mai un agrément pour proposer des cryptos à ses clients²⁵. L'amalgame vient tout seul. À 13h, le groupe bancaire coopératif breton reconnaît une « attaque » ayant permis des « opérations frauduleuses »²⁶.

Les fraudeurs, eux, écoulent encore leur rapine. Dans l'après-midi, environ 740 ETH sont changés en USDT et envoyés sur Tron. Depuis midi, une adresse Tron créée le 3 novembre regroupe les USDT et en envoie 300K toutes les 15 minutes environ, 4,5M$ en 4 heures. Un intermédiaire prélève 0,15% au passage et reverse le reste sur une adresse de dépôt de Binance, qui peut identifier le titulaire du compte. D'autres USDT partent vers des services très actifs, qui reçoivent aussi l'argent de milliers d'inconnus. Ailleurs, l'argent continue de se diviser : les 25 adresses Tron alimentées par Rango et Bridgers ont déjà arrosé 40 nouvelles adresses.

À 17h30, 2e communiqué. Les attaquants sont entrés par la plateforme d'un prestataire, que le groupe ne nomme pas, l'argent est parti du compte propre de la banque vers « d'autres acteurs bancaires », puis a été converti en cryptos sur des plateformes spécialisées. La banque dément toute « entrée » par Fortuneo, sans dire d'où sont partis les virements. Pourquoi le nom de la banque en ligne est-il sorti ? Réinterrogées, les différentes sources s'emmêlent un peu, mais tout converge en réalité vers une personne externe à la banque, notamment en charge de Fortuneo, dont les accès auraient été compromis.

La blockchain confirme au moins ceci : aucune adresse du réseau n'a le profil d'un portefeuille de banque ou de conservateur. Le groupe assure enfin que ses dispositifs lui ont permis² :

« d'identifier très rapidement les activités suspectes »

Au même moment, d'après les relevés de Zero Bullshit, 15,6M$ peuvent encore être bloqués sur la blockchain. Gabriel de Brosses, ancien directeur de la cybersécurité du groupe La Poste, interrogé par Le Monde³, est plus sévère :

« Les alertes auraient dû sonner. »

Le groupe affirme qu'une partie des fonds a pu être bloquée², sans dire laquelle. Des virements stoppés avant leur conversion n'apparaîtraient pas sur la blockchain, où le seul gel visible est alors celui de Tether.

Vers 22h, Tether frappe enfin sur Tron. Une adresse qui vient de recevoir 3,06M$ du réseau est gelée avec 2,95M$ d'USDT. Une 2e suit dans l'heure, avec 2,25M$, puis une 3e avant 2h30, avec 2,22M$. Celle-là a été créée dans la nuit du 4 au 5 novembre, au bout d'une chaîne de plus de 60 adresses, chacune vidée en quelques minutes. Au total 7,4M$, plus de 80 heures après le premier retrait. Circle n'a toujours rien gelé. Selon une source judiciaire, le parquet de Paris a ouvert une enquête pour atteinte à un système informatique en bande organisée, confiée à l'Office anticybercriminalité.

Le jeudi 5 novembre, entre 8h16 et 8h26, Zero Bullshit voit l'une des 3 adresses voisines de la préparation, payée avant le vol par 3 des receveurs, recevoir encore 141K USDC du même portefeuille de sortie de Kraken, en 4 retraits. Elle en a reçu 9,4K le 3 novembre et 34,6K le 4. Elle retirait déjà des montants comparables en septembre. Soit le compte qui l'alimente appartient à un tiers sans lien avec le vol, soit au moins un compte relié aux receveurs est encore ouvert chez Kraken, qui dit pourtant avoir restreint les comptes en cause dès le 3 novembre.