Comment les cryptos volées atterrissent dans votre portefeuille

Le 22 juillet, quelqu'un détenant les bonnes clés de validateur a sorti 24,15 millions de dollars en USDC du pont d'AFX Trade sur Arbitrum. Rien n'a cassé. Le retrait portait assez de signatures valides pour atteindre le quorum du pont, donc le système a libéré les fonds exactement comme il avait été conçu pour le faire. En quelques heures, l'argent se trouvait sur Ethereum sous la forme d'environ 12 467 ETH, dans un portefeuille que n'importe qui peut ouvrir dans un explorateur de blocs.

Le lendemain, le pont Verus-Ethereum a perdu près de 7,54 millions de dollars par la même voie d'importation qu'un attaquant avait déjà exploitée en mai. Celui-là est allé plus vite et plus sale : 3 916 ETH directement dans Tornado Cash. Wanchain a laissé partir environ 10 millions de dollars à cause d'un défaut d'encodage dans un script de validateur. Allbridge Core s'est mis en pause après une attaque par prêt flash de 1,65 million sur son pool de stablecoins Solana. Les 24 et 25 juillet, la société de paiement singapourienne Triple-A s'est fait tirer plus de 9,7 millions de dollars de ses portefeuilles chauds sur six chaînes, dont environ 5 227 ETH regroupés sur une seule adresse.

Une semaine, plus de 47 millions de dollars, et ce n'est que ce qui a été confirmé.

Le rapport Hack3D de CertiK pour le premier semestre 2026 compte 1,31 milliard de dollars envolés sur 344 incidents. Les portefeuilles compromis représentent à eux seuls plus de 444 millions de ce total, en 33 événements seulement.

Maintenant, la partie qui ne fait jamais les gros titres. Tout cet argent doit aller quelque part, et une part surprenante part à la rencontre de gens ordinaires.

Les coins volés se revendent à des inconnus

Un attaquant assis sur 12 467 ETH a un problème. Le solde est public, étiqueté en quelques heures par une demi-douzaine de sociétés d'analyse, et inutile tant qu'il ne devient pas dépensable. Les mixeurs en absorbent une partie. Le reste est découpé et poussé vers des canaux qui touchent de vrais utilisateurs : bureaux OTC à l'onboarding léger, annonces P2P, petits services de swap, freelances embauchés et payés en crypto, acheteurs ravis de surpayer une marchandise.

C'est dans ce dernier groupe que la plupart des gens se font prendre. Vous vendez une voiture, du matériel, un nom de domaine, un projet de design. L'acheteur paie en USDT ou en ETH. L'argent arrive, la transaction est confirmée, et vous n'avez aucune idée qu'il est sorti d'un piratage de pont neuf jours plus tôt.

Votre plateforme gèle d'abord et pose les questions ensuite

Dès que vous déplacez ces coins vers une plateforme régulée, ils sont scannés. Toutes les grandes plateformes surveillent aujourd'hui les dépôts, et après des années de sanctions pour manquements à la conformité, la réponse par défaut à une alerte est de bloquer le solde et d'ouvrir un examen. Vous n'avez rien volé. Ce n'est pas la question que pose le contrôle automatique.

Les émetteurs peuvent aller plus loin. Le 1er juillet, l'OFAC a ajouté à la liste SDN 134 identifiants crypto liés à l'EI-K, 131 adresses TRON et trois adresses Monero, et Tether a gelé le solde en USDT des 131. Deux semaines plus tard, le 14 juillet, quatre portefeuilles TRON de plus ont été ajoutés sous l'entrée de la Banque centrale d'Iran, et environ 131 millions de dollars en USDT sont devenus inutilisables. La mise sur liste noire se fait au niveau du contrat du jeton. Après ça, aucune plateforme, aucun portefeuille et aucun pont ne peut le déplacer.

Ce qui est noté, c'est la distance au vol

Les outils de screening ne renvoient pas « volé » ou « propre ». Ils renvoient une exposition : quelle part de ce qui est arrivé sur une adresse remonte à une source signalée, et en combien de sauts.

Recevoir directement depuis le portefeuille d'un pirate est le pire cas, et le plus facile à repérer. Trois sauts plus loin, via un DEX et deux intermédiaires, le score baisse, mais la piste reste. Et elle reste durablement, parce que le registre n'oublie pas. Une adresse qui a l'air correcte aujourd'hui peut virer au rouge le mois prochain, quand les enquêteurs auront fini de regrouper le vol et injecté de nouvelles attributions dans les données que tout le monde interroge.

C'est pourquoi le moment compte plus qu'on ne le croit. La fenêtre la plus risquée, ce sont les premiers jours après un gros vol, avant que les adresses de blanchiment ne portent la moindre étiquette, quand un vendeur au bon prix ne ressemble à rien d'autre qu'à un bon prix.

Vérifiez avant que l'argent bouge, pas après

Quatre habitudes qui ne coûtent presque rien :

• Demandez l'adresse d'envoi en amont. Quelqu'un qui vous paie légitimement peut vous dire d'où part le transfert. Celui qui refuse vous a déjà répondu.
• Analysez-la avant d'accepter. Un contrôle sanctions et LCB-FT sur une seule adresse prend quelques secondes. Vous pouvez vérifier ici n'importe quelle adresse de portefeuille et voir son exposition, ses signalements et son attribution avant de livrer une marchandise ou un travail.
• Prenez une remise pour un avertissement. Un vendeur OTC qui propose 4 % sous le marché n'est pas généreux. Il met un prix sur le risque qu'il vous transmet.
• Gardez les traces. La facture, l'historique de discussion, l'adresse, l'horodatage. Si une banque ou une plateforme s'interroge plus tard sur l'origine des fonds, ce dossier fait la différence entre un examen de deux jours et un de deux mois.

Si c'est déjà arrivé sur votre adresse

Ne le transférez pas, ne le découpez pas, ne le passez pas dans un swap pour lui donner meilleure allure. C'est cette étape qui transforme une réception malheureuse en quelque chose qu'un procureur peut qualifier de dissimulation. Laissez les fonds où ils sont.

Notez tout : le hash de la transaction entrante, qui vous a payé, pour quoi et quand. Si vous avez déjà déposé sur une plateforme et que vous êtes tombé sur un blocage, répondez à l'examen avec ces pièces plutôt que de le contester. La plupart des blocages sur des dépôts réellement innocents finissent par être levés, lentement. Si le montant est significatif, trouvez un avocat de votre propre juridiction qui a déjà traité ce genre de dossier.

Un paiement crypto se règle en une minute, ce qui fait oublier que l'historique derrière lui est permanent et public. Vous ne pouvez pas choisir chez qui un inconnu a obtenu ses coins. Vous pouvez passer trente secondes à le découvrir avant de dire oui.