Des centimes qui libèrent des millions : Ce qui révèle l’attaque de poussière de Kraken concernant la garde des cryptomonnaies

Entre le 17 et le 24 août,Environ 12 000 clients de Kraken ont reçu des dépôts qu’ils n’avaient jamais demandés.Des transferts d’argent, valant quelques centimes, parfois quelques dollars, sont effectués depuis des portefeuilles qui sont liés à HTX, l’exchange autorisé par le Royaume-Uni et ensuite par l’Union européenne. Le système automatisé de Kraken a détecté ces transferts, et les mécanismes de contrôle ont fait exactement ce pour quoi ils étaient conçus : bloquer les comptes. Environ 12 000 utilisateurs ont perdu temporairement accès à leurs propres fonds, car quelqu’un leur a donné de l’argent sans qu’ils le demandent.

Kraken a rétabli l’accès en quelques jours, a conservé les pièces monétaires marquées, et a qualifié cet incident de « attaque de poussière ». HTX affirme qu’elle n’est pas responsable de cette vague de transferts. Mais il convient de faire une pause sur les chiffres avant de considérer cela comme un incident lié aux échanges financiers… Car les chiffres racontent toute l’histoire : la poussière générée par cette campagne ne valait presque rien, et le montant le plus important de fonds gelés lié à ce conflit était de 4,2 millions de dollars. Quelques centimes de crypto-monnaies ont suffi pour forcer un établissement financier réglementé à geler des millions de dollars de l’argent de ses clients. Si vous lisez ces chiffres dans le sens inverse, vous comprenez alors la vulnérabilité de la situation.

La machine qui transforme les cadeaux en objets figés

Trois machines permettent cela – et aucune d’entre elles n’est endommagée.

D’abord, il s’agit d’un livre de comptes public. N’importe qui peut envoyer n’importe quel token à n’importe quelle adresse. Il n’est pas nécessaire que le destinataire donne son autorisation, et la blockchain ne vérifie pas si une transfert est souhaité ou non. Envoyer 12 000 dépôts non demandés est tout aussi simple que d’envoyer un seul dépôt ; c’est simplement un cycle de transferts.

Deuxièmement, le dépositaire. Lorsque des pièces de monnaie sont envoyées à l’adresse de dépôt de Kraken, elles sont créditées sur le compte client correspondant et deviennent ainsi la responsabilité de Kraken. Kraken est un intermédiaire régulé – aux États-Unis, en Europe et au Royaume-Uni. Les autorités réglementaires lui imposent une responsabilité pour tout ce qui se passe dans ses comptes.

Troisièmement, la liste des sanctions. Tous les fonds entrants liés à un portefeuille figurant sur cette liste sont automatiquement détectés. Un signal de détection signifie une suspension des opérations financières, car une entreprise régulée ne peut pas permettre que la valeur sanctionnée circule dans ses comptes. Une fois que ces devises sont en sa possession, elle ne peut pas les rendre au destinataire en secret.

Ainsi, l’attaquant n’a jamais besoin de pirater quoi que ce soit. Il suffit de savoir que l’obligation du gardien est une arme, et que cette “contamination” se transmet avec la pièce. Le Royaume-Uni a décrété HTX en mai.Pour la première fois, une mesure de sanctions britannique mentionne directement un exchange de cryptomonnaies.— etL’UE a interdit les transactions avec elle à partir du 23 août., qui se situe juste dans la fenêtre d’attaque. À partir de cette date, les dépôts marqués comme tels ne sont plus une décision arbitraire ; c’est une règle établie. Le Trésor américain…L’OFAC n’a pas encore désigné HTX.Et Kraken a tout de même figé cette contamination… Un gardien mondial est jugé selon les règles les plus strictes qui s’appliquent à lui. Un porte-parole de Kraken a expliqué clairement la logique des attaquants : ils…On s’attend probablement à ce que, lorsque les fonds approuvés arrivent sur le compte du client, cela entraîne une suspension complète du compte.."

L’asymétrie qui ne peut pas être hedgée

Cela coûtait donc de l’argent à l’organisation. Chaque transfert valait quelques centimes ou quelques dollars ; donc, même au maximum de cette valeur, les 12 000 unités totales représentent quelques dizaines de milliers de dollars, en plus de quelques milliers de dollars en frais de réseau. L’ensemble de l’opération représente donc une somme de cinq chiffres.

Maintenant, le coût pour la défense est :4,2 millions de dollars gelés, un chiffre révélé par HTX lui-même, et Kraken ne l’a pas confirmé.En plus de 12 000 comptes verrouillés, les heures consacrées au travail de conformité, la coordination avec les forces de l’ordre, les clients qui ne pouvaient pas effectuer des transactions ou payer leurs factures en raison du gel de leurs comptes, ainsi que le cycle de presse.

Cette asymétrie est l’histoire permanente. Le même stratagème a déjà fonctionné pour Coinbase, oùLes utilisateurs ont rapporté que leurs comptes étaient gelés à cause de dépenses liées à de la poussière, valant jusqu’à 7 USDT.Comme l’a dit Andy Zhou, PDG de BlockSec, cela utilise la conformité comme une arme.Manipuler le graphique des transactions à faible coût pour empoisonner les historiques de transactions des utilisateurs.Il n’y a pas de barrière pour l’échange : il ne peut pas fermer la porte entre le livre de comptes public et les adresses de dépôt, sans ainsi détruire son propre fonctionnement. De plus, il ne peut pas arrêter le processus une fois que les terres ont été contaminées. La seule question vraiment importante est qui a fait cela… Kraken qualifie cette campagne d’une tentative de…Diffuser les fonds sanctionnés par le Royaume-Uni et l’UE sur d’autres plateformes, afin de discréditer l’industrie dans son ensemble.“Alors que HTX indique des acteurs indépendants…”Peut-être des personnes dont les fonds propres ont été gelés lors des périodes précédentes.L’attribution des responsabilités reste non résolue. Quant aux risques liés aux prix, cela ne semble pas avoir d’importance : l’attaque peut se produire que le transmetteur soit une bourse autorisée, un concurrent ou une personne qui a des fonds bloqués.

Ce que cela signifie pour votre argent

Ce n’est pas comme si Wall Street découvrait un défaut dans un produit nouveau et intelligent ; c’est plutôt le design prévu du système qui entre en conflit avec les règles relatives aux sanctions. Les attaques de type “dusting” sont anciennes : elles ont été utilisées depuis des années pour démasquer les identités des personnes impliquées. L’arme “taint” est suffisamment établie pour que, lorsque les autorités américaines ont sanctionné le service de mixage de Tornado Cash en 2022, les célébrités qui avaient reçu 0,1 ETH de cette monnaie tachée ont été informées qu’elles ne seraient pas poursuivies. La nouveauté en 2026, c’est que la cible a changé : il s’agit désormais de la conformité des intermédiaires, et ces systèmes de contrôle réagissent en verrouillant les comptes innocents.

Pour Kraken en particulier, le contrôle de la taille est important. Son parent, Payward…Déposé en secret pour une introduction en bourse en novembre dernierLa publication a été suspendue en mars. On rapporte que l’entreprise cherche à faire ses débuts dans la seconde moitié de l’année 2026.Marques privées entre environ 13 milliards et 20 milliards de dollars.Contre une plateforme qui possède environ 59 milliards de dollars en actifs clients, un gel de 4,2 millions de dollars n’est qu’une erreur de calcul. Mais cet événement constitue une indication concrète des risques que doit décrire un prospectus : les sanctions, les campagnes de nettoyage, les coûts liés au gel des actifs, et les dépenses liées à la conformité… Tout cela ne peut jamais être éliminé. Tout dépositaire qui accepte le livre de comptes public a donc accepté un coût permanent, sans aucun moyen de l’annuler.

Cela revient à la responsabilité de l’utilisateur lui-même. La plupart des risques liés aux cryptomonnaies sont exprimés par des titres de presse et de peur, mais celui-ci est plus silencieux, structurel : sur une bourse régulée, vous pouvez être gelé pour avoir reçu des cryptomonnaies que vous n’aviez jamais voulu recevoir. Le problème se propage avec le temps, et non par les intentions de l’utilisateur. Ce n’est pas un argument pour ne garder que les cryptomonnaies hors ligne – la poussière peut également atteindre un portefeuille personnel. L’histoire des transactions est donc affectée, quelles que soient les actions de l’utilisateur. C’est un argument pour considérer “qui possède mes cryptomonnaies et comment ils gèrent leur compte” comme une partie importante de son budget de risque, tout comme on lit les conditions de la banque avant de déposer des économies chez elle. L’incident avec Kraken n’a pas causé la perte d’argent de quelqu’un. Il montre que le coût d’attaquer tout le système de conservation des cryptomonnaies est très faible, tandis que le coût de sa protection est réparti entre tous ceux qui l’utilisent.