Vol de 106 M$ sur une entité européenne, blanchiment vers Monero via Wagyu

L'enquêteur on-chain ZachXBT a signalé le 2 novembre 2026 qu'une entité européenne non identifiée s'est fait vider plus de 106 millions de dollars répartis sur plusieurs plateformes centralisées le dimanche 1er novembre. Les fonds sont sortis en USDC et USDT, convertis en 27 553 ETH (soit environ 62,97 M$ au moment du swap, suivi Lookonchain), passés par les services d'échange instantané WellWallet et Kyrrex, convertis en Monero (XMR) via Wagyu, puis dispersés sur plusieurs blockchains via des bridges. ZachXBT a publié 11 adresses Ethereum liées à l'opération. Source principale : alerte de ZachXBT sur son canal Telegram communautaire. Couverture : Journal du Coin.

Ce qui s'est passé

L'alerte décrit un vol côté exchange — les comptes vidés étaient hébergés sur plusieurs plateformes centralisées, pas des wallets self-custody. ZachXBT n'a nommé ni la victime, ni les plateformes, ni la méthode de compromission. Les hypothèses — vol de clés API, phishing, accès interne, infostealer — restent ouvertes ; l'enquêteur n'a tranché publiquement sur aucune.

Ce qui est on-chain, en revanche, est précis. Les retraits sont d'abord sortis en USDC et USDT. L'USDC a ensuite été échangé contre 27 553 ETH, pour environ 62,97 M$ au moment du swap selon Lookonchain. Ces ETH ont circulé via WellWallet et Kyrrex, deux services d'échange instantané sans dépôt préalable, puis vers Wagyu, qui a converti les montants en Monero. À partir du XMR, la piste publique s'arrête.

ZachXBT dit pouvoir écarter avec un haut degré de confiance le groupe Lazarus comme auteur, sur la base d'indicateurs de blanchiment propres à cette opération. Il n'a pas publié ces indicateurs en détail.

Mécanisme — la boucle WellWallet / Kyrrex / Wagyu

Les trois services nommés partagent le même profil. WellWallet et Kyrrex opèrent comme changeurs instantanés — l'utilisateur envoie un actif à une adresse de dépôt, reçoit un autre actif à un taux coté, avec un KYC quasi inexistant sur les petits tickets. Wagyu est l'un des pipelines qui convertit à grande échelle les actifs majeurs L1 vers Monero. Par construction, les signatures en anneau et les adresses furtives de XMR rendent la chaîne non traçable à l'échelle d'un explorateur public.

Le motif est classique : stablecoin liquide → ETH comme actif-passerelle → échanges morcelés vers XMR sur plusieurs sauts. Les 11 adresses Ethereum publiées par ZachXBT couvrent la portion on-chain ; corréler un émetteur ETH à un destinataire XMR exige, passé Wagyu, un canal annexe.

Chiffres

• Montant volé : plus de 106 M$
• Portion observée on-chain en ETH : 27 553 ETH ≈ 62,97 M$
• Adresses publiées par ZachXBT : 11 adresses Ethereum
• Date du vol : 1er novembre 2026 ; divulgation 2 novembre
• Services nommés : WellWallet, Kyrrex, Wagyu
• Attribution Lazarus : écartée par ZachXBT « avec un haut degré de confiance »
• Gels publics à ce jour : non divulgués — l'article signale qu'il n'est pas clair que des fonds aient été gelés
• Source : alerte Telegram de ZachXBT (via Journal du Coin), traçage ETH par Lookonchain

Ce qu'il faut surveiller

1. Quelles plateformes centralisées reconnaîtront publiquement avoir hébergé des comptes concernés, et dans quelles proportions.
2. Si une plateforme publie un montant gelé sur les 11 adresses listées par ZachXBT.
3. La piste d'attribution. ZachXBT a écarté Lazarus. Les groupes au profil de blanchiment correspondant — routage ETH, Kyrrex/WellWallet, sortie XMR via Wagyu — forment un sous-ensemble restreint.
4. L'identité de l'entité victime : custodian, fonds, ou trésorerie d'un exchange ? Chaque cas déclenche des obligations différentes au titre de MiCA article 94 (abus de marché) et du RGPD si des données clients ont été touchées.
5. La réaction côté Wagyu et une éventuelle désignation OFAC du service, qui apparaît dans plusieurs rapports de blanchiment post-sanctions en 2026.

Contexte

Le vol est au moins le quatrième incident à neuf zéros sur des soldes conservés en exchange en 2026, et le second qui porte sur une ponction directe des comptes plutôt que sur un exploit protocolaire. Le schéma — retrait en stablecoin → consolidation ETH → sortie XMR — reproduit le gabarit utilisé après DMM Bitcoin en 2024 et le compromis multisig WazirX. Le pipeline Wagyu → Monero est documenté dans le rapport d'Elliptic sur les rançongiciels 2026 comme une voie de sortie en croissance pour les flux post-sanctions.

L'opération tombe quelques jours après le piratage de 6,3 milliards de dollars attribué à Binance et à TraderTraitor (Corée du Nord). L'exclusion explicite de Lazarus trace une ligne nette entre les deux dossiers ; la vraie question désormais est de savoir qui, à cette échelle, cible actuellement des comptes CEX en Union européenne — et comment une entité détenant plus de 100 M$ répartis sur plusieurs exchanges peut rester publiquement anonyme trois jours après la ponction.