Kraken : un utilisateur perd 61 BTC via fuite de clé privée

Un utilisateur de Kraken a perdu 61,21 BTC, soit environ 5,4 millions de dollars, à la suite d’une fuite de clé privée signalée par l’analyste on-chain Specter. L’incident s’inscrit dans une semaine particulièrement active pour les voleurs crypto : les pertes cumulées dépassent 12 millions de dollars en sept jours selon le même analyste.

En bref

La fuite de clé privée est l’un des vecteurs d’attaque les plus dévastateurs en crypto, car il contourne toute sécurité côté plateforme. Dans ce cas précis, 4,21 BTC ont d’abord transité du compte Kraken de la victime vers son propre wallet non-custodial, avant d’être redirigés vers une adresse contrôlée par l’attaquant. Le reste des 61,21 BTC a suivi le même chemin. Ce schéma en deux temps suggère une compromission progressive, pas une intrusion frontale sur Kraken.

Comment la fuite s’est-elle produite ?

Les éléments disponibles pointent vers une compromission de la clé privée du wallet non-custodial de la victime, pas une faille dans l’infrastructure de Kraken elle-même. Les 4,21 premiers BTC extraits ont servi de test : une technique courante pour vérifier que le contrôle est opérationnel avant de vider le solde complet.

Ce type d’attaque cible généralement les seed phrases stockées en clair sur un appareil connecté, un gestionnaire de mots de passe compromis, ou une installation de logiciel malveillant. L’historique de Kraken est ici sans rapport direct : la plateforme a par le passé intégré le Lightning Network et renforcé ses offres de garde, mais le risque ici se situait en dehors de son périmètre.

Specter n’a pas encore précisé le vecteur exact de compromission au moment de la publication.

Une semaine marquée par plusieurs vols de grande ampleur

Cet incident n’est pas isolé. Trois jours avant cette révélation, Specter avait déjà signalé un autre vol touchant simultanément un utilisateur de Kraken et un utilisateur de Coinbase, pour une perte combinée d’environ 6,7 millions de dollars. L’attaquant avait déjà converti environ 5,3 millions de dollars via Tornado Cash, le protocole de mixage qui reste l’outil de blanchiment privilégié dans ce type d’affaires.

Le cumul sur sept jours dépasse ainsi 12 millions de dollars. Ce rythme rappelle les épisodes documentés lors de l’affaire Polymarket, où une fuite de clé privée avait entraîné la perte de 520 000 dollars. La sophistication croissante des attaques visant les portefeuilles personnels confirme une tendance : les pirates se concentrent désormais sur la couche utilisateur plutôt que sur les smart contracts ou les exchanges eux-mêmes.

Tornado Cash comme débouché : un signal récurrent

L’utilisation de Tornado Cash dans l’affaire connexe (5,3 M$ blanchis) n’est pas une surprise. Ce protocole de mixage reste opérationnel malgré les sanctions américaines de 2022 et les poursuites judiciaires, notamment contre certains de ses développeurs. Son architecture décentralisée le rend difficile à neutraliser.

Pour les équipes de sécurité on-chain, la présence de Tornado Cash dans la chaîne de transactions est un marqueur fort : elle complique le traçage mais ne l’interdit pas totalement. Des outils comme Arkham Intelligence et les analyses on-chain continuent de permettre une reconstitution partielle des flux, même après mixage.

À ce stade, aucune restitution de fonds n’a été annoncée. Les victimes n’ont, dans la grande majorité des cas de clés privées compromises, aucun recours légal effectif contre un tiers.

Quelle protection pour les détenteurs de crypto ?

La règle fondamentale reste inchangée : une clé privée ou une seed phrase ne doit jamais être stockée sur un appareil connecté à Internet. Les hardware wallets comme Ledger ou Trezor restent la protection la plus fiable contre ce type de compromission, comme l’illustre la comparaison des pratiques de garde. Même en cas de compromission du PC, un hardware wallet correctement configuré ne transmet jamais la clé privée en clair.

Pour les montants importants, une architecture multi-signature (multisig) ajoute une couche : plusieurs clés sont nécessaires pour valider une transaction, ce qui neutralise la compromission d’une seule clé.

Mise en perspective Deux incidents majeurs en trois jours, même analyste, même pattern : compromission de wallet personnel avec exfiltration via Tornado Cash. Ce n’est pas une coïncidence. La concentration d’attaques sur les portefeuilles non-custodials reflète un pivot tactique des attaquants, qui ont intégré que les exchanges comme Kraken sont devenus des cibles moins rentables que leurs propres utilisateurs.

Et pour la France ?

Un résident fiscal français victime d’un tel vol peut théoriquement déduire la perte de sa plus-value imposable via le formulaire 2086, sous réserve de prouver la nature de la perte. L’AMF rappelle régulièrement que les portefeuilles non-custodials restent hors du périmètre de protection des PSAN agréés : aucune garantie des dépôts n’existe en dehors des plateformes enregistrées. Depuis le 1er janvier 2026, le dispositif DAC8 impose aux CASP européens de déclarer les transactions aux fiscs nationaux, mais ce reporting ne couvre pas les wallets personnels non-custodials.

À retenir

Un utilisateur Kraken a perdu 5,4 M$ en BTC via une fuite de clé privée. Le schéma en deux temps et l’usage de Tornado Cash dans un incident parallèle signalent une vague d’attaques ciblant les portefeuilles personnels. À surveiller : de nouvelles révélations de Specter sur d’éventuelles autres victimes dans les prochains jours.