Kraken a temporairement restreint les comptes de clients après que près de 12 000 transferts de crypto-monnaies non sollicités ont atteint des adresses liées à la bourse entre le 17 et le 24 août, selon un rapport de Bloomberg du 25 août.
Résumé
- Près de 12 000 petits transferts ont atteint des adresses liées à Kraken entre le 17 et le 24 août, a rapporté Bloomberg mardi.
- Kraken a temporairement restreint les comptes concernés, puis a rétabli l'accès tout en conservant séparément les fonds sanctionnés contestés.
- Arkham a attribué le portefeuille émetteur à HTX, mais l'étiquetage du portefeuille n'établit pas le contrôle des transactions.
- HTX a nié avoir initié les transferts et enquête indépendamment sur une mauvaise attribution ou une éventuelle activité malveillante de tiers.
- Les restrictions de l'Union européenne contre l'entité Huobi Global de HTX sont officiellement entrées en vigueur le 23 août 2026.
La plupart des transferts valaient quelques centimes ou quelques dollars. Kraken a qualifié cette activité d'« attaque par poussière » visant à répandre des fonds sanctionnés sur des comptes non liés et à déclencher des examens de conformité.
Kraken a rétabli l'accès mais a conservé les fonds contestés
Kraken a déclaré avoir rétabli l'accès aux comptes clients concernés après avoir terminé les examens. La bourse a continué à conserver séparément les fonds non sollicités en raison de leur lien présumé avec des portefeuilles sanctionnés.
Une transaction blockchain peut atteindre une adresse publique sans la permission du destinataire. Les utilisateurs ne peuvent généralement pas empêcher une partie inconnue d'envoyer des jetons à leurs adresses de dépôt avant que la bourse ne filtre la transaction.
« Les récentes attaques par poussière provenant de portefeuilles appartenant à HTX semblent être une tentative de répandre des fonds sanctionnés par le Royaume-Uni et l'UE vers d'autres plateformes », a déclaré un porte-parole de Kraken. Kraken a reconnu qu'il ne pouvait pas identifier qui avait initié les transactions.
Les attaques par poussière traditionnelles consistent à envoyer de petites quantités de crypto-monnaies pour identifier ou suivre les propriétaires de portefeuilles. L'incident de Kraken ressemble davantage à un « empoisonnement de conformité », où des fonds indésirables sont distribués pour créer une exposition aux sanctions ou submerger les systèmes de filtrage automatisés.
Kraken n'a pas divulgué combien de clients ont été restreints, combien de temps ont duré les examens ni la valeur totale des actifs conservés. Sa page de statut publique ne répertoriait pas de panne à l'échelle de la plateforme liée aux transferts.
L'attribution de HTX par Arkham reste contestée
Arkham Intelligence aurait étiqueté le portefeuille émetteur comme étant lié à HTX en utilisant des adresses précédemment identifiées via les divulgations de preuves de réserves de la bourse.
Cette attribution associe l'adresse à l'écosystème HTX. Elle ne prouve pas que HTX contrôlait le portefeuille au moment de chaque transfert ou a dirigé les paiements.
HTX a nié toute implication. Un porte-parole a déclaré que la bourse « n'a absolument pas participé à un tel comportement » et enquêtait pour déterminer si des erreurs d'étiquetage d'adresses, des malentendus opérationnels ou des actions malveillantes de tiers avaient causé l'activité.
Le déni de HTX ne résout pas la propriété du portefeuille émetteur. La bourse n'a pas publié de liste complète des adresses ni d'analyse des transactions à l'appui de son explication.
Des transferts similaires de petite taille auraient atteint des adresses associées à Coinbase, Binance et d'autres bourses avant les divulgations de Kraken. HTX a déclaré qu'un examen interne n'avait trouvé aucun compte officiel ni système de test responsable.
Les sanctions ont donné aux petits transferts un poids de conformité plus important
Le Royaume-Uni a désigné Huobi Global S.A. le 26 mai dans le cadre de son régime de sanctions contre la Russie. Les mesures comprennent un gel des avoirs et des restrictions sur le traitement des paiements impliquant l'entité désignée.
HTX a contesté la portée de la désignation, arguant que Huobi Global S.A. est juridiquement distincte de sa plateforme d'échange en activité. Comme précédemment rapporté, HTX a nié que les sanctions britanniques s'appliquaient largement à sa plateforme de trading.
L'Union européenne a ensuite inclus HTX, identifiée comme Huobi Global S.A., parmi les fournisseurs de services de crypto couverts par une interdiction de transaction. La décision pertinente a pris effet le 23 août.
Le calendrier signifiait que les petits transferts envoyés peu avant et après l'entrée en vigueur de la restriction de l'UE pouvaient attirer une surveillance accrue. Les plateformes d'échange desservant des clients britanniques ou de l'UE doivent identifier les transactions interdites et empêcher la libération de fonds restreints.
Le chercheur en blockchain TRM Labs avait précédemment rapporté que HTX changeait à plusieurs reprises de portefeuilles après la désignation britannique. HTX a décrit ces rotations comme des pratiques de sécurité de routine plutôt que comme un contournement des sanctions.
Les contrôles de conformité doivent distinguer la réception de l'intention
L'incident expose une faiblesse dans les systèmes de conformité qui s'appuient fortement sur l'exposition directe des portefeuilles. Un client peut recevoir des fonds d'une adresse sanctionnée sans demander, approuver ou contrôler la transaction.
Les plateformes d'échange doivent donc évaluer la valeur de la transaction, la propriété, le calendrier et le comportement du client au lieu de traiter chaque dépôt non sollicité comme une preuve de violation intentionnelle des sanctions.
Les émetteurs centralisés de stablecoins peuvent geler les jetons au niveau du contrat. Dans le cadre d'une activité d'application connexe, Tether a gelé plus de 500 millions de dollars sur 370 adresses au cours d'une période de 30 jours.
Kraken et HTX n'ont pas annoncé d'enquête conjointe ni de date limite de publication. La prochaine mise à jour vérifiée nécessiterait des preuves au niveau du portefeuille identifiant l'expéditeur, des déclarations supplémentaires de l'une ou l'autre plateforme ou une action des autorités de sanctions britanniques et de l'UE.
