Points clés :
- L'enquêteur on-chain ZachXBT a identifié 15 cas totalisant plus de 420 millions de dollars de flux USDC illicites que Circle n'a pas gelés rapidement depuis 2022.
- L'exploit du Drift Protocol a vu 232 millions d'USDC transférés via le propre CCTP de Circle sur 6 heures sans gel pendant les heures ouvrables américaines.
- Circle a gelé 16 portefeuilles d'entreprises légitimes dans une affaire civile de mars 2026, incluant le contrat ckETH Minter de la DFINITY Foundation, dont 5 ont été dégelés par la suite.
Circle a-t-il échoué à geler les USDC volés ? ZachXBT dit oui, avec preuves
Le fil de discussion, intitulé « Bienvenue dans les fichiers USDC de Circle », a été publié sur X et a détaillé des piratages spécifiques, des fraudes et des cas de vol liés à la Corée du Nord où Circle détenait la capacité technique et l'autorité contractuelle de geler ou de mettre sur liste noire des portefeuilles USDC mais n'a pas agi rapidement, voire pas du tout. ZachXBT a cité des adresses on-chain, des chronologies de transactions et des communications impliquant les forces de l'ordre, les victimes et des entreprises de sécurité du secteur privé.
Parmi les cas, ZachXBT a signalé l'exploit du Drift Protocol du 1er avril 2026, attribué au Lazarus Group de Corée du Nord par la société d'analyse blockchain Elliptic, comme un exemple marquant. Les attaquants ont transféré plus de 232 millions d'USDC de Solana vers Ethereum en utilisant le propre Cross-Chain Transfer Protocol de Circle en plus de 100 transactions sur six heures pendant les heures ouvrables américaines. Circle n'a procédé à aucun gel.
La publication de ZachXBT met en évidence l'exploit Swapnet du 25 janvier 2026, qui a vu 16 millions de dollars volés, avec 3 millions d'USDC restant accessibles pendant deux jours tandis que les forces de l'ordre et les enquêteurs privés soumettaient des demandes de gel temporaire que Circle a refusées. Les fonds ont été échangés avant qu'une ordonnance du tribunal puisse être obtenue.
Dans le piratage du Cetus Protocol du 22 mai 2025, les attaquants ont pris 223 millions de dollars et ont transféré 61 millions d'USDC via l'infrastructure de Circle en 90 minutes. Circle a mis les fonds sur liste noire un mois plus tard, après qu'ils aient déjà été convertis en Ether.
ZachXBT a également pointé l'exploit de Mango Markets d'octobre 2022, où 57,5 millions de dollars ont été acheminés via une adresse de dépôt Circle et n'ont jamais été gelés on-chain. L'exploiteur a ensuite été inculpé par la Securities and Exchange Commission (SEC) américaine. Dans le piratage du Nomad Bridge d'août 2022, environ 45 millions d'USDC sont restés gelables pendant 30 à 45 minutes suite à une violation de 190 millions de dollars. Il affirme que Circle n'a pas agi.
L'enquêteur a noté que Circle a mis 4,5 mois de plus que Tether, Paxos et d'autres émetteurs de stablecoins pour geler les adresses liées au Lazarus Group signalées dans un rapport d'avril 2024. Il a également documenté des réponses retardées impliquant Garantex, la plateforme d'échange russe sanctionnée, où plus de 200 000 USDC n'ont pas été touchés tandis que Tether gelait 22 millions de dollars dans une action parallèle.
La position officielle de Circle, communiquée par des déclarations de porte-parole aux médias, maintient que l'entreprise ne gèle des actifs que lorsque cela est légalement requis, notamment en réponse à des désignations de sanctions, des ordres des forces de l'ordre ou des mandats judiciaires. L'entreprise affirme que les gels préventifs sans autorisation légale exposent Circle à des responsabilités et portent atteinte aux droits des utilisateurs. Ses conditions de service permettent une action discrétionnaire, mais la pratique de l'entreprise donne la priorité au processus juridique formel.
ZachXBT a reconnu que Circle construit des produits de qualité et a déclaré qu'il détient personnellement des USDC. Sa critique se concentre sur la question de savoir si les priorités de conformité de Circle correspondent aux pertes que l'écosystème crypto au sens large absorbe lorsque les gels sont retardés ou refusés.
Opérations légitimes gelées
Un incident distinct a amplifié les critiques. Le ou vers le 23 mars 2026, Circle a gelé les soldes USDC dans 16 portefeuilles d'entreprises non liés rattachés à une affaire civile américaine scellée à New York, identifiée comme approximativement l'affaire 26-cv-2327. Les portefeuilles appartenaient à des plateformes d'échange crypto, des casinos en ligne, des courtiers forex, des processeurs de paiement et le contrat intelligent ckETH Minter exploité par la DFINITY Foundation, qui fait le pont entre l'Internet Computer Protocol et Ethereum.
ZachXBT l'a qualifié de gel potentiellement le plus incompétent qu'il ait observé en plus de cinq ans d'enquêtes. Il a déclaré qu'une analyse on-chain de base aurait montré que les portefeuilles étaient une infrastructure opérationnelle active sans connexions apparentes entre eux ou avec l'affaire civile sous-jacente.
Au moins cinq des 16 portefeuilles ont ensuite été dégelés, y compris le contrat de DFINITY et le portefeuille de Goated.com détenant environ 131 000 USDC. D'autres annulations étaient attendues au moment du rapport. Circle n'a émis aucune réfutation publique détaillée du fil complet au 4 avril 2026.
Les cas soulèvent collectivement des questions directes sur la manière dont un émetteur de stablecoin réglementé aux États-Unis et dont le siège est à New York évalue la prudence juridique par rapport aux pertes réelles résultant d'activités illicites que son infrastructure aide à déplacer.
Source : https://news.bitcoin.com/usdc-freeze-controversy-zachxbt-says-circle-froze-16-legitimate-wallets-missed-real-hacks/
