Qui est ZachXBT ?

ZachXBT est un enquêteur blockchain pseudonyme connu sur le X crypto (anciennement Twitter) pour avoir dénoncé des arnaques, des rug pulls et des vols. Grâce à des analyses onchain détaillées et à des recherches en sources ouvertes, il publie des threads qui retracent les fonds volés, démasquent les acteurs malveillants et relient les fraudes à travers l'écosystème.

Agissant de manière indépendante, ses enquêtes ont permis de récupérer des centaines de millions en cryptomonnaies volées et ont entraîné de réelles conséquences judiciaires, dont des arrestations et des saisies d'actifs. Wired l'a décrit comme le détective indépendant spécialisé dans la crypto le plus prolifique au monde, et CoinDesk l'a inclus dans sa liste des personnalités les plus influentes de 2024.

Il reste anonyme, représenté par un ornithorynque de dessin animé en trench-coat de détective, devenu sa signature. Cet anonymat est à la fois une mesure de sécurité personnelle et un trait déterminant de son rôle d'enquêteur autoproclamé et officieux de la crypto.

L'histoire de ZachXBT

Le parcours de ZachXBT dans la crypto a commencé comme celui de beaucoup d'autres : un optimisme initial suivi de leçons douloureuses. Pendant le boom des ICO de 2017, il était un utilisateur ordinaire qui avait acheté des jetons à la mode et des projets NFT, et a vu plusieurs d'entre eux s'effondrer dans des rug pulls classiques qui orienteraient plus tard son action.

Un piratage de wallet vers 2018 lui a coûté environ 15 000 $, un point bas personnel qui a réorienté son attention. Plutôt que de quitter le secteur, il a commencé à étudier de près les données de la blockchain, apprenant à tracer les wallets, à suivre les flux de fonds et à comprendre précisément comment les arnaques crypto sont conçues et exécutées.

Selon ses propres dires, il n'a aucune formation formelle en matière d'enquêtes ou d'application de la loi et décrit ses compétences comme entièrement autodidactes, acquises au fil d'années d'analyse onchain. Ses premiers fils sur les réseaux d'hameçonnage et les fraudes liées aux NFT ont bâti la réputation qui ferait de lui, à terme, la voix incontournable de la criminalistique crypto.

Comment ZachXBT enquête-t-il sur les arnaques ?

Pour dénoncer les fraudes crypto, ZachXBT combine la criminalistique de la blockchain avec le renseignement en sources ouvertes : il retrace les fonds volés, démasque les auteurs et relie des escroqueries à travers le temps. Sa méthode s'est affinée à mesure que les vols sont passés des failles de contrats intelligents à l'ingénierie sociale.

Voici comment se décompose généralement sa méthode :

• Analyse blockchain : Il retrace les flux de jetons avec des outils comme Etherscan, Arkham et Breadcrumbs, en suivant les transferts entre wallets, plateformes d'échange et mixeurs pour cartographier la circulation des fonds.
• Suivi des contrats intelligents : Il examine les déploiements de contrats frauduleux à la recherche de bytecode réutilisé, de portefeuilles de déploiement recyclés et d'origines de financement suspectes qui trahissent les récidivistes.
• Regroupement de wallets : il relie des adresses grâce à un financement de gas commun, à des horaires de transaction synchronisés et à des points de passage communs, comme les comptes de dépôt d'une plateforme d'échange centralisée.
• Renseignement sur les réseaux sociaux : il met en relation l'activité onchain avec des pseudonymes, des messages et des horodatages sur X, Telegram et Discord afin d'identifier les acteurs récurrents.
• Enregistrements divulgués : il s'appuie de plus en plus sur des enregistrements d'écran de discussions de groupe privées, où des suspects révèlent par inadvertance des wallets, des noms ou des soldes en se vantant.
• Liaison d'identité : il recoupe les enregistrements de noms de domaine, les dépôts judiciaires et les registres publics pour relier l'activité sur la blockchain à de vrais noms, e-mails ou autres identifiants.
• Présentation des dossiers : il rassemble ses conclusions dans des fils X annotés, avec les traces de jetons et les justificatifs, et partage souvent ses preuves avec les forces de l'ordre avant publication.

Principales enquêtes et arnaques dévoilées par ZachXBT

Depuis 2021, le parcours de ZachXBT couvre des milliards de dollars de flux illicites et une aide directe à la récupération d'actifs volés. Matt Huang, cofondateur de Paradigm, a déclaré que ZachXBT avait contribué à récupérer plus de 350 millions de dollars pour des victimes de piratages et d'escroqueries : arnaques liées aux NFT, réseaux de phishing, exploits DeFi et vols liés à des États.

1. Piratage de Bybit (févr. 2025)

Le 21 février 2025, Bybit a perdu environ 1,5 milliard de dollars en actifs Ethereum, le plus grand vol unique de l'histoire des cryptomonnaies à l'époque. En quelques heures, ZachXBT a soumis à Arkham des preuves identifiant le Lazarus Group nord-coréen comme responsable, ce que le FBI a confirmé par la suite.

• Montant de l'arnaque : environ 1,5 milliard de dollars, siphonnés d'un wallet froid multisig Ethereum lors d'un transfert de routine.
• Faits clés : il a relié l'attaque au piratage antérieur de Phemex par des fonds mélangés et des schémas de blanchiment concordants.
• Résultat : Il a obtenu une prime de 50 000 ARKM (environ 31 500 $) ; des saisies ultérieures en Grèce et en Allemagne ont permis de récupérer une partie des fonds.

2. Vol des créanciers de Genesis (2024-2025)

En août 2024, ZachXBT a retracé 4 064 BTC (environ 243 millions de dollars) volés à un seul créancier de Genesis via Gemini. Les attaquants se sont fait passer pour le support de Google et de Gemini, ont réinitialisé l'authentification à 2 facteurs de la victime et ont extrait des clés privées via un logiciel d'accès à distance.

• Montant de l'escroquerie : environ 243 millions de dollars en Bitcoin, dont une partie est dormante depuis 2012.
• Faits clés : un enregistrement Discord divulgué a révélé le vrai nom d'un suspect ; les fonds ont été répartis sur 15+ plateformes d'échange et plusieurs cryptomonnaies.
• Issue : les suspects Malone Lam, Veer Chetal et Jeandiel Serrano ont été poursuivis aux États-Unis ; un autre suspect aurait été arrêté à Dubaï fin 2025.

3. Vague d'ingénierie sociale visant Coinbase (2024-2025)

ZachXBT a signalé à plusieurs reprises que les utilisateurs de Coinbase perdaient environ 300 millions de dollars par an à cause d'escroqueries par usurpation d'identité du support. Le problème remontait à une faille de sécurité interne provoquée par la corruption d'un employé, qui a exposé les données de près de 70 000 utilisateurs.

• Montant des escroqueries : environ 300 millions de dollars par an pour l'ensemble des utilisateurs ; Coinbase a estimé entre 180–400 millions de dollars les coûts liés à la faille de sécurité.
• Faits clés : il a identifié un acteur canadien, « Haby », qui aurait volé plus de 2 millions de dollars et affiché le produit de ses vols sur les réseaux sociaux.
• Résultat : un agent de support externalisé a été arrêté en Inde en décembre 2025 ; le DOJ a ouvert une enquête sur la faille de sécurité.

4. Enquête « Lick » de l'USMS (janv.-mars 2026)

Début 2026, ZachXBT a affirmé qu'une figure connue sous le nom de « Lick » avait volé plus de 46 millions de dollars dans des wallets gérés par l'US Marshals Service. La piste est apparue à la suite d'un différend sur Telegram divulgué, où un participant avait partagé son écran en montrant le contrôle d'adresses liées au gouvernement.

• Montant de l'escroquerie : plus de 46 millions de dollars liés à des actifs numériques saisis placés sous conservation fédérale.
• Faits clés : il a identifié le suspect comme étant John Daghita, dont l'entreprise du père détenait un contrat de conservation de l'USMS attribué en 2024.
• Résultat : le FBI a arrêté Daghita à Saint-Martin en mars 2026 ; l'affaire a suscité l'inquiétude quant à la conservation externalisée des cryptos saisies.

5. Autres enquêtes notables

Au-delà des affaires les plus médiatisées, ZachXBT a mis au jour des dizaines de stratagèmes plus modestes mais préjudiciables, impliquant des influenceurs, des plateformes d'échange et des groupes d'ingénierie sociale actifs dans des cercles connus en ligne sous le nom de « The Com ».

• Délit d'initié chez Axiom (févr. 2026) : Il a cité la plateforme de trading Axiom, affirmant que des employés avaient abusé d'outils d'assistance internes pour consulter des données privées de wallet après avoir généré plus de 390 M $ de revenus.
• Dritan Kapllani Jr. (mai 2026) : il a relié un jeune de 18 ans à environ 19 millions de dollars de vols par ingénierie sociale, en s'appuyant comme preuves sur des enregistrements « flex » sur Discord et des documents judiciaires désormais publics.
• Réseau de travailleurs informatiques nord-coréens (avr. 2026) : il a dévoilé une opération nord-coréenne générant environ 1 million de dollars par mois grâce à de fausses identités, des documents falsifiés et des conversions de crypto en monnaie fiat.
• Machi Big Brother (2022-2023) : il a affirmé que Jeff Huang avait retiré 22 000 ETH d'un wallet de trésorerie ; Huang l'a poursuivi pour diffamation mais a ensuite abandonné l'affaire.
• Pump-and-dumps d'influenceurs (2022) : dans un fil de 17 messages, il a documenté comment des figures telles que Lark Davis ont reçu des allocations de jetons, les ont promus, puis les ont vendus pour des profits non divulgués.
• Récupération des NFT DeGods (2023-2024) : Il a retracé un NFT volé de 99 ETH, suivi le wallet de l'attaquant et aidé à récupérer l'essentiel de la valeur pour la victime.

ZachXBT et le Lazarus Group

ZachXBT est devenu central pour tracer les fonds liés à Lazarus Group, l'unité nord-coréenne à l'origine de nombre des plus grands exploits de failles de la crypto. Son implication s'est renforcée en 2022, lorsque Lazarus a ciblé les ponts cross-chain, et a atteint un sommet avec l'attribution du piratage de Bybit en 2025.

À la mi-2022, il a analysé le piratage de Horizon Bridge de 100 millions de dollars, montrant comment les fonds ont transité par Tornado Cash avant d'être dispersés sur de nouveaux wallets. Ses analyses visuelles ont aidé le public à comprendre comment des acteurs liés à des États détournent les outils DeFi pour blanchir des cryptomonnaies et contourner les sanctions.

En 2025 et 2026, son travail a pris une ampleur touchant des menaces de niveau étatique. Outre l'affaire Bybit, il a cartographié la manière dont des groupes nord-coréens (RPDC) ont volé environ 2,02 milliards de dollars rien qu'en 2025, selon Chainalysis, soit environ 60 % de l'ensemble des vols de cryptomonnaies de cette année-là, et il a mis au jour les stratagèmes de faux informaticiens à l'identité usurpée qui financent le régime.

Pourquoi l'attribution est importante

Attribuer des piratages à Lazarus n'est pas qu'un exercice technique ; cela conditionne la réponse dans le monde réel. Une attribution rapide et crédible permet aux plateformes d'échange de geler des fonds, éclaire les sanctions gouvernementales et alerte l'ensemble du marché, ce qui explique pourquoi la soumission rapide de ZachXBT sur Bybit a pesé bien au-delà d'une prime de bug.

Sa rapidité fait partie de l'histoire. Son confrère enquêteur Nick Bax a décrit ZachXBT analysant manuellement environ 500 transactions en à peu près 12 heures, un rythme qui lui permet de publier des attributions crédibles alors que les fonds volés circulent encore et peuvent potentiellement être récupérés.

Sur quoi travaille ZachXBT en 2026 ?

En 2026, ZachXBT est passé des arnaques isolées aux problèmes systémiques : inconduites internes dans des sociétés rentables, blanchiment à l'échelle industrielle et lacunes dans la façon dont les plateformes d'échange et les gouvernements gèrent la conservation. Son influence s'étend désormais à l'infrastructure formelle du secteur.

Les principaux axes de ses travaux récents sont les suivants :

• Responsabilité des plateformes d'échange : il a publiquement mis la pression sur des plateformes qu'il accuse d'ignorer les flux illicites, notamment par de vives critiques envers KuCoin et des litiges portant sur des fonds que, selon lui, des plateformes d'échange ont retenus.
• Partenariats institutionnels : en février 2025, il a rejoint Paradigm comme conseiller en réponse aux incidents et, en août 2025, il est devenu partenaire de lancement du Beacon Network en temps réel de TRM Labs.
• Délit d'initié : son enquête sur Axiom a mis en lumière la façon dont des employés d'entreprises en forte croissance peuvent exploiter des données internes, un thème qui représente selon lui le plus grand risque sous-couvert du secteur.
• Effet de débordement sur les marchés de prédiction : ses enquêtes annoncées en avant-première font de plus en plus bouger les cotes de Polymarket, le seul teaser d'Axiom ayant généré des dizaines de millions de volume spéculatif.
• Réaction de juridiction : à la mi-2026, il a dit qu'il cesserait de traiter des affaires de fraude canadiennes, invoquant une application faible de la loi et qualifiant Toronto de grand centre de cybercriminalité.
• Fraude pilotée par l'IA : il a signalé que les deepfakes et les kits de phishing automatisés industrialisent les arnaques, ce qui accroît les enjeux pour les victimes comme pour les enquêteurs.

Fortune et financement de ZachXBT

ZachXBT n'a pas de fortune confirmée et a démenti une estimation de 250 millions de dollars fondée sur un wallet de plateforme d'échange mal attribué. Ses revenus proviennent de dons de la communauté, d'un financement participatif juridique dépassant 1 million de dollars, de primes et de missions rémunérées occasionnelles pour de grandes victimes de vols.

Parmi les récompenses documentées figurent une prime Arkham de 150 000 $ pour avoir identifié Martin Shkreli comme le créateur du jeton DJT, la prime d'environ 31 500 $ en ARKM pour l'attribution du piratage de Bybit, et 150 000 jetons OP issus du RetroPGF d'Optimism. Il fournit généralement son travail d'enquête gratuitement, en réservant des honoraires aux grands cas de réponse à incident.

Défis et controverses autour de ZachXBT

Tout n'a pas été succès et éloges. Être l'enquêteur le plus visible de la crypto lui a valu des procès, l'examen de la communauté, des railleries de criminels et, plus récemment, des questions précises sur sa propre indépendance et ses relations de financement.

Voici quelques-unes des difficultés les plus notables auxquelles il a fait face :

• Plainte pour diffamation : en 2023, Jeff « Machi » Huang l'a poursuivi au sujet du rapport sur 22 000 ETH ; l'affaire a été abandonnée après des modifications et plus de 1 million de dollars de dons pour frais juridiques.
• Identité exposée : des documents judiciaires de cette affaire le nommaient Zachary Wolk, du Texas, et un thread viral de mai 2026 affirmait confirmer son identité grâce à des recherches en sources ouvertes.
• Accusations de conflit d'intérêts : Le même fil affirmait qu'il avait cessé toute couverture critique de Hyperliquid après avoir reçu 10 000 jetons HYPE, une accusation que lui et ses soutiens contestent comme non vérifiée.
• Controverse sur le jeton : début 2025, il a retiré environ 3,9 millions de dollars d'une réserve de memecoin d'hommage, s'attirant des accusations d'hypocrisie alors qu'il affirmait que les jetons n'avaient pas été sollicités.
• Asymétrie d'information : des critiques ont relevé que des wallets ont parié contre Axiom sur Polymarket quelques heures avant son rapport, ce qui soulève des questions sur d'éventuelles fuites lors de ses échanges habituels avant publication.
• Menaces d'escrocs : en 2024, un pirate à l'origine d'un vol de 243 millions de dollars s'est moqué de lui par un message onchain, montrant que les criminels qu'il traque réagissent parfois directement.

Conclusion

L'ascension de ZachXBT, d'anonyme victime d'arnaque à traqueur de fraudes le plus fiable du secteur, relève d'un rare folklore crypto. Sans formation formelle, il a aidé à démêler des affaires valant des milliards avec pour seuls outils la curiosité, les données de la blockchain et un refus obstiné de laisser disparaître discrètement des fonds volés.

Ce qui nous frappe en 2026, c'est la façon dont son histoire est devenue plus complexe. La même visibilité qui lui permet de geler des fonds de Lazarus et de provoquer des arrestations retourne désormais le projecteur contre lui, posant une question inconfortable mais saine : qui surveille le chien de garde ?

Cette tension est peut-être le signe le plus net de son influence. Tant que les arnaques migreront vers l'onchain, ZachXBT sera là pour suivre leur trace, et tant qu'il aura une réelle influence, le secteur continuera de lui demander de respecter le même niveau de transparence qu'il exige de tous les autres.