ZachXBT Rapport : Circle cité pour des défaillances de conformité dans plus de $420 millions d'incidents

Le 3 avril, l’enquêteur on-chain ZachXBT a publié un rapport détaillant de prétendus manquements à la conformité de Circle. Le rapport affirme qu’à partir de 2022, l’entreprise a fait preuve de « contrôle de conformité inadéquat » lors de plusieurs incidents impliquant des fonds illicites, pour un montant cumulé dépassant 420 millions de dollars. Le rapport met en avant que Circle, en tant qu’émetteur de USDC, est constamment reconnu pour sa position réglementaire et son système de conformité solide. Ses contrats de jetons disposent aussi de la fonctionnalité permettant de geler et de mettre sur liste noire des adresses, et ses conditions générales réservent explicitement le droit de restreindre les comptes suspects. Cependant, lors de plusieurs incidents de sécurité majeurs, ces mécanismes n’ont pas été utilisés rapidement ou efficacement. Le rapport mentionne en particulier l’attaque du Drift Protocol du 1er avril 2026, au cours de laquelle environ 280 millions de dollars d’actifs ont été volés. L’attaquant a transféré plus de 232 millions de dollars en USDC de Solana vers Ethereum via le propre pont inter-chaînes de Circle, CCTP, en moins de six heures, mais aucun actif n’a été gelé pendant cette période. Des situations similaires se sont produites lors des attaques contre SwapNet, Cetus Protocol et Mango Markets. Dans certains cas, Circle n’a pas agi rapidement même après que les forces de l’ordre et des experts de l’industrie ont émis des demandes de gel, ou n’a traité les actifs qu’après qu’ils avaient déjà été transférés. En outre, le rapport souligne que la réponse de Circle dans les enquêtes liées au blanchiment d’argent par le groupe Lazarus a été nettement plus lente que celle d’autres émetteurs de stablecoins tels que Tether et Paxos. Dans certains cas, les opérations de gel ont été retardées de plusieurs mois. Des retards similaires ont été observés dans l’attaque de la chaîne d’approvisionnement du Ledger et l’attaque GMX, où l’USDC est resté dans des adresses suspectes pendant des heures, voire plus longtemps, sans être gelé. ZachXBT a déclaré dans le rapport que cette divulgation n’a pas pour but de nier la valeur des produits ou des stablecoins de Circle eux-mêmes, mais plutôt de souligner que ses décisions d’exécution de la conformité ont entraîné des « pertes réelles et significatives » pour l’industrie. Il a noté que, au cours des trois dernières années, en raison de défaillances répétées à agir en temps voulu, l’écosystème DeFi a subi des pertes à hauteur de chiffres sur neuf positions, et que le chiffre de 420 millions de dollars constitue une estimation prudente fondée sur des cas publics, l’ampleur réelle pouvant être plus élevée.