En 2016, près de 120 000 bitcoins se sont volatilisés de la plateforme Bitfinex en une seule intrusion. Pendant six ans, le voleur a paru introuvable — jusqu'à ce que le FBI ouvre un fichier dans le cloud et réalise la plus grosse saisie financière de l'histoire américaine. Le coupable était un entrepreneur de la tech, et sa femme une rappeuse excentrique qui se faisait appeler “le Crocodile de Wall Street”. Voici l'histoire du braquage de Bitfinex et de Razzlekhan : comment la blockchain n'a rien oublié.
L'intrusion
Août 2016. Bitfinex, l'une des plus grandes plateformes bitcoin du monde, établie à Hong Kong, est ouverte de l'intérieur. Un attaquant exploite une faille de sécurité et déplace en peu de temps quelque 119 754 bitcoins vers des portefeuilles qu'il contrôle. Valeur à cet instant : environ 72 millions de dollars.
La nouvelle fait l'effet d'une bombe. Le cours du bitcoin chute d'environ 20 % le jour même. C'est l'un des plus grands vols sur une plateforme depuis Mt. Gox, et le message est le même : vos coins sur une plateforme ne valent que le maillon le plus faible de son code. Mais ce qui rend cette affaire unique, ce n'est pas l'intrusion. C'est ce qui, pendant six ans, ne s'est pas produit — et qui s'est produit d'un coup.
Qui a payé l'addition
Le premier à encaisser le choc n'a pas été le voleur mais le client. Bitfinex a choisi de répartir la perte sur tous ses utilisateurs : chacun — y compris ceux qui n'avaient rien à voir avec les portefeuilles piratés — a rendu environ 36 % de son solde. En échange, les clients ont reçu des jetons BFX, que l'entreprise a plus tard rachetés ou convertis en actions.
Ces clients s'en sont donc finalement sortis — mais pesez le principe : sur une plateforme non agréée, sans ségrégation obligatoire des fonds clients ni couverture, un hack peut signifier que vous financez le vol commis contre un autre. Vous n'êtes pas un épargnant protégé ; vous êtes coporteur du risque.
Six ans de silence
Après l'intrusion, il s'est passé quelque chose d'étrange : presque rien. Les bitcoins volés sont restés en grande partie immobiles dans les portefeuilles du voleur. Des années durant, les analystes on-chain ont surveillé ces adresses comme une bombe à retardement — tout le monde pouvait voir que l'argent était là, puisque la blockchain est publique, mais personne ne savait qui détenait les clés.
Et pendant que l'argent dormait là, il ne faisait que prendre de la valeur. Le butin, qui valait quelque 72 millions de dollars en 2016, a atteint des milliards au fil de la hausse du bitcoin. Le voleur était assis sur une fortune qu'il n'osait pas toucher. Car chaque fois qu'il déplacerait une pièce, il laisserait une trace qui ne disparaîtrait jamais.
Le couple le plus improbable
Le voleur, c'était Ilya Lichtenstein, surnommé “Dutch” : un entrepreneur tech américain né en Russie, le genre d'homme discret qu'on ignorerait à un apéro de start-up. Mais le visage que le monde allait retenir, c'était celui de sa femme.
Heather Morgan était femme d'affaires le jour et — ce n'est pas une blague — une experte active sur LinkedIn et dans Forbes, qui écrivait sur la manière dont les entreprises devaient se protéger des cybercriminels et de la fraude. Le soir, elle était “Razzlekhan”, rappeuse autoproclamée qui se faisait appeler le “Crocodile de Wall Street” et tournait des clips délirants dans les rues de New York, y compris en plein devant le New York Stock Exchange.
Elle se faisait appeler le Crocodile de Wall Street — et écrivait dans le même temps pour Forbes un article sur la lutte contre la fraude et la cybercriminalité.Le personnage public de Heather ‘Razzlekhan’ Morgan prouvé
L'ironie était totale : une femme qui se présentait comme conseillère en cybercriminalité aidait en secret à blanchir le produit de l'un des plus gros cybervols de l'histoire. Quand l'affaire a éclaté, ses clips de rap catastrophiques sont devenus viraux en une journée — mais la vraie histoire était dans la blockchain.
La machine à laver
À partir de 2017 environ, le couple a commencé à déplacer le butin, avec un arsenal de techniques que l'acte d'accusation décrira minutieusement. Ils ont fractionné le flux en des milliers de petites transactions (chain-hopping), fait passer des coins par des places de marché du darknet comme AlphaBay et Hydra, ouvert des comptes sous de fausses identités, converti des bitcoins en d'autres monnaies puis à nouveau en bitcoins, et transformé une partie en or physique.
Cet or a pris une tournure presque féerique : une partie a été convertie en pièces d'or que Morgan a littéralement enterrées. Les enquêteurs les ont plus tard déterrées à un endroit en Californie. Il y avait même des cartes cadeaux Walmart. C'était du blanchiment traité comme un jeu — et c'est précisément ce goût du jeu qui les a perdus, car chaque coup était inscrit de façon indélébile dans le grand livre.
Le fichier dans le cloud
Le tournant n'est pas venu d'une descente de police mais d'un écran de connexion. Début 2022, les enquêteurs ont obtenu, sur mandat, l'accès à un compte de stockage cloud de Lichtenstein. Ils y ont trouvé l'inimaginable : un fichier contenant la liste de plus de 2 000 adresses de portefeuilles hébergeant les bitcoins volés — avec les clés privées correspondantes.
Le voleur avait rangé les clés de son propre coffre dans un fichier stocké dans le cloud. Une connexion, et la partie était finie.
Avec ces clés, les autorités ont pu faire ce que le voleur lui-même n'avait pas osé : déplacer l'argent. Elles ont récupéré d'un coup quelque 94 000 bitcoins. Six ans d'intouchabilité ont pris fin avec un fichier texte.
La plus grosse saisie de l'histoire
Le 8 février 2022, Ilya Lichtenstein et Heather Morgan sont arrêtés à New York. Le ministère américain de la Justice annonce avoir saisi des bitcoins d'une valeur d'environ 3,6 milliards de dollars — à ce moment-là, la plus grosse saisie financière de l'histoire du ministère. Des centaines de millions se sont ajoutés par la suite.
Le “Crocodile de Wall Street” et son mari, qui se croyaient auteurs du crime parfait, se sont retrouvés eux-mêmes en cellule — pris au piège par la technologie même qu'ils pensaient avoir vaincue.
Le verdict
En août 2023, tous deux plaident coupables d'entente en vue de blanchiment, et Lichtenstein reconnaît être le hacker initial de Bitfinex. En novembre 2024, les peines tombent : Ilya Lichtenstein écope de cinq ans de prison, Heather Morgan de dix-huit mois. Grâce à la hausse du bitcoin, l'État avait entre-temps récupéré près de dix milliards de dollars de valeur volée — de très loin la plus grosse récupération jamais réalisée.
L'affaire est devenue, inévitablement, un documentaire Netflix. Mais sa portée durable ne tient pas aux clips de rap ni à l'or enterré. Elle tient à ces six années où l'argent semblait intouchable, et à cette seule connexion qui a tout dénoué.
Ce que le braquage a prouvé
Le braquage de Bitfinex démonte le plus grand mythe sur la crypto : celui de l'anonymat. C'est l'inverse qui est vrai. La blockchain est une mémoire publique et permanente — chaque pièce déplacée par le couple laissait une trace qui les a attendus patiemment pendant six ans. Ils n'ont pas été pris malgré la technologie, mais grâce à elle. Pour qui pense que la crypto volée disparaît sans laisser de traces : les voleurs étaient assis sur des milliards qu'ils pouvaient à peine dépenser.
Et il y a une seconde leçon, pour qui choisit où stocker ses coins. Quand Bitfinex a été piraté, ce sont les clients qui ont reçu la facture — une décote forcée de 36 % sur le solde de chacun. Comparez avec la façon dont Bybit a absorbé en 2025 un hack encore plus gros sans qu'un seul client ne perde quoi que ce soit. La différence tient aux réserves, à la transparence et à la question de savoir si l'argent des clients est protégé. C'est exactement pour cela que la loi européenne MiCAR exige d'une plateforme agréée qu'elle sépare les fonds des clients de ses fonds propres et prouve leur conservation — pour que l'addition d'une intrusion n'atterrisse pas silencieusement chez vous.
Le Crocodile de Wall Street se croyait plus malin que le système. Mais le grand livre n'oublie rien, et le coffre d'un voleur est aussi vulnérable qu'un fichier mal rangé. La question que laisse ce braquage est double : quelle est la qualité de la sécurité de votre plateforme — et qui paiera les dégâts si ça tourne mal quand même ?
Sources
Plaidoyers de culpabilité & méthodes de blanchiment (chain-hopping, AlphaBay/Hydra, fausses identités, or) : US DOJ. Arrestation + saisie de 3,6 Mds $ (la plus grosse jamais réalisée), févr. 2022 : Washington Post. Peines (Ilya 5 ans, Heather 18 mois) & ~10 Mds $ récupérés : TRM Labs, Bloomberg. Le personnage Razzlekhan, les pièces d'or enterrées & l'affaire : TIME, NBC News.