eXch a tenu une décennie comme swap instantané sans KYC. Puis Lazarus s'en est servi et les procureurs de Francfort l'ont saisi.

Comment ça marche

eXch fonctionnait comme un swap crypto instantané et custodial. L'utilisateur choisissait une paire, envoyait ses fonds vers une adresse de dépôt générée pour ce swap précis, et recevait l'actif de destination quelques minutes plus tard. Aucun compte, aucun e-mail, aucun mot de passe — juste un identifiant de swap et une adresse de remboursement facultative. Le site vivait sur le clearnet à exch.cx et via un miroir .onion, et prenait en charge Bitcoin, Lightning, Ethereum (avec ses ERC-20) et Monero. Les prix venaient de la liquidité interne et d'un pass-through vers des partenaires sans KYC.

En interne, la plateforme était un opérateur custodial. eXch prenait possession des fonds entrants pendant la fenêtre de swap et signait elle-même la transaction sortante ; entre la confirmation et le paiement, l'utilisateur n'avait aucun contrôle on-chain sur son dépôt. Le support se faisait uniquement par e-mail — lent, de l'avis même des utilisateurs, mais globalement réactif sur les swaps bloqués.

KYC et vie privée

Par conception, eXch ne collectait rien à l'inscription, parce qu'il n'y avait pas d'inscription. Le formulaire demandait une adresse d'entrée, une adresse de sortie et une adresse de remboursement facultative. Aucun KYC, à aucun seuil. La politique AML affichée par l'opérateur refusait de geler ou de partager les fonds en réponse à des demandes de tiers, et on-chain la plateforme tenait cette ligne, y compris face à des attributions de vol très médiatisées.

C'est précisément cette posture qui a fini par tuer le projet. Parce qu'eXch refusait de filtrer les dépôts entrants — y compris après que Bybit a publiquement marqué les adresses liées à son piratage du 21 février 2025 — environ 200 millions de dollars sur le 1,46 milliard volé par le groupe Lazarus ont transité par la plateforme en quelques semaines. Les enquêteurs d'Elliptic et de TRM Labs ont ensuite tracé un volume cumulé estimé à 1,9 milliard de dollars passé par eXch, avec une exposition significative au piratage de FixedFloat de février 2024, à des portefeuilles sanctionnés et à des fonds liés à du CSAM.

Forces et limites

Pour un maximaliste de la vie privée, eXch cochait les cases que la grille récompense : pas d'inscription, pas d'e-mail, accès en .onion, support natif de XMR aux côtés de BTC et LN, et un opérateur qui ne tendrait pas un graphe de transactions à l'avocat d'une contrepartie. Le débit sur les paires courantes se comptait en minutes, pas en heures. Le traitement des remboursements sur swaps bloqués était, à l'aune de ce segment, d'une régularité inhabituelle.

Les limites étaient structurelles, et se sont révélées fatales. eXch était custodial et closed source, sans preuve de réserves publiée et sans audit tiers. Les opérateurs pilotaient le projet depuis une coquille bélizienne, Private Project Facilitators LTD, avec un contact administratif suisse, un hébergement français et des serveurs allemands — une géométrie qui a donné aux procureurs de Francfort et au BKA toute la juridiction nécessaire. Le 30 avril 2025, un jour avant la fermeture annoncée par eXch pour le 1er mai, les autorités allemandes ont saisi les serveurs, environ 34 millions d'euros / 38 millions de dollars en jetons et 8 To de données opérationnelles. TRM Labs a ensuite constaté que les opérateurs maintenaient un accès API limité pour leurs partenaires après la saisie, y compris pour des flux liés à du CSAM.

Verdict

eXch offrait l'expérience sans KYC la plus propre que la sphère privacy ait connue — et un rail de blanchiment pour le programme d'armement nord-coréen. Le domaine clearnet est éteint, les opérateurs sont dans la nature, et tout miroir successeur est, par définition, la même équipe restée en ligne pour ses clients CSAM après la saisie. Note : D (4,2/10). Confiance : SCAM.