70 Incidents Crypto En Une Semaine : 18 M$ Volés

Imaginez ouvrir votre application de portefeuille un matin ordinaire et découvrir que plusieurs millions de dollars ont purement et simplement disparu. Pas de phishing grossier, pas de mot de passe oublié. Juste un appareil hardware que vous pensiez inviolable, acheté chez un revendeur classique. C’est exactement ce qui est arrivé à trois nouvelles victimes entre le 13 et le 20 octobre. La Security Alliance a compté soixante-dix incidents de sécurité en sept jours. Le total dépasse les dix-huit millions de dollars. Et le dossier le plus lourd reste celui des Ledger piégés écoulés par CryptoBilis.

Une Semaine Ordinaire Qui N’a Rien D’Ordinaire

Les chiffres tombent comme un couperet. Soixante-dix signalements en sept jours. Plus de dix-huit millions de dollars partis en fumée sur les huit principales catégories suivies par SEAL. Ajoutez une centaine d’ETH et quelques BTC pour faire bonne mesure. On parle de seed phrases volées, de braquages physiques, de faux entretiens d’embauche pilotés depuis Pyongyang et d’implants matériels capables de lire l’écran d’un hardware wallet pendant sa configuration.

Dans un écosystème où personne ne vous rembourse, ces bilans hebdomadaires sont devenus la source la plus fiable pour comprendre ce qui se passe réellement. SEAL n’est ni un cabinet d’audit ni une société qui vend ses services. C’est une organisation à but non lucratif lancée début 2024 à l’initiative de samczsun, ancien chercheur chez Paradigm. Elle fédère plusieurs centaines de bénévoles : chercheurs, développeurs, enquêteurs on-chain, juristes. Leur outil le plus visible s’appelle SEAL 911. Une ligne d’urgence sur Telegram où un hacker éthique prend le relais en quelques minutes quand un protocole se fait vider ou qu’un particulier voit ses fonds s’envoler.

Dans un écosystème où personne ne vous rembourse, SEAL est devenu indispensable. Si vous êtes victime d’un vol ou d’un hack, le réflexe est simple : securityalliance.org/sos ou le bot Telegram @seal_911_bot, gratuitement, à toute heure.

Le collectif publie aussi le Safe Harbor Agreement, un cadre juridique qui autorise les white hats à intervenir pendant une attaque pour mettre les fonds à l’abri. Il tient à jour des listes de domaines de phishing et d’adresses frauduleuses. C’est de ce travail de fourmi, visible jour après jour, que sortent tous les chiffres de ce bilan.

Les Ledger Piégés De CryptoBilis Continuent De Vider Les Comptes

Vous pensiez que l’affaire était derrière vous ? Elle ne l’est pas. Les trois signalements reçus par SEAL cette semaine pèsent à eux seuls 9,3 millions de dollars. Plus de trois millions par victime en moyenne. Pour mémoire, Ledger a ouvert son enquête le 9 octobre, confirmé le 10 la présence d’un implant matériel non autorisé dans l’appareil d’un client, puis relié le 11 l’ensemble des pertes signalées aux appareils écoulés par ce revendeur malaisien.

La mise à jour technique publiée le 13 octobre par le Ledger Donjon décrit un mécanisme d’une simplicité cruelle. Le module logé dans le boîtier lit l’écran pendant la configuration, le moment précis où les vingt-quatre mots de la phrase de récupération s’affichent. Il les transmet ensuite par réseau mobile grâce à une eSIM. Le Secure Element, la puce sécurisée qui signe les transactions, reste intact. Le Genuine Check de Ledger valide donc l’appareil comme authentique, sans pouvoir détecter l’implant.

Le problème dépasse désormais l’Asie du Sud-Est. Un client allemand a signalé un appareil piégé acheté chez MediaMarkt, sans perte de fonds à ce stade. L’enseigne a retiré les Ledger de ses rayons dans tous ses pays. Ledger n’a toujours pas communiqué de bilan officiel du nombre d’appareils piégés ni du montant total dérobé, qu’il qualifie de « limité ». Les enquêteurs on-chain, eux, suivent déjà 103 millions de dollars de butin à travers Tornado Cash et Zcash. Les trois dossiers ajoutés cette semaine par SEAL alourdissent encore la note.

Seed Phrases Et Facteur Humain : La Catégorie Qui Écrase Tout

Avec vingt-cinq cas sur soixante-dix, la compromission de seed phrase reste de très loin la catégorie la plus fréquente du bilan SEAL. La facture de la semaine atteint 3,86 millions de dollars, 64,5 ETH et 0,3 BTC. Une seed phrase, ce sont ces douze ou vingt-quatre mots qui donnent accès à tous les fonds d’un wallet. Quiconque les obtient devient propriétaire. Les prises de contrôle de comptes ajoutent encore 1,6 million de dollars au compteur.

On le répète souvent, mais il faut le redire : la plupart des vols ne viennent pas d’une faille dans le code d’un protocole. Ils viennent d’une photo de seed stockée dans le cloud, d’un message Discord trop confiant, d’un faux support technique, d’un fichier texte laissé sur un ordinateur. Le facteur humain reste le maillon faible, et les attaquants le savent parfaitement.

Wrench Attacks : Quand La Clé À Molette Remplace Le Malware

Les wrench attacks figurent aussi au classement avec deux victimes braquées en personne et 1,22 million de dollars volés. SEAL précise que ces agressions physiques sont en hausse. Le terme désigne le vol de crypto sous la menace, quand la force brute remplace le logiciel malveillant. Les lecteurs français connaissent le sujet : la police judiciaire comptait déjà 41 crypto-rapts dans l’Hexagone à la mi-avril 2026.

Ces attaques rappellent une vérité dérangeante. Posséder des cryptomonnaies n’est pas seulement un risque numérique. C’est aussi un risque physique. Plus les montants détenus sont importants, plus la discrétion devient une nécessité absolue. Ne pas étaler son patrimoine crypto sur les réseaux sociaux n’est plus un conseil de bon sens. C’est une mesure de sécurité de base.

Protocoles, Multisigs Et Menaces Internes

Côté protocoles, SEAL compte neuf rapports. Six compromissions ont coûté 2 millions de dollars et 37,44 ETH, dont deux exploits à un million chacun. Une prise de contrôle d’infrastructure a fait perdre 32 400 dollars et 5 BTC. Et puis il y a ce cas de menace interne, presque comique s’il n’était pas si grave. Un contributeur a ajouté sa propre adresse comme signataire d’un multisig, ce portefeuille qui exige plusieurs validations pour bouger les fonds.

Ce type d’incident rappelle que la sécurité d’un protocole ne se limite pas au code. Elle passe aussi par la gouvernance, les processus internes et la confiance accordée aux contributeurs. Un multisig mal configuré ou un accès trop large peut transformer un simple collaborateur en point de défaillance unique.

Faux Zoom, Faux Recruteurs : La Corée Du Nord Ratisse Large

Les groupes nord-coréens ont fait cinq victimes pour 260 000 dollars. Trois d’entre elles ont perdu 86 000 dollars dans le piège Contagious Interview. Un faux entretien d’embauche où le candidat installe un malware en croyant passer un test technique. Une compromission de wallet non encore rattachée à une campagne précise représente les 174 000 dollars restants.

Plus inquiétant pour les développeurs, le malware Polin Rider a été repéré dans 13 des 928 dépôts d’un programme de bounty open source. Aucune perte signalée à ce stade. Le groupe UNC1069 a par ailleurs enregistré de nouveaux domaines imitant des services de visioconférence. Et un ensemble d’intrusion encore non attribué, baptisé SINT-69, continue de produire à la chaîne de faux sites Zoom et Teams aux noms du type zoomwweb ou teamlives.

Sur la semaine, SEAL a collecté 2 393 domaines de phishing, publié 2 437 indicateurs de compromission et répertorié 155 wallets. Ces chiffres donnent la mesure du travail de fond réalisé par le collectif. Derrière chaque domaine signalé, chaque adresse blacklistée, il y a des heures de veille et d’analyse.

Pourquoi Ces Bilans Hebdomadaires Comptent Vraiment

Dans un secteur où les annonces officielles arrivent souvent en retard ou restent floues, les synthèses de SEAL apportent une transparence rare. Elles permettent de voir les tendances se dessiner en temps réel. La montée des wrench attacks, la persistance des implants matériels, l’efficacité des campagnes de recrutement fictives nord-coréennes : autant de signaux faibles qui deviennent des signaux forts quand on les regarde semaine après semaine.

Ces données aident aussi les particuliers et les équipes de sécurité à prioriser leurs efforts. Si la compromission de seed phrase représente plus d’un tiers des incidents, c’est là que les campagnes de sensibilisation doivent porter en priorité. Si les faux entretiens d’embauche fonctionnent encore, c’est que les développeurs et les candidats doivent être formés à reconnaître ces schémas.

Les Leçons Concrètes À Tirer De Cette Semaine

Première leçon : n’achetez jamais un hardware wallet chez un revendeur non officiel ou trop bon marché. Même un Genuine Check validé ne garantit plus l’absence d’implant. Deuxième leçon : une seed phrase ne doit jamais être photographiée, stockée dans le cloud, envoyée par message ou écrite dans un fichier numérique. Troisième leçon : méfiez-vous de toute proposition d’entretien technique qui demande d’installer un logiciel ou de cliquer sur un lien de « mise à jour ».

Quatrième leçon : la discrétion est une forme de sécurité. Plus vous affichez votre patrimoine crypto, plus vous devenez une cible potentielle pour une wrench attack. Cinquième leçon : en cas de doute ou de perte, contactez immédiatement SEAL 911. Le temps de réaction est souvent le seul facteur qui permet encore de sauver une partie des fonds.

La plupart des vols ne viennent pas d’une faille dans le code d’un protocole. Ils viennent d’une photo de seed stockée dans le cloud, d’un message Discord trop confiant, d’un faux support technique.

Le Contexte Plus Large Des Attaques Matérielles

L’affaire CryptoBilis n’est pas un cas isolé dans l’histoire de la sécurité des hardware wallets. Elle s’inscrit dans une longue série de tentatives pour contourner la protection physique des appareils. Pendant des années, l’argument de vente des constructeurs a reposé sur l’idée que le Secure Element était inviolable et que le Genuine Check garantissait l’authenticité. L’apparition d’implants capables de lire l’écran pendant la configuration change la donne.

Cette évolution force les constructeurs à revoir leur modèle de confiance. Elle force aussi les utilisateurs à adopter des réflexes plus stricts. Vérifier la provenance de l’appareil, initialiser soi-même le wallet dans un environnement contrôlé, et surtout ne jamais faire confiance aveuglément à un revendeur, même connu.

Phishing De Masse Et Industrialisation Des Attaques

Les 2 393 domaines de phishing collectés en une seule semaine montrent que les attaques sont désormais industrialisées. Les groupes n’improvisent plus. Ils produisent à la chaîne des sites crédibles, des domaines proches des originaux, des interfaces qui ressemblent trait pour trait aux services légitimes. La barrière à l’entrée pour lancer une campagne de phishing a considérablement baissé.

Face à cela, la vigilance individuelle reste essentielle, mais elle ne suffit plus. Les navigateurs, les extensions de sécurité, les listes noires mises à jour en temps réel et les outils comme ceux de SEAL deviennent des couches de protection indispensables. L’écosystème doit apprendre à collaborer plus vite pour partager les indicateurs de compromission.

L’Impact Psychologique Sur Les Victimes

Derrière chaque chiffre se cache une histoire humaine. Perdre plusieurs millions de dollars en quelques minutes laisse des traces. Certaines victimes parlent de perte de confiance totale dans les technologies qu’elles utilisaient depuis des années. D’autres évoquent des nuits blanches, des crises d’angoisse, la peur permanente d’être de nouveau ciblées.

SEAL joue aussi un rôle de soutien dans ces moments. Le simple fait de pouvoir parler à quelqu’un qui comprend la situation technique et qui peut agir rapidement change beaucoup de choses. Dans un secteur encore jeune, cette dimension humaine de la sécurité est trop souvent oubliée.

Ce Que Les Projets Peuvent Améliorer Dès Maintenant

Les protocoles et les plateformes ont aussi leur part de responsabilité. Améliorer les processus d’onboarding des contributeurs, limiter les accès aux multisigs, mettre en place des procédures de double validation pour les changements critiques, former les équipes aux techniques d’ingénierie sociale : autant de mesures concrètes qui réduisent le risque.

Les programmes de bug bounty doivent également être mieux sécurisés. Le fait que le malware Polin Rider ait pu se glisser dans 13 dépôts d’un programme open source montre que même les initiatives destinées à renforcer la sécurité peuvent devenir des vecteurs d’attaque s’ils ne sont pas correctement contrôlés.

La Montée En Puissance Des Acteurs Étatiques

La présence récurrente de groupes nord-coréens dans ces bilans n’est pas anodine. Ces acteurs disposent de ressources, de temps et d’une motivation financière claire. Leurs campagnes Contagious Interview et leurs domaines de phishing imitant Zoom ou Teams sont conçus pour cibler précisément les développeurs et les personnes ayant accès à des fonds ou à des infrastructures sensibles.

Face à des adversaires aussi déterminés, la seule défense individuelle a ses limites. Les entreprises du secteur doivent investir davantage dans la formation de leurs collaborateurs, dans la détection des comportements suspects et dans la collaboration avec les équipes de renseignement sur les menaces.

Un Écosystème Qui Doit Grandir En Maturité

Dix-huit millions de dollars en sept jours, ce n’est pas seulement un chiffre. C’est le symptôme d’un écosystème encore immature sur le plan de la sécurité opérationnelle. Les technologies blockchain progressent rapidement, mais les pratiques de sécurité des utilisateurs et des projets avancent trop lentement.

Les constructeurs de hardware wallets doivent revoir leurs modèles de confiance. Les plateformes d’échange et les protocoles DeFi doivent renforcer leurs processus internes. Les utilisateurs doivent accepter que la sécurité n’est pas un produit qu’on achète une fois pour toutes, mais une discipline quotidienne.

Que Faire Si Vous Pensez Avoir Été Compromis

La première chose est de ne pas paniquer. La deuxième est d’agir vite. Si vous avez le moindre doute sur un appareil, une seed phrase ou une transaction suspecte, contactez immédiatement SEAL 911 via le bot Telegram ou le site securityalliance.org/sos. Plus la réaction est rapide, plus les chances de récupérer une partie des fonds ou de limiter les dégâts augmentent.

Documentez tout ce que vous pouvez : adresses des wallets concernés, captures d’écran, historique des transactions, provenance de l’appareil. Ces éléments sont précieux pour les enquêteurs on-chain. Et surtout, ne tentez pas de « tester » si votre seed est compromise en envoyant une petite somme. Vous risqueriez d’alerter les attaquants.

Le Rôle Crucial De La Communauté

SEAL fonctionne grâce à des centaines de bénévoles. Chaque signalement, chaque domaine de phishing partagé, chaque adresse frauduleuse identifiée contribue à protéger l’ensemble de l’écosystème. La sécurité crypto n’est pas uniquement l’affaire des experts. Elle est l’affaire de tous ceux qui utilisent ces technologies au quotidien.

Partager les bonnes pratiques, signaler les comportements suspects, former son entourage : autant de gestes simples qui, multipliés, font une différence réelle. Les attaquants collaborent entre eux. Les défenseurs doivent faire de même.

Perspectives Pour Les Prochaines Semaines

Rien n’indique que la pression va se relâcher. Les implantations matérielles, les campagnes de recrutement fictives et les attaques physiques semblent s’installer durablement dans le paysage des menaces. Les prochains bilans de SEAL diront si les mesures prises par Ledger et les revendeurs portent leurs fruits, et si les utilisateurs commencent enfin à modifier leurs comportements.

En attendant, la vigilance reste de mise. Vérifiez l’origine de vos appareils, protégez vos seed phrases comme votre vie, méfiez-vous des propositions trop belles pour être vraies, et gardez le contact de SEAL 911 à portée de main. Dans un monde où dix-huit millions de dollars peuvent disparaître en sept jours, la sécurité n’est plus une option. C’est une condition de survie.

Cette semaine n’a rien d’extraordinaire. C’est précisément ce qui rend ces chiffres inquiétants. Quand soixante-dix incidents et plus de dix-huit millions de dollars deviennent une semaine ordinaire, c’est tout l’écosystème qui doit se poser les bonnes questions. Et y répondre rapidement.