Ledger 103 Millions Tracés Via Tornado Cash Zcash

Imaginez un instant : vous possédez un hardware wallet réputé inviolable, vous avez suivi toutes les bonnes pratiques, jamais partagé votre phrase de récupération, et pourtant des centaines de milliers d’euros s’évaporent en quelques heures. C’est exactement ce qui s’est produit pour des centaines de détenteurs de Ledger. Plus de 100 millions de dollars ont quitté 530 adresses réparties sur sept blockchains. Le voleur a multiplié les détours par Tornado Cash et les pools blindés de Zcash, convaincu d’avoir effacé ses traces. Sauf que des analystes on-chain ont suivi chaque satoshi, chaque wei, chaque zatoshi. Et le tableau qui se dessine pose une question explosive sur la responsabilité des fabricants de portefeuilles physiques.

Comment 103 Millions De Dollars Ont Quitté Des Wallets Ledger

Tout a commencé par un silence inquiétant. Pendant plusieurs jours, des utilisateurs de Ledger ont constaté que leurs soldes fondaient sans aucune action de leur part. Pas de phishing sophistiqué cette fois-ci, pas de fausse application Ledger Live. Les clés privées elles-mêmes avaient été compromises. Les premières estimations de Bitquery parlaient déjà de 93,2 millions de dollars sur 315 wallets et six chaînes. Puis YFarmX a actualisé le compteur : environ 103,4 millions de dollars, 530 adresses, sept blockchains. Les trois quarts du butin étaient en USDT sur le réseau Tron.

Ledger a fini par publier un communiqué le 11 octobre. Le fabricant a insisté sur un point : les appareils concernés avaient tous été achetés auprès de CryptoBilis, un revendeur officiel d’Asie du Sud-Est. Un détail crucial a ensuite émergé. Dans au moins un des dispositifs examinés, les experts ont découvert un implant matériel non autorisé. Autrement dit, quelqu’un avait physiquement modifié le wallet avant qu’il n’arrive entre les mains de l’utilisateur. Les clés étaient donc compromises dès le départ.

La parade du voleur face au gel de Tether

Tether a réagi avec une rapidité rare. Dès le 9 octobre, 37 adresses liées au vol ont été blacklistées. Résultat : 10 millions d’USDT immobilisés dans les portefeuilles du pirate. Ce pouvoir de gel, propre aux stablecoins centralisés, n’existe ni pour le bitcoin ni pour l’ether. Le voleur le savait parfaitement. Dès le matin du casse, il a converti une partie de l’USDT en USDD, le stablecoin de Tron, via le module de stabilité. Ce jeton n’est pas touché par le blacklisting de Tether. Ensuite, direction THORChain, l’exchange cross-chain, pour transformer le tout en ether.

Cette manœuvre illustre une réalité que beaucoup préfèrent ignorer. Les stablecoins offrent un filet de sécurité aux victimes, mais seulement si le voleur n’anticipe pas le gel. Ici, l’anticipation a été quasi parfaite. Une portion non négligeable du butin a ainsi échappé au contrôle de Tether et s’est retrouvée en ether, bien plus difficile à saisir.

Sept vagues dans Tornado Cash puis immersion dans Zcash

Une fois l’ether en poche, le schéma s’est répété avec une régularité chirurgicale. YFarmX a dénombré sept vagues de dépôts sur Tornado Cash. Le mélangeur a fait son travail habituel : casser le lien visible entre le wallet déposant et le wallet retirant. Les fonds ont traversé les pools de 100, 10 et 1 ETH avant de ressortir, souvent dans l’heure, vers des adresses toutes neuves.

L’étape suivante a été plus radicale. Les ether ont été envoyés dans les pools blindés de Zcash. Dans ces pools, l’émetteur, le montant et le destinataire disparaissent complètement. C’est le niveau d’anonymat le plus élevé disponible sur une blockchain publique. Pourtant, c’est précisément là que les enquêteurs de YFarmX revendiquent leur plus belle réussite. Leur outil a identifié les transactions de retrait elles-mêmes, leur construction technique, leur auteur et leur horodatage. Résultat annoncé : 108 retraits sur 108 rattachés à leur lot d’origine, au zatoshi près.

Nous avons suivi chaque lot jusqu’à l’autre côté. Ce n’est plus de la théorie. C’est du fingerprinting transactionnel appliqué à Zcash.

YFarmX, 10 octobre 2026

Une fois ressortis des pools blindés, les fonds ont alimenté des ordres de vente de ZEC contre USDC. Ces ordres ont alimenté deux wallets fraîchement créés, pour un total de 1,79 million d’USDC encore non dépensés au moment de l’enquête. YFarmX a immédiatement interpellé Circle, l’émetteur de l’USDC, en rappelant que ce dernier dispose encore du pouvoir de geler cette somme.

L’implant matériel et la responsabilité de Ledger

Le cœur du débat se situe ici. Ledger présente l’affaire comme un incident limité à CryptoBilis. Le revendeur figure pourtant toujours, ou figurait récemment, sur la liste des partenaires autorisés. CryptoBilis a changé de propriétaire avant les vols, ce qui complique encore la chaîne de responsabilité. Ledger a confirmé la présence d’un implant matériel non autorisé dans au moins un appareil. Mais la société reste muette sur le mode opératoire exact : comment ces machines ont-elles été retournées ? À quel moment de la chaîne logistique l’implant a-t-il été ajouté ?

Sur les réseaux, la critique est vive. Beaucoup d’utilisateurs estiment que lorsqu’un canal de vente officiel devient le cheval de Troie, la responsabilité du fabricant ne peut pas s’arrêter à la simple suspension du revendeur. Cette affaire n’a rien à voir avec le phishing d’avril dernier, où une fausse application Ledger Live avait coûté 9,5 millions de dollars à des victimes ayant saisi leur seed phrase. Cette fois, l’attaquant a mis la main sur les clés elles-mêmes. Les propriétaires n’ont commis aucune erreur. Leurs appareils étaient déjà corrompus.

Ce qui reste gelable et ce qui ne l’est plus

Selon l’analyse de YFarmX, la plus grosse part du butin se trouve aujourd’hui en ether sur Ethereum. Aucun émetteur ne peut geler ces fonds. Viennent ensuite les bitcoins stockés dans deux wallets collecteurs, puis les 10 millions d’USDT déjà immobilisés par Tether. Circle, Binance, HitBTC et NEAR Intents disposent encore de leviers sur certaines adresses identifiées. La question qui reste ouverte est simple : ces gelées ouvriront-elles un jour la voie à des restitutions concrètes pour les victimes ?

Ledger n’a, pour l’instant, confirmé aucun montant total. La société se contente de rappeler que les cas vérifiés concernent des appareils provenant de CryptoBilis. Cette posture prudente alimente la frustration. Dans un secteur où la confiance repose en grande partie sur l’intégrité du hardware, un implant matériel découvert chez un revendeur officiel constitue un précédent grave.

Pourquoi le fingerprinting de Zcash change la donne

Pendant des années, les pools blindés de Zcash ont représenté l’un des derniers refuges pour ceux qui cherchaient un anonymat réel. L’annonce de YFarmX, si elle se confirme, marque un tournant. En analysant non pas les montants ou les adresses, mais la construction même des transactions de retrait, leur timing et leur signature technique, les enquêteurs affirment avoir reconstitué la chaîne complète. Chaque lot sortant a été rattaché à son lot entrant avec une précision extrême.

Cette méthode, appelée fingerprinting transactionnel, ne repose pas sur une faille de Zcash. Elle exploite plutôt les habitudes du voleur : volumes répétés, structures de transactions similaires, horodatages cohérents. C’est une leçon importante pour quiconque utilise des outils de confidentialité. L’anonymat technique ne protège pas contre les patterns comportementaux.

Les leçons pour les utilisateurs de hardware wallets

Cette affaire force à reconsidérer certains réflexes. Acheter uniquement chez un revendeur listé comme officiel n’est plus une garantie absolue. Vérifier l’intégrité physique de l’appareil devient crucial, surtout pour les modèles achetés hors des canaux directs du fabricant. Ledger propose désormais des procédures de vérification plus strictes, mais le mal est déjà fait pour des centaines de victimes.

Le contraste avec le phishing d’avril est frappant. Dans le premier cas, l’erreur humaine (saisie de la seed phrase) était déterminante. Ici, aucune erreur n’a été nécessaire. Les clés ont quitté l’appareil avant même que l’utilisateur ne le reçoive. Cela place le débat sur un terrain différent : celui de la chaîne d’approvisionnement et de la confiance dans les revendeurs agréés.

Un précédent qui pourrait redéfinir les standards du hardware

Au-delà des 103 millions de dollars, cette affaire soulève une question structurelle. Jusqu’où un fabricant de hardware wallet doit-il garantir l’intégrité de ses appareils une fois qu’ils ont quitté ses usines ? La certification des revendeurs, les contrôles qualité, les procédures de scellage, tout cela se retrouve sous le feu des projecteurs. CryptoBilis n’est qu’un maillon. D’autres revendeurs, dans d’autres régions, pourraient-ils être vulnérables aux mêmes techniques d’implantation ?

Ledger a suspendu le revendeur concerné. C’est un premier pas. Mais les victimes attendent davantage qu’une simple suspension. Certaines voix demandent déjà une prise en charge partielle ou totale des pertes pour les cas prouvés d’implant matériel. Ledger n’a, pour l’heure, fait aucune promesse en ce sens. La pression monte cependant chaque jour que les fonds continuent d’être suivis sans que des restitutions concrètes n’apparaissent.

Tornado Cash, Zcash et la fin de l’anonymat absolu

Tornado Cash a longtemps été présenté comme le mélangeur de référence sur Ethereum. Les sanctions américaines et les poursuites contre ses développeurs ont déjà considérablement réduit son usage. L’épisode Ledger montre qu’même en multipliant les vagues de dépôts, un voleur motivé et un analyste compétent peuvent encore reconstituer une partie de la chaîne. Le passage par Zcash a ajouté une couche supplémentaire, mais le fingerprinting a permis de la percer.

Cela ne signifie pas que Zcash est « cassé ». Cela signifie que l’anonymat sur blockchain reste un jeu du chat et de la souris. Les outils d’analyse progressent aussi vite que les outils de confidentialité. Pour les utilisateurs légitimes qui cherchent simplement à préserver leur vie privée, le message est nuancé. Pour les voleurs, il est clair : même les pools blindés ne constituent plus un refuge absolu lorsque les volumes sont importants et les patterns répétitifs.

Ce que révèle la réaction de Tether et de Circle

Tether a gelé 10 millions d’USDT en moins de 48 heures. Circle dispose encore de la possibilité d’intervenir sur 1,79 million d’USDC. Ces interventions rappellent que les stablecoins, souvent critiqués pour leur centralisation, offrent un levier unique en cas de vol. Bitcoin et ether, par leur nature décentralisée, ne permettent aucune intervention de ce type. Le voleur l’a parfaitement compris en convertissant rapidement une partie de son butin.

Cette dualité nourrit un débat plus large. Les stablecoins peuvent-ils servir de filet de sécurité pour les victimes tout en restant compatibles avec l’esprit décentralisé de la crypto ? Ou bien leur pouvoir de gel les transforme-t-il en instruments de contrôle trop puissants ? L’affaire Ledger ne tranchera pas cette question, mais elle l’illustre avec une netteté rare.

Les zones d’ombre qui persistent

Plusieurs questions restent sans réponse. Comment l’implant matériel a-t-il été introduit ? À quel stade de la chaîne logistique ? Combien d’appareils ont réellement été compromis ? Ledger parle de « cas confirmés » liés à CryptoBilis, mais n’a pas publié de chiffre précis. YFarmX et Bitquery divergent légèrement sur le montant total et le nombre d’adresses. Ces écarts s’expliquent par des méthodologies différentes, mais ils laissent une zone floue.

Autre point crucial : le voleur a-t-il agi seul ou dans le cadre d’une organisation plus large ? Le niveau de préparation (conversion immédiate en USDD, usage répété de Tornado Cash, passage méthodique par Zcash) suggère une expertise certaine. L’implant matériel, lui, implique un accès physique aux appareils, ce qui pointe vers une opération de supply-chain sophistiquée plutôt qu’un simple hack logiciel.

Vers une nouvelle ère de vigilance pour les hardware wallets

Les fabricants de hardware wallets se sont longtemps présentés comme la solution ultime face aux risques logiciels. L’affaire Ledger montre que le risque peut se situer en amont, dans la chaîne d’approvisionnement elle-même. Les contrôles d’intégrité, les scellés inviolables, les procédures de vérification à la réception deviennent aussi importants que la qualité du code ou de la puce sécurisée.

Pour les utilisateurs, le message est clair. Acheter directement auprès du fabricant, vérifier les scellés, activer toutes les options de sécurité disponibles, et éventuellement tester l’appareil avec de petits montants avant d’y déposer des sommes importantes. Ces réflexes, déjà recommandés, prennent une nouvelle dimension après cette affaire.

Ledger a communiqué. Tether a agi. YFarmX a retracé. Circle est sollicité. Les victimes attendent désormais des réponses concrètes et, si possible, des restitutions. Les 103 millions de dollars ne sont pas encore entièrement sortis de l’ombre. Une partie reste gelée. Une autre circule encore. Et la question de la responsabilité du fabricant, elle, ne disparaîtra pas de sitôt.

Cette histoire n’est pas seulement celle d’un vol spectaculaire. C’est celle d’une confiance ébranlée dans l’un des piliers de la sécurité crypto. Tant que des implants matériels pourront se glisser dans des canaux de vente officiels, le hardware wallet, même le plus sophistiqué, ne pourra prétendre à l’inviolabilité absolue. Les prochaines semaines diront si Ledger choisit d’assumer pleinement les conséquences de cet incident ou de le cantonner à un simple problème de revendeur. Les utilisateurs, eux, ont déjà commencé à tirer leurs propres conclusions.