Xrp : 18,7 Millions De Dollars Volés Sur Wallets Dcent

Onze millions sept cent cinquante mille jetons ont quitté des milliers de comptes en cinq jours, sans que le registre lui-même ne cligne de l’œil. Le 15 septembre à 15 h 35 UTC, une première série de signatures valides a commencé à vider des portefeuilles liés à l’application mobile de Dcent. Au soir du 20 septembre, le décompte officiel faisait état de 6 678 adresses touchées et d’un préjudice estimé à 18,68 millions de dollars au cours d’alors, autour de 1,59 dollar le jeton. Le ledger a fait exactement ce pour quoi il est conçu : exécuter des transactions correctement signées. Le mystère, lui, se situe en amont, du côté des clés.

Ce Que Les Cinq Jours De Siphonnage Racontent Vraiment

Le fabricant sud-coréen de portefeuilles matériels a reçu son premier signalement client le 16 septembre, au lendemain des premiers prélèvements. Des alertes ont suivi dans l’application et sur les canaux officiels. Elles n’ont pas stoppé l’hémorragie. Les équipes d’XRPL.to ont ensuite reconstruit la chronologie, mouvement après mouvement. Une deuxième vague a démarré le 17 septembre à 7 h 05 UTC. Le dernier prélèvement recensé date du 20 septembre à 20 h 56 UTC. Entre ces bornes, six salves distinctes ont vidé, en tout ou partie, des milliers de comptes.

Sur ces 6 678 portefeuilles, 4 208 ont été allégés par de simples paiements. Les 2 470 autres ont subi une clôture. C’est là que l’instruction AccountDelete entre en scène. Un compte du XRP Ledger doit immobiliser une réserve minimale pour rester ouvert. Cette somme échappe à un paiement classique. La suppression, elle, ferme le compte éligible et envoie le solde résiduel vers une adresse de destination, frais déduits. Les attaquants ont raclé jusqu’au fond. Une seule de ces clôtures a déplacé 107 507 XRP, soit environ 171 000 dollars.

Pourquoi AccountDelete A Changé L’Échelle Du Vol

Sur le XRP Ledger, un compte n’est pas une simple ligne dans un carnet. Il occupe de l’espace, et cet espace a un prix. La réserve minimale existe pour décourager le spam et garantir que chaque adresse ouverte a un coût réel. Tant que le compte reste ouvert, cette réserve n’est pas transférable par un paiement ordinaire. Elle dort. Elle protège, en quelque sorte, le dernier filet de fonds.

AccountDelete inverse cette logique. Quand les conditions sont réunies, la transaction ferme le compte et libère presque tout ce qui restait, moins les frais de suppression. Pour un attaquant qui possède déjà la clé, c’est la différence entre un vol partiel et un vol intégral. Les enquêteurs ont dénombré 5 001 de ces clôtures. Certaines frappaient des comptes déjà partiellement vidés. L’intention était claire : ne rien laisser sur place.

Le registre a fonctionné exactement comme prévu. La compromission se situe en amont, du côté des clés privées, et la chaîne ne dit rien sur la manière dont elles ont fui.

Synthèse des reconstructions d’XRPL.to

Ce point est décisif pour la suite du débat public. Beaucoup de lecteurs, à la première lecture d’un titre alarmiste, imaginent une faille protocolaire, un bug de consensus, une porte dérobée dans le code du ledger. Rien de tel n’apparaît ici. Chaque mouvement porte une signature mathématiquement valide. Le réseau a tranché comme il le fait des millions de fois par jour. La question qui reste ouverte n’est donc pas « le XRP Ledger a-t-il cédé ? » mais « comment les clés de milliers d’utilisateurs de l’application Dcent ont-elles quitté le périmètre qu’on leur promettait ? »

La Chronologie Serrée Des Six Vagues

Le premier prélèvement identifié tombe le 15 septembre à 15 h 35 UTC. Rien, dans les communications publiques disponibles au moment de l’enquête, n’indique que l’éditeur ait été prévenu avant le lendemain. Le 16, un client sud-coréen donne l’alerte. Dcent réagit dans l’application et sur ses canaux. Le 17 à 7 h 05 UTC, une nouvelle salve démarre. Elle montre que l’accès aux clés n’était pas un incident isolé, limité à une poignée d’adresses malchanceuses. C’était un stock.

Les vagues suivantes s’étalent jusqu’au 20 septembre à 20 h 56 UTC. Cette durée pose une question embarrassante pour n’importe quel éditeur de portefeuille : pourquoi l’arrêt n’est-il pas intervenu plus tôt, une fois le schéma visible ? La réponse officielle, pour l’instant, tient en deux temps. Les équipes n’auraient pas disposé d’un levier technique immédiat sur des comptes déjà signés hors de leur contrôle. Et la cause racine n’était pas encore établie. Les utilisateurs, eux, ont surtout retenu le résultat : cinq jours, six salves, des milliers de soldes à zéro.

Il faut aussi lire cette chronologie du point de vue d’un attaquant organisé. Un vol de cette ampleur ne se joue pas comme un hold-up d’une minute. Il faut extraire, router, changer de chaîne, parfois fragmenter. Chaque heure gagnée avant que les plateformes et les ponts ne reçoivent des signalements augmente la chance de convertir le butin. Les flux observés après le 20 septembre confirment que cette course contre la montre a été anticipée.

Où Sont Passés Les 11,75 Millions De Jetons

Dès le 21 septembre, les reconstructions d’XRPL.to montraient qu’une part massive avait déjà quitté le registre natif. Environ 5,67 millions de XRP avaient transité par THORChain, dont près de 5,59 millions issus de deux vagues précises, avec des mémos pointant vers des destinations Ethereum. Le pont sert ici ce pour quoi on le craint dans les enquêtes : faire sauter un actif d’une chaîne à l’autre sans guichet unique capable de geler l’ensemble du trajet.

Le reste s’est dispersé. On compte 3,24 millions de XRP orientés vers unionchain.ai, 546 080 XRP arrivés sur NEAR Intents, et 535 666 XRP déposés via Binance. Environ 1,31 million de XRP dormait encore, au moment de l’analyse, dans des portefeuilles liés à l’opération. Cette carte n’est pas figée. Elle évolue à mesure que les fonds sont fragmentés, convertis, renvoyés.

THORChain et NEAR Intents ont un point commun qui complique le travail des enquêteurs : ils permettent de changer de réseau sans intermédiaire unique. Chaque saut oblige à reprendre le traçage à zéro. Les 535 666 XRP arrivés sur Binance offrent, eux, un levier différent. Une plateforme centralisée peut bloquer un dépôt sur signalement, à condition d’être prévenue avant la conversion et le retrait. Dcent affirme travailler avec les autorités sud-coréennes, des spécialistes externes, des projets blockchain et des exchanges. Aucun gel définitif ni recouvrement public n’avait été annoncé au moment où ces lignes sont écrites.

Ce Que Dcent Demande Maintenant À Ses Utilisateurs

Le 20 septembre, alors que les prélèvements continuaient, le fabricant a durci le message. L’étape la plus importante, selon ses propres termes, consiste à sortir les actifs de l’application. La marche à suivre tient en deux temps. Mettre à jour l’application depuis une boutique officielle. Puis transférer l’intégralité des avoirs vers un portefeuille généré à partir d’une phrase de récupération entièrement neuve.

L’étape la plus importante pour éviter de nouveaux dommages est de déplacer les actifs hors du Dcent App Wallet.

Dcent Wallet, communication du 20 septembre

La consigne dépasse largement les seuls utilisateurs de l’application mobile. Toute personne ayant un jour saisi ou restauré la phrase de son portefeuille matériel dans l’App Wallet doit migrer elle aussi. La raison est rarement expliquée aux débutants avec assez de brutalité. Réutiliser la même phrase sur un appareil neuf ne crée pas de nouvelles clés. Les clés dérivent mathématiquement de la phrase. Si celle-ci a fuité une fois, elle reste compromise, quel que soit le boîtier qui l’héberge ensuite.

Dcent considère qu’un compte est exposé si trois conditions sont réunies. La phrase a un jour été saisie dans l’App Wallet. Ce compte a déjà signé une transaction. Cette signature a été faite avec une version de l’application antérieure à la 8.1.0, sortie le 5 novembre 2025. À l’inverse, un hardware wallet dont la phrase n’a jamais été entrée dans l’application, et qui n’a jamais signé via le logiciel, n’est pas concerné selon les critères actuels de l’entreprise.

Le Piège De La Phrase Unique Sur Deux Supports

Le marketing des portefeuilles matériels insiste souvent sur le métal, la puce sécurisée, le bouton physique. Ces éléments comptent. Ils ne sauvent rien si la graine a déjà transité par un clavier logiciel, une mémoire d’application, une sauvegarde cloud mal cloisonnée, un presse-papiers, un clavier tiers. Dans ce dossier, la frontière entre hardware et software s’est brouillée pour des milliers de personnes qui pensaient encore détenir un coffre étanche.

Une phrase de récupération n’est pas un mot de passe que l’on change comme on change un code de carte. C’est la racine. Tout ce qui en dérive — adresses, clés de signature, comptes enfants — reste mathématiquement lié. Copier cette racine dans une application « pour plus de confort » revient à accepter que le maillon le plus faible de la chaîne ne soit plus la puce du boîtier, mais le téléphone, l’ordinateur, le processus de saisie.

C’est pourquoi la migration imposée par Dcent n’est pas un geste cosmétique. Générer une phrase neuve, créer de nouvelles adresses, déplacer les fonds, abandonner définitivement l’ancienne racine : voilà le seul geste qui casse le lien avec une éventuelle fuite passée. Restaurer l’ancienne phrase sur un appareil flambant neuf ne sert à rien. On change le coffre. On garde la même clé sous le paillasson.

Ce Que Le Ledger N’A Pas Fait, Et Ce Qu’On Lui Fait Dire

Chaque crise de ce type produit le même réflexe : coller le nom de l’actif dans le titre et laisser entendre que « le réseau a été piraté ». Le XRP Ledger, ici, n’a pas été forcé. Il n’a pas validé de fausses signatures. Il n’a pas contourné sa propre réserve. Il a appliqué AccountDelete parce que les conditions protocolaires étaient réunies et que la clé correspondait.

Cette distinction n’absout personne. Elle évite seulement de soigner le mauvais organe. Si l’on conclut à une faille de registre, on attend un correctif de consensus, un gel improbable, une coordination mondiale des validateurs. Si l’on conclut à une fuite de secrets côté application, on parle d’audit logiciel, de surface d’attaque mobile, de gestion de la mémoire, de versions antérieures à 8.1.0, de phrases tapées là où elles n’auraient jamais dû l’être.

Les deux lectures n’entraînent pas les mêmes responsabilités, ni les mêmes recours. Elles n’entraînent pas non plus les mêmes leçons pour un lecteur qui n’a jamais utilisé Dcent. La leçon transversale reste simple, presque banale, et pourtant ignorée à chaque cycle : la chaîne n’est un coffre-fort que tant que la clé reste hors de portée. Le jour où la clé voyage, le coffre s’ouvre avec une politesse parfaite.

Indemnisation, Calendrier, Zone Grise

Pour les 6 678 comptes déjà vidés, Dcent indique encore construire la procédure destinée à mesurer l’ampleur des pertes et à établir le statut des actifs. Aucune indemnisation n’est promise. Aucun calendrier public n’a été fixé. Cette phrase, dans l’industrie, a le goût d’un standard trop connu. Les utilisateurs demandent une date. L’éditeur répond par une enquête. Les fonds, pendant ce temps, continuent de voyager.

La coopération annoncée avec les autorités sud-coréennes, des experts externes et des plateformes peut déboucher sur des gels ponctuels, surtout du côté des dépôts centralisés. Elle ne garantit rien sur les fractions déjà basculées via des ponts. Plus le temps passe, plus la conversion et la fragmentation réduisent la part récupérable. C’est la loi froide de ces dossiers, observée après bien d’autres incidents, sur bien d’autres chaînes.

Il faudra aussi regarder, dans les semaines qui viennent, ce que l’éditeur publiera — ou ne publiera pas — sur la cause technique. Tant que cette cause reste absente, chaque utilisateur raisonnable doit traiter le scénario le plus large : toute phrase entrée dans l’application avant le correctif 8.1.0 doit être considérée comme suspecte si le compte a déjà signé. Attendre le rapport définitif pour bouger, c’est parier que les attaquants, eux aussi, attendront. Ils n’ont pas attendu entre le 15 et le 20.

Le Contexte Plus Large Des Portefeuilles Mobiles

Les applications de gestion d’actifs ont un avantage commercial évident. Elles rapprochent le hardware du quotidien. On consulte un solde dans le métro. On signe sans sortir le boîtier à chaque micro-opération. On restaure une phrase « le temps d’un dépannage ». Chaque commodité élargit la surface. Le téléphone n’est pas une enclave. Il reçoit des notifications, des claviers, des mises à jour, des captures, des accessoires, des profils de sauvegarde.

Dans ce dossier, Dcent a d’abord indiqué que le problème semblait limité à l’App Wallet. Cette formulation rassure ceux qui n’ont jamais quitté le hardware isolé. Elle inquiète tous les autres, c’est-à-dire tous ceux qui ont un jour croisé les deux univers. La communication officielle sur X, dès le 16 septembre, parlait de transferts anormaux et d’une enquête urgente. Le public a retenu surtout la suite : les vagues n’étaient pas finies.

On aurait tort, pourtant, de réduire l’affaire à une marque. Le schéma est plus général. Chaque fois qu’une graine quitte un environnement isolé pour un environnement connecté, le modèle de menace change. Ce n’est pas une opinion. C’est une arithmétique de surfaces. Un bouton physique ne signe pas à la place d’une application qui a déjà vu la racine.

Comment Lire AccountDelete Sans Paniquer Pour Rien

AccountDelete n’est pas une arme magique tombée du ciel le 15 septembre. C’est une instruction prévue, documentée, utile. Elle permet de fermer un compte devenu inutile et de récupérer une part de la réserve. Sans elle, des millions d’adresses mortes resteraient éternellement chargées d’un dépôt bloqué. Le problème n’est pas l’existence de l’instruction. Le problème est son usage par quelqu’un qui n’aurait jamais dû posséder la clé.

Pour un titulaire légitime, la suppression reste un geste rare, souvent associé à un ménage de fin de cycle. Pour un attaquant, elle devient le dernier passage de l’éponge. C’est précisément parce que le protocole est prévisible que le vol a pu être aussi propre. Prévisible, ici, n’est pas un défaut. C’est la définition d’un registre. On n’attend pas d’un livre de comptes qu’il refuse une signature valide sous prétexte que le signataire a l’air pressé.

Ceux qui détiennent du XRP sur d’autres piles logicielles n’ont donc aucune raison mécanique de croire que leur réserve minimale va s’évaporer toute seule. Ils ont, en revanche, toutes les raisons de vérifier où leur phrase a circulé, quelles versions d’applications ont signé, et si une restauration de confort n’a jamais eu lieu sur un téléphone déjà exposé.

Les Ponts, Les Mémos, Et La Course Après Coup

Les mémos observés sur THORChain, orientés vers Ethereum, dessinent une intention de sortie rapide. Un pont ne lave pas un flux. Il le déplace. Mais le déplacement suffit souvent à casser la continuité des outils de surveillance calés sur une seule chaîne. L’enquête doit alors changer de lunettes, de format d’adresse, de jeu de contrats, parfois de juridiction implicite.

NEAR Intents joue un rôle voisin : routage, intention, exécution ailleurs. Unionchain.ai apparaît comme un autre collecteur massif dans les chiffres du 21 septembre. Binance, à l’inverse, reste le point où un signalement humain peut encore rencontrer un bouton d’arrêt. Cinq cent trente-cinq mille jetons, ce n’est pas le cœur du butin. C’est toutefois la poche la plus « saisissable » au sens institutionnel du terme.

Cette géographie des sorties devrait servir de leçon opérationnelle. Dès qu’un éditeur constate un siphonnage répété, la priorité n’est pas seulement d’écrire un communiqué. C’est d’envoyer des listes d’adresses aux points de chute probables, dans l’heure. Ici, les vagues ont duré des jours. Chaque jour a élargi la carte.

Ce Qu’Un Utilisateur Doit Faire, Concrètement

Si vous n’avez jamais saisi une phrase Dcent dans l’application, et si vous n’avez jamais signé via le logiciel, les critères publiés par l’entreprise vous placent hors du périmètre actuel. Cela ne dispense pas d’une vérification de bon sens : soldes, historiques, versions installées, boutiques officielles uniquement.

Si vous avez un jour restauré cette phrase dans l’App Wallet, surtout avant la 8.1.0, le geste utile n’est pas d’attendre un mail rassurant. Il consiste à créer une racine neuve, hors de l’ancien environnement, puis à déplacer ce qui reste. Une mise à jour seule ne réécrit pas le passé d’une graine déjà exposée. Elle peut réduire une faille future. Elle ne change pas une clé déjà connue d’un tiers.

• Mettre à jour uniquement depuis les boutiques officielles.
• Générer une phrase nouvelle, jamais réutilisée.
• Transférer la totalité des avoirs encore présents.
• Abandonner l’ancienne racine, y compris sur un hardware neuf.
• Documenter les mouvements pour d’éventuelles démarches ultérieures.

Ceux dont le compte est déjà vide n’ont plus de fonds à sauver sur cette adresse. Ils ont encore un intérêt à conserver traces, identifiants de transactions, captures de communications officielles, et à suivre la procédure que Dcent dit encore construire. Sans promesse d’indemnisation, cette paperasse reste le seul levier individuel.

Pourquoi Ce Dossier Résonne Au-Delà De Dcent

Le marché aime séparer le « vrai hardware » des applications grand public. Les usages réels, eux, mélangent les deux. On achète un boîtier pour se sentir sérieux. On installe l’application pour se sentir pratique. On tape la phrase une fois, « juste pour voir le solde ». Des années plus tard, cette unique commodité devient le point de bascule d’un vol de masse.

Le chiffre de 6 678 adresses n’est pas seulement un décompte judiciaire. C’est le portrait d’une habitude. Trop de personnes ont traité la phrase comme un identifiant de connexion, alors qu’elle est une racine cryptographique. Trop de communications produit ont laissé croire que le métal rattrapait une saisie logicielle. Trop d’utilisateurs ont confondu « je possède un hardware » et « ma graine n’a jamais quitté le hardware ».

On peut tenir ce discours sans verser dans la leçon de morale. Les interfaces poussent à la restauration rapide. Les tutos montrent souvent l’écran du téléphone, pas la discipline de l’air gap. Les récupérations après perte d’appareil encouragent précisément le geste que ce dossier rend aujourd’hui suspect. Le produit a été conçu pour être utilisé. Il a aussi été utilisé comme une passerelle.

Ce Que Les Prochains Jours Devront Trancher

Trois questions restent ouvertes. Premièrement, la cause technique : implant dans une version précise, fuite de mémoire, compromission de canal de mise à jour, malveillance interne, chaîne d’approvisionnement, erreur de conception autour de la saisie de phrase. Tant que Dcent ne tranche pas, chaque hypothèse reste vivante.

Deuxièmement, la part récupérable. Les 535 666 XRP passés par Binance sont le meilleur candidat à un gel. Le reste dépend de la vitesse des équipes, de la coopération des ponts, et de la manière dont les fonds ont déjà été brassés côté Ethereum et ailleurs.

Troisièmement, le précédent commercial. Un fabricant de hardware qui demande à une partie de sa base de tout migrer vers une graine neuve admet, de facto, que le couple application plus restauration a brisé la promesse d’isolement pour ces utilisateurs-là. La manière dont cette admission sera écrite, chiffrée, éventuellement indemnisée, pèsera plus longtemps que le cours du jeton à 1,59 dollar.

Relire Les Chiffres Sans Se Laisser Hypnotiser

Dix-huit virgule soixante-huit millions de dollars, c’est un montant qui circule bien dans un titre. Il faut pourtant le ramener à sa mécanique. 11,75 millions de jetons. Un cours autour de 1,59 dollar au moment du calcul. Six vagues. Deux familles d’opérations : le paiement simple et la clôture. Une instruction qui va chercher la réserve. Des signatures valides. Un éditeur qui alerte le 16 et durcit le 20. Un butin déjà largement hors du registre natal dès le 21.

Derrière ces ronds, il y a des personnes qui croyaient avoir choisi le camp prudent. Un hardware coréen, une application maison, une réserve minimale qu’on imagine intouchable. Le protocole n’a pas trahi cette réserve. Il l’a libérée parce qu’on le lui a demandé avec la bonne clé. C’est cette phrase, plus que le montant, qui devrait rester.

Les lecteurs qui n’ont perdu aucun XRP dans cette affaire peuvent fermer la page en se disant que le sujet ne les concerne pas. Ils se trompent sur un point. Chaque cycle produit un nouvel exemple où la commodité a précédé la fuite. Ici, la commodité avait un nom d’application et une date de version. Demain, elle en aura un autre. La discipline, elle, ne change pas : une racine exposée n’est plus une racine. On n’en discute pas. On la remplace.

Une Affaire De Clés, Pas Une Affaire De Mythe

On refermera ce texte comme on l’a ouvert, sans folklore. Personne n’a « cassé XRP ». Personne n’a convaincu le registre d’ignorer ses règles. Quelqu’un, ou quelque chose, a obtenu la capacité de signer pour 6 678 comptes liés à un écosystème applicatif précis. Cette capacité a été utilisée sans précipitation visible, par vagues, jusqu’à la réserve, puis vers des ponts.

Dcent doit encore la cause, le calendrier, et le sort des victimes. Les utilisateurs exposés doivent encore la migration. Les autres doivent encore la distinction, trop souvent oubliée, entre un réseau qui exécute et un secret qui fuit. Les cinq jours de septembre n’ont pas inventé cette distinction. Ils l’ont seulement rendue chère.