70 hacks et arnaques en 7 jours : 18 millions de dollars volés d’après SEAL
Une semaine ordinaire. La Security Alliance (SEAL) a recensé 70 incidents de sécurité dans l’écosystème crypto du 13 au 20 octobre. Le poste de pertes le plus lourd revient aux Ledger piégés vendus par CryptoBilis : trois nouvelles victimes et 9,3 millions de dollars envolés en sept jours.
Le collectif qui fait tourner la ligne d’urgence SEAL 911 chiffre la semaine à plus de 18 millions de dollars sur ses huit principales catégories de pertes. Ajoutez une centaine d’ETH et quelques BTC. Au programme : des seed phrases volées, des braquages physiques et de faux entretiens d’embauche pilotés depuis Pyongyang.
- La Security Alliance a recensé 70 incidents de sécurité dans le secteur crypto en une semaine, avec des pertes dépassant 18 millions de dollars.
- Les Ledger piégés vendus par CryptoBilis ont causé des pertes de 9,3 millions de dollars, malgré une enquête en cours et des avertissements de sécurité.
Qui est SEAL, et pourquoi nous relayons son travail
La Security Alliance n’est ni un cabinet d’audit ni une société de sécurité qui vend ses services. C’est une organisation à but non lucratif lancée début 2024 à l’initiative de samczsun, chercheur en sécurité passé par Paradigm, qui fédère plusieurs centaines de bénévoles : chercheurs, développeurs, enquêteurs on-chain, juristes. Son outil le plus connu est SEAL 911, une ligne d’urgence joignable sur Telegram, où un hacker éthique prend le relais en quelques minutes quand un protocole se fait vider ou qu’un particulier voit ses fonds partir.
Le collectif publie aussi le Safe Harbor Agreement, un cadre juridique qui autorise les white hats à intervenir pendant une attaque pour mettre les fonds à l’abri, et tient à jour des listes de domaines de phishing et d’adresses frauduleuses. C’est de ce travail de fourmi, visible jour après jour sur le graphique ci-dessous, que sortent tous les chiffres de cet article.
Précisons-le sans détour : Journal du Coin n’a aucun partenariat avec SEAL, et personne ne nous a demandé d’en parler. Nous relayons leur travail parce qu’il est d’utilité publique, et que ces bilans hebdomadaires sont à notre connaissance la source la plus fiable sur ce qui se passe réellement côté sécurité. Dans un écosystème où personne ne vous rembourse, SEAL est devenu indispensable. Si vous êtes victime d’un vol ou d’un hack, ou si vous soupçonnez un appareil compromis, le réflexe est simple : securityalliance.org/sos ou le bot Telegram @seal_911_bot, gratuitement, à toute heure.
Ledger et CryptoBilis : l’implant continue de vider les wallets
Vous pensiez l’affaire derrière vous ? Elle ne l’est pas. Les trois signalements reçus par SEAL cette semaine pèsent à eux seuls 9,3 millions de dollars, soit plus de 3 millions par victime en moyenne. Pour mémoire, Ledger a ouvert son enquête le 9 octobre, confirmé le 10 la présence d’un implant matériel non autorisé dans l’appareil d’un client, puis relié le 11 l’ensemble des pertes signalées aux appareils écoulés par ce revendeur malaisien.
La mise à jour technique publiée le 13 octobre par le Ledger Donjon décrit un mécanisme d’une simplicité cruelle. Le module logé dans le boîtier lit l’écran pendant la configuration (le moment où les 24 mots de la phrase de récupération s’affichent). Il les transmet ensuite par réseau mobile grâce à une eSIM. Le Secure Element, la puce sécurisée qui signe les transactions, reste intact. Le « Genuine Check » de Ledger valide donc l’appareil comme authentique, sans pouvoir détecter l’implant.
Le fabricant recommande de ne jamais initialiser un appareil acheté chez ce revendeur, et de déplacer ses fonds vers un nouveau wallet avec une nouvelle seed si c’est déjà fait. Le problème dépasse désormais l’Asie du Sud-Est. Un client allemand a signalé un appareil piégé acheté chez MediaMarkt, sans perte de fonds à ce stade, et l’enseigne a retiré les Ledger de ses rayons dans tous ses pays.
Seed phrases et wrench attacks, le facteur humain avant le code
Avec 25 cas sur 70, la compromission de seed phrase reste de très loin la catégorie la plus fréquente du bilan SEAL. La facture de la semaine atteint 3,86 millions de dollars, 64,5 ETH et 0,3 BTC. Une seed phrase, ce sont ces 12 ou 24 mots qui donnent accès à tous les fonds d’un wallet. Quiconque les obtient devient propriétaire. Les prises de contrôle de comptes ajoutent 1,6 million de dollars au compteur.
Les wrench attacks figurent aussi au classement avec deux victimes braquées en personne et 1,22 million de dollars volés. SEAL précise que ces agressions physiques sont en hausse. Le terme désigne le vol de crypto sous la menace, quand la clé à molette remplace le malware. Les lecteurs français connaissent le sujet : la police judiciaire comptait déjà 41 crypto-rapts dans l’Hexagone à la mi-avril 2026.
Côté protocoles, SEAL compte neuf rapports. Six compromissions ont coûté 2 millions de dollars et 37,44 ETH, dont deux exploits à 1 million chacun. Une prise de contrôle d’infrastructure a fait perdre 32 400 dollars et 5 BTC. Et puis il y a ce cas de menace interne, presque comique s’il n’était pas si grave. Un contributeur a ajouté sa propre adresse comme signataire d’un multisig, ce portefeuille qui exige plusieurs validations pour bouger les fonds.
Faux Zoom et faux recruteurs, la Corée du Nord ratisse large
Les groupes nord-coréens ont fait cinq victimes pour 260 000 dollars. Trois d’entre elles ont perdu 86 000 dollars dans le piège « Contagious Interview » (un faux entretien d’embauche où le candidat installe un malware en croyant passer un test technique). Une compromission de wallet non encore rattachée à une campagne précise représente les 174 000 dollars restants.
Plus inquiétant pour les développeurs, le malware Polin Rider a été repéré dans 13 des 928 dépôts d’un programme de bounty open source, rapporte SEAL. Aucune perte signalée à ce stade. Le groupe UNC1069 a par ailleurs enregistré de nouveaux domaines imitant des services de visioconférence. Et un ensemble d’intrusion encore non attribué, baptisé SINT-69, continue de produire à la chaîne de faux sites Zoom et Teams aux noms du type zoomwweb ou teamlives.
Le mode opératoire ne change pas. Un contact vous propose un appel, le lien renvoie vers une page qui réclame une « mise à jour » du logiciel de visio, et cette mise à jour vide votre wallet. Vérifiez le nom de domaine avant d’installer quoi que ce soit. Sur la semaine, SEAL a collecté 2 393 domaines de phishing, publié 2 437 indicateurs de compromission et répertorié 155 wallets.
Ledger n’a toujours pas communiqué de bilan officiel du nombre d’appareils piégés ni du montant total dérobé, qu’il qualifie de « limité ». Les enquêteurs on-chain, eux, suivent déjà 103 millions de dollars de butin à travers Tornado Cash et Zcash, et les trois dossiers ajoutés cette semaine par SEAL alourdissent encore la note.
Magali
Tombée dans le terrier du lapin blanc en 2017, je suis passée de lectrice assidue à Rédactrice en chef du Journal du Coin. J’aime m'investir dans les coulisses de projets pour porter ma vision d'un futur décentralisé. Amoureuse des belles lettres, je coordonne nos équipes pour transformer la complexité technique en une information humaine, précise et sans jargon inutile. Entre entrepreneuriat et rédaction, ma mission est claire : vulgariser demain, mais le faire aujourd'hui.