Imaginez ouvrir votre portefeuille matériel, ce petit appareil censé être le coffre-fort ultime de vos cryptomonnaies, et découvrir que quelqu’un a déjà tout vidé. Pas un logiciel malveillant classique, pas un phishing habituel, mais un composant physique caché à l’intérieur même de l’appareil. C’est exactement ce qui s’est produit pour près de 1 500 victimes entre le 7 et le 9 octobre. Le montant total s’élève aujourd’hui à plus de 95 millions de dollars. Et le voleur n’a pas fini de bouger l’argent.
Un drainer silencieux qui a frappé en 51 minutes
Les chiffres donnent le vertige. Selon l’analyse la plus récente, 95,35 millions de dollars ont été extraits de 1 486 adresses différentes. La plus grande partie de ce butin a été récupérée en un temps record : 80,60 millions de dollars en seulement 51 minutes le 9 octobre. À 05 h 07 UTC, l’opération a démarré. Moins d’une heure plus tard, des centaines de portefeuilles étaient vidés.
Sur le réseau Tron, 335 transferts de USDT ont permis d’empocher 58,19 millions de dollars. Dans le même temps, 112 adresses Bitcoin ont envoyé 203,26 BTC, soit environ 16,73 millions de dollars, le tout regroupé dans un seul bloc. D’autres vagues de USDT ont suivi jusqu’à 15 h UTC, ajoutant encore 14,14 millions de dollars. Avant cette journée noire, entre le 7 et le 8 octobre, l’attaquant avait déjà collecté 7,41 BTC, soit un peu plus de 610 000 dollars, provenant de 137 adresses.
Ces montants ne sont pas restés immobiles. Au cours des dernières 48 heures, le drainer a encore déplacé 13,84 millions de dollars. Sur les adresses encore liées à l’attaquant, 30,44 millions de dollars restent visibles. Parmi eux, 10 millions de USDT ont été gelés par Tether dès le 9 octobre. Le reste continue de circuler.
Comment l’argent a voyagé à travers les chaînes
Une fois les fonds récupérés, le voleur a multiplié les manœuvres pour brouiller les pistes. Au moins 69,19 millions de dollars ont traversé des swaps et des bridges. Sur Tron, 20,37 millions de USDT ont été convertis en USDD. Vingt millions supplémentaires de USDT ont quitté Tron pour Ethereum via USDT0. D’autres montants en USDT et USDC provenant de Tron, BNB Chain et Polygon ont été transformés en ETH via différents protocoles : 8,95 millions via Relay, 5,91 millions via Chainflip et 13,96 millions par des routes plus petites.
Le 9 octobre, les portefeuilles Ethereum liés à l’attaquant ont reçu 5 895 ETH, soit 14,72 millions de dollars, provenant de plusieurs bridges dont Relay, THORChain, NEAR Intents, Bridgers et Mayan. Une partie de ces fonds a ensuite été convertie : 11,30 millions de USDT bridgés sont devenus environ 4 530 ETH via Rizzolver. Parallèlement, 5 185 ETH, valorisés à 12,97 millions de dollars, ont été envoyés directement vers de nouvelles adresses. Parmi eux, 3 600 ETH provenaient de 9 millions de dollars passés par USDT0, et 1 585 ETH étaient arrivés via Chainflip.
Entre le 9 et le 11 octobre, 14,65 millions de dollars en USDD ont été envoyés vers 20 adresses Tron. Dix-neuf d’entre elles ont immédiatement reconverti ces tokens en USDT via SUN.io avant de déposer 14,13 millions de dollars dans THORChain. Chaque étape ajoutait une couche d’opacité supplémentaire.
Tornado Cash et le lavage des ETH
L’une des étapes les plus marquantes concerne Tornado Cash. Au total, 9 529 ETH, soit 23,27 millions de dollars, ont été déposés dans le mixeur à travers 559 transactions. La répartition est précise : 63 transferts de 100 ETH, 307 de 10 ETH, 156 de 1 ETH et 33 de 0,1 ETH. Avant ces dépôts, 8 102,6 ETH avaient été déplacés depuis les portefeuilles initiaux vers 26 nouvelles adresses Ethereum.
Côté Bitcoin, le mouvement s’est poursuivi séparément. 102,15 BTC, valorisés à 8,33 millions de dollars, ont quitté les portefeuilles de l’attaquant en quatre transactions. Le 27 octobre, une portion de 17,97 BTC a rejoint 52,51 BTC dans une sortie non dépensée contenant 70,47 BTC, soit 5,67 millions de dollars. Les dernières estimations font état de 4 932 ETH (11,49 millions de dollars) et 111,28 BTC (8,96 millions de dollars) encore présents sur des adresses identifiées, en plus des 10 000 010 USDT gelés sur Tron.
L’implant matériel : la faille invisible
Le point de départ de toute cette affaire se trouve dans un composant physique. Ledger a confirmé le 13 octobre que son équipe de sécurité avait découvert un implant matériel non autorisé capable de capturer la phrase de récupération affichée pendant la configuration initiale de l’appareil. Chaque vol confirmé par le fabricant concernait un dispositif acheté via le revendeur CryptoBilis, présent en Asie du Sud-Est.
Comment ces composants ont-ils été introduits ? Ledger n’a pas encore établi la chaîne exacte. En revanche, l’entreprise a immédiatement renforcé les exigences de sécurité imposées à ses revendeurs et suspendu les ventes de portefeuilles matériels autorisés dans plusieurs marchés d’Asie du Sud-Est. L’enquête interne n’a trouvé aucune preuve de compromission des systèmes de Ledger ni de ses canaux de vente directs.
À Singapour, la police a rapporté deux cas distincts le 28 octobre. Les victimes ont perdu environ 3,5 millions de dollars singapouriens. Les investigations préliminaires ont montré que des composants malveillants à l’intérieur des appareils pouvaient capturer les phrases de récupération ou les clés privées. Ces faits confirment que le problème n’était pas isolé.
Pourquoi les portefeuilles matériels restaient la référence
Pendant des années, les hardware wallets ont été présentés comme la solution la plus sûre pour stocker des cryptomonnaies. L’idée est simple : les clés privées ne quittent jamais l’appareil. Même si l’ordinateur est infecté, le portefeuille matériel reste isolé. La phrase de récupération, les 24 mots, constitue le seul point de vulnérabilité critique. Elle doit être notée hors ligne et conservée dans un endroit sûr.
Dans le cas présent, l’implant interceptait précisément cette phrase au moment où elle s’affichait à l’écran de l’appareil pendant la configuration. Une fois les 24 mots capturés, le voleur n’avait plus qu’à reconstruire le portefeuille à distance et à transférer les fonds. Aucune interaction supplémentaire avec la victime n’était nécessaire.
Cette méthode change complètement la nature de la menace. On ne parle plus d’ingénierie sociale ou de logiciel malveillant classique. On parle d’une attaque de la chaîne d’approvisionnement. Le produit arrive déjà compromis entre les mains de l’utilisateur. La confiance dans le packaging et dans le réseau de distribution devient alors aussi importante que la confiance dans le fabricant lui-même.
Les conséquences pour le marché des hardware wallets
L’affaire CryptoBilis force l’ensemble de l’industrie à revoir ses pratiques. Les fabricants vont devoir renforcer les contrôles sur les revendeurs officiels. Les utilisateurs, de leur côté, devront vérifier avec une attention extrême la provenance de leurs appareils. Acheter un portefeuille matériel d’occasion ou via un canal non officiel devient encore plus risqué.
Certains utilisateurs commencent déjà à adopter de nouvelles habitudes. Vérifier l’intégrité de l’emballage, comparer le numéro de série avec les bases de données du fabricant, ou même refaire une configuration complète dans un environnement contrôlé. D’autres envisagent de passer à des solutions open source où le code et le matériel peuvent être audités plus facilement.
Le gel de 10 millions de USDT par Tether montre aussi que les stablecoins centralisés conservent un levier de contrôle. Lorsqu’une adresse est clairement liée à une activité illicite, l’émetteur peut bloquer les fonds. Ce pouvoir reste contesté dans l’écosystème décentralisé, mais il a prouvé son efficacité dans ce dossier.
Chronologie détaillée des mouvements
Le 7 et 8 octobre, les premiers mouvements modestes apparaissent : 7,41 BTC collectés. Le 9 octobre au matin, l’attaque principale se déclenche. En 51 minutes, 80,60 millions de dollars sont rassemblés. Dans les heures qui suivent, les bridges et les swaps s’enchaînent. Entre le 9 et le 11 octobre, les conversions USDD vers USDT puis vers THORChain se multiplient. Les dépôts dans Tornado Cash s’étalent sur plusieurs jours. Fin octobre, le voleur continue de déplacer des fonds, avec 13,84 millions de dollars en 48 heures seulement.
Cette chronologie montre une organisation méthodique. L’attaquant savait exactement quels bridges utiliser, quels montants fractionner, et à quel rythme opérer pour limiter les risques de gel immédiat. Les dépôts dans Tornado Cash en petites quantités standardisées (0,1 – 1 – 10 – 100 ETH) sont typiques des techniques visant à maximiser l’anonymat.
Ce que les victimes peuvent encore faire
Pour ceux qui ont acheté un appareil via CryptoBilis, la première recommandation est de ne plus jamais utiliser la phrase de récupération générée par ce dispositif. Si des fonds restent sur le portefeuille, ils doivent être déplacés immédiatement vers un nouvel appareil non compromis, en générant une nouvelle seed phrase. Toute tentative de récupération avec l’ancienne phrase expose à un nouveau vol.
Les autorités et les plateformes d’échange continuent de suivre les adresses liées. Certaines portions de l’argent pourraient encore être gelées ou saisies si elles tentent de passer par des services réglementés. Cependant, une part importante a déjà traversé des mixeurs et des bridges, ce qui complique considérablement la récupération.
Ledger a invité les utilisateurs concernés à contacter son support. L’entreprise collabore avec les forces de l’ordre et les sociétés d’analyse blockchain pour cartographier les flux. Les chiffres évoluent encore. Les 95,35 millions de dollars identifiés par Arkham pourraient être réévalués à la hausse ou à la baisse selon les nouvelles découvertes.
Une leçon pour toute l’industrie crypto
Cette affaire rappelle que la sécurité d’un système ne dépasse jamais celle de son maillon le plus faible. Ici, le maillon faible n’était ni le firmware de Ledger ni le protocole blockchain, mais le réseau de distribution. Un revendeur a permis l’introduction d’implants physiques. Les utilisateurs ont fait confiance à l’emballage et au logo. Le résultat est l’un des vols les plus importants de l’année liés aux hardware wallets.
Les fabricants vont devoir investir dans des mécanismes de détection d’implants, dans des scellés plus sophistiqués et dans des audits réguliers de leurs partenaires. Les utilisateurs, eux, devront adopter une posture de méfiance raisonnable. Acheter uniquement auprès de sources officielles, vérifier chaque détail de l’appareil, et considérer que même un hardware wallet peut être compromis avant même d’être allumé.
Le marché des cryptomonnaies continue de grandir. Les montants stockés sur des portefeuilles matériels augmentent. Les attaquants le savent. Tant que la chaîne d’approvisionnement restera vulnérable, ce type d’opération restera possible. L’affaire CryptoBilis n’est peut-être pas un cas isolé. Elle pourrait être le signal d’une nouvelle catégorie de menaces que l’industrie devra affronter dans les mois et les années à venir.
En attendant, 30,44 millions de dollars restent sous observation. Dix millions sont gelés. Le reste circule encore. Chaque transaction supplémentaire offre une chance de mieux comprendre le réseau de l’attaquant. Les analystes blockchain continuent de suivre les mouvements. Les prochaines heures et les prochains jours diront si d’autres portions du butin pourront être immobilisées ou si le voleur parviendra à faire complètement disparaître les fonds restants.
Pour les milliers de personnes qui ont fait confiance à un simple appareil de la taille d’une clé USB, la leçon est brutale. La sécurité absolue n’existe pas. Elle se construit couche après couche, et chaque couche doit être vérifiée. Dans le monde des cryptomonnaies, la confiance reste le bien le plus précieux. Et le plus fragile.
Les autorités de plusieurs pays suivent désormais le dossier. Les plateformes d’échange ont reçu des listes d’adresses à surveiller. Tether a démontré qu’il pouvait intervenir rapidement. Ledger a modifié ses procédures de distribution. L’écosystème réagit. Mais pour les victimes, ces mesures arrivent trop tard. Leur argent a déjà quitté leurs portefeuilles. Une partie a été mixée. Une autre circule encore. Le temps presse pour ceux qui espèrent encore récupérer une fraction de ce qui a été volé.
Cette histoire n’est pas seulement celle d’un piratage technique. C’est aussi celle d’une confiance trahie entre un fabricant, ses revendeurs et ses clients. Elle force chacun à se poser des questions simples mais essentielles : d’où vient réellement mon appareil ? Qui l’a manipulé avant moi ? Et suis-je vraiment le premier à voir ma phrase de récupération s’afficher à l’écran ? Dans le monde des cryptomonnaies, ces questions peuvent valoir plusieurs millions de dollars.
Les prochaines semaines diront si d’autres implants similaires sont découverts ailleurs. Elles diront aussi si le voleur commet une erreur qui permettra de le retracer jusqu’à son identité réelle. Pour l’instant, il reste un ensemble d’adresses et de transactions. Un fantôme numérique qui continue de déplacer des millions. Et un rappel glacial que même les coffres-forts les plus réputés peuvent parfois contenir une porte dérobée.
Les utilisateurs avertis tirent déjà les conséquences. Certains multiplient les vérifications physiques. D’autres passent à des modèles open source. Beaucoup refusent désormais d’acheter un hardware wallet en dehors des canaux officiels du fabricant. La méfiance s’installe. Elle est probablement justifiée. Car tant que la chaîne d’approvisionnement n’est pas totalement sécurisée, le risque d’un nouvel implant reste présent.
L’affaire CryptoBilis marque un tournant. Elle prouve qu’une attaque physique ciblée sur la distribution peut réussir à grande échelle. Elle montre aussi la vitesse à laquelle des dizaines de millions de dollars peuvent être convertis, bridgés et mixés. Et elle rappelle que, dans cet univers, la vigilance ne doit jamais s’arrêter à la porte du fabricant. Elle doit s’étendre jusqu’au dernier maillon de la chaîne.
Pendant que les analyses se poursuivent et que les fonds continuent de bouger, une chose est certaine : les portefeuilles matériels ne seront plus regardés de la même façon. Leur réputation de forteresse imprenable a pris un coup. Il faudra du temps, des audits et des preuves concrètes pour reconstruire pleinement la confiance. En attendant, chaque nouvel acheteur devra se demander s’il tient vraiment entre les mains un appareil intact… ou un piège déjà armé.
