Ledger : 103 millions de dollars de butin tracés à travers Tornado Cash et Zcash

Suivre la piste. L'attaquant qui a vidé les wallets de clients Ledger croyait sans doute s'être fondu dans la masse. Pourtant, les enquêteurs en chaîne le suivent toujours, hop après hop. Plus de 100 millions de dollars tracés, 10 millions gelés par Tether. De quoi remettre le débat sur la responsabilité des fabricants de hardware wallets au centre de la table.

Les points clés de cet article :

• Environ 103,4 millions de dollars auraient été siphonnés sur 530 adresses et sept blockchains selon YFarmX. Les trois quarts du butin sont en USDT sur Tron.
• Tether a gelé 10 millions d'USDT dès le premier jour. Le voleur contourne le blacklisting en convertissant sa part en USDD, puis en ether via THORChain.
• Le butin passe par Tornado Cash en sept vagues, puis dans le pool blindé de Zcash. YFarmX dit avoir rattaché chaque lot sortant grâce au fingerprinting des transactions.
• Ledger maintient que les cas confirmés concernent des appareils vendus par le revendeur officiel CryptoBilis. Un implant matériel non autorisé y a été découvert.

530 wallets, sept blockchains et un implant matériel

En effet, c'est par un communiqué publié dimanche 11 octobre sur X que Ledger a fait le point sur une affaire qui l'occupe depuis plusieurs jours déjà . Pour rappel, Bitquery chiffre le butin à 93,2 millions de dollars dérobés sur 315 wallets répartis sur six blockchains. De son côté, la plateforme d'investigation YFarmX avance un chiffre encore plus salé.

Dans son enquête, mise à jour ce lundi, celle-ci comptabilise environ 103,4 millions de dollars siphonnés sur 530 adresses et sept blockchains. Ainsi, les trois quarts du montant sont partis en USDT sur Tron. Dans les faits, les deux estimations reposent sur des données publiques en chaîne, et Ledger n'a confirmé aucun total.

Ainsi, Tether a blacklisté 37 adresses liées au vol dès le 9 octobre, pour10 millions d'USDT aujourd'hui immobilisés dans les wallets du voleur. De fait, le géant du stablecoin dispose là d'un pouvoir que Bitcoin et ether n'offrent pas, celui de geler les jetons liés à la criminalité. Mais le pirate avait prévu la parade. Dès le matin du vol, il a converti son USDT en USDD, le stablecoin de Tron, via le module de stabilité que le blacklisting de Tether ne touche pas. Puis direction THORChain, l'exchange cross-chain, pour échanger le tout contre de l'ether.

Depuis le premier jour, le schéma se répète méthodiquement, et il porte un nom : Tornado Cash . YFarmX a ainsi compté sept vagues de dépôts sur Tornado Cash, le mélangeur qui casse le lien visible entre le wallet qui dépose et celui qui retire. Après un passage dans les pools de 100, 10 et 1 ETH, les fonds ressortent ensuite dans des wallets neufs, dans l'heure.

Ledger theft, day two. Since yesterday the thief has pushed ether through Tornado Cash three times, and each time on into Zcash's shielded pool. We followed every lot out the far side. Here is how, step by step.

1. THE SAME BUILD, THREE TIMES

An ether wallet pays a fresh... pic.twitter.com/qouguFbPE0
--- YFarmX 🗞️ (@YFarmX) October 10, 2026

L'étape suivante se joue dans les pools blindées de Zcash . L'émetteur, le montant et le destinataire de chaque transaction y disparaissent. Or c'est précisément là que YFarmX revendique son fait d'armes. Concrètement, son outil identifie les transactions de retrait elles-mêmes, leur construction, leur auteur et leur horodatage. Résultat annoncé : 108 retraits sur 108 rattachés à leur lot d'origine << au zatoshi près >>, l'unité la plus fine du ZEC. Une fois ressortis, les fonds alimentent en effet des ordres de vente ZEC contre USDC . Ceux-ci paient deux wallets fraîchement créés, pour 1,79 million d'USDC non dépensés au moment de l'enquête. YFarmX interpellait donc Circle, rappelant que l'émetteur de l'USDC peut encore geler cette part.

<< Ce n'est pas un incident CryptoBilis, c'est un incident Ledger >>

Le fabricant présente l'affaire comme cantonnée aux appareils vendus par CryptoBilis , un revendeur d'Asie du Sud-Est listé comme autorisé sur son site. Une situation qui a d'ailleurs évolué dans le temps, le revendeur ayant changé de propriétaire avant les vols . Par ailleurs, Ledger a confirmé la découverte d'un implant matériel non autorisé dans au moins un appareil concerné. Toutefois, la société ne dit pas comment les machines ont été retournées. Sur X, les critiques pleuvent.

En pratique, le débat porte sur une question simple:jusqu'où va la responsabilité d'un fabricant quand un canal de vente officiel sert de cheval de Troie ? Pour rappel, l'épisode n'a rien à voir avec la campagne de phishing d'avril dernier. Une fausse application Ledger Live sur l'App Store avait alors coûté 9,5 millions de dollars à des utilisateurs ayant saisi leur seed phrase, à l'époque. Cette fois, en revanche, l'attaquant est entré en possession des clés elles-mêmes. De quoi vider des centaines de wallets sans la moindre erreur de leurs propriétaires.

D'après YFarmX, la plus grosse part du butin reste aujourd'hui de l'ether sur Ethereum, qu'aucun émetteur ne peut d'ailleurs geler. Viennent ensuite les bitcoins dans deux wallets collecteurs, puis l'USDT gelé par Tether. Circle, Binance, HitBTC et NEAR Intents peuvent donc encore intervenir sur des adresses identifiées. Il reste maintenant à savoir si Ledger assumera la facture, et si ces gelées ouvriront un jour la voie à des restitutions concrètes.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.