Près de 20 M $ en XRP siphonnés de 6,678 portefeuilles au cours de six vagues d’attaque

Près de 20 M $ en XRP ont été siphonnés de milliers de portefeuilles matériels en six vagues réparties sur près d’une semaine.

La société d’analyse blockchain XRPL.to a suivi 11,75M XRP sortis de 6,678 portefeuilles distincts entre le 15 et le 20 septembre, dont plusieurs vagues de collecte après que DCENT a averti les utilisateurs de transferts non autorisés impliquant son App Wallet mobile.

Au cours actuel du XRP, d’environ 1,59 $, les tokens valent près de 18,68 M $.

XRPL.to situe le premier balayage identifié à 15:35 UTC le 15 septembre. DCENT a indiqué avoir reçu le premier signalement d’un client en Corée le 16 septembre et avoir commencé à avertir les utilisateurs ce jour-là via son application et ses canaux officiels. XRP siphonnés des portefeuilles D'CENT (Source : XRPL.to)

Les siphonnages ont ensuite repris.

Selon XRPL.to, une autre vague de collecte a débuté à 07:05 UTC le 17 septembre, tandis que le dernier balayage recensé dans son enquête a eu lieu à 20:56 UTC le 20 septembre.

L’enquêteur a comptabilisé 4,208 portefeuilles balayés au moyen de transactions de paiement et 2,470 autres vidés par suppression de compte, sans paiement préalable dans les données qu’il a suivies. Il a également identifié 5,001 transactions AccountDelete provenant de 4,950 portefeuilles, y compris des comptes qui avaient déjà été partiellement vidés.

La suppression de compte a permis à la personne contrôlant les clés d’extraire les soldes que des paiements ordinaires de balayage pouvaient laisser. Les comptes XRP Ledger (XRPL) conservent une réserve tant qu’ils restent ouverts, mais une transaction AccountDelete peut clôturer un compte admissible et transférer les XRP restants, après déduction des frais de suppression, vers une autre adresse.

Une telle suppression a transféré 107,507 XRP, soit environ 171 000 $ au cours actuel.

XRPL.to a indiqué que les transactions de paiement et de suppression avaient été signées de manière valide avec les clés des comptes concernés. La trace sur la blockchain ne révèle pas comment ces clés ont été obtenues, et DCENT n’a pas encore communiqué la cause technique de l’incident.

Plus de 5,6M XRP transférés via THORChain

Au moment où les enquêteurs ont cartographié les flux, une grande partie des XRP volés avait déjà commencé à quitter le XRP Ledger.

XRPL.to a suivi 5,67M XRP via THORChain au 11:26 UTC le 21 septembre, dont environ 5,59M XRP envoyés depuis deux vagues de collecte par des transactions dont les mémos indiquaient des adresses de destination sur Ethereum.

Une autre quantité de 3,24M XRP a été transférée vers unionchain.ai, que XRPL.to a décrite comme une plateforme crypto, tandis qu’environ 546,080 XRP ont atteint NEAR Intents et 535,666 XRP ont été transférés vers des étiquettes de dépôt Binance.

Environ 1,31M XRP se trouvaient encore dans des portefeuilles liés à l’opération au moment du relevé de l’enquêteur.

Ces destinations compliquent les tentatives de récupération des actifs. THORChain et NEAR Intents permettent de transférer de la valeur entre réseaux, créant des pistes supplémentaires que les enquêteurs doivent suivre une fois les XRP échangés contre des actifs sur une autre blockchain.

Par ailleurs, les transferts vers des adresses liées à des plateformes crypto pourraient offrir des possibilités d’intervention, même si une adresse de dépôt ne permet pas, à elle seule, de savoir si les fonds ont été vendus ou sont toujours accessibles.

DCENT a déclaré travailler avec les forces de l’ordre coréennes, des spécialistes externes de la sécurité, des projets blockchain et des plateformes crypto pour suivre l’argent et demander des gels lorsque cela est possible.

L’entreprise n’a annoncé aucun gel ni récupération mené à bien. Elle a précisé que toute action de ce type dépendait des forces de l’ordre, des plateformes crypto et d’autres tiers contrôlant les services par lesquels les fonds ont transité.

DCENT exhorte les détenteurs à abandonner les phrases de récupération exposées

La poursuite des balayages a conduit DCENT à renforcer son avertissement le 20 septembre, en demandant à l’ensemble de la communauté blockchain et crypto de l’aider à contacter les utilisateurs d’App Wallet qui n’auraient peut-être pas vu ses précédentes notifications.

"La mesure la plus importante pour éviter d’autres dommages consiste à transférer les actifs hors de DCENT App Wallet", a déclaré l’entreprise, exhortant les utilisateurs et les communautés crypto à transmettre directement ses recommandations à toute personne connue pour utiliser l’application.

DCENT a demandé aux utilisateurs concernés de mettre à jour l’application depuis une boutique d’applications officielle avant toute autre action, puis de transférer leurs avoirs vers un portefeuille créé avec une toute nouvelle phrase de récupération.

Cette consigne s’applique également à certains utilisateurs de portefeuilles matériels.

DCENT a indiqué que toute personne ayant précédemment saisi ou restauré la phrase de récupération d’un portefeuille matériel dans son App Wallet devait suivre la même procédure de migration. Réimporter la même phrase sur un appareil matériel ne génère pas de nouvelles clés privées : toute exposition antérieure accompagne donc la phrase vers le nouvel appareil.

Les critères de DCENT concernant les risques potentiels incluent également les adresses dont la phrase de récupération a été utilisée dans App Wallet et qui ont signé des transactions avec une version de l’application antérieure à la 8.1.0, publiée le 5 novembre 2025. Même les utilisateurs ayant ensuite mis à jour le logiciel sont invités à vérifier quelle version était installée lorsqu’ils ont signé des transactions auparavant.

DCENT précise que, selon ses critères actuels, les utilisateurs de portefeuilles matériels qui n’ont jamais saisi leur phrase de récupération dans App Wallet et n’ont jamais utilisé le portefeuille logiciel pour signer des transactions n’ont pas besoin de migrer.

L’entreprise a également mis en garde les utilisateurs contre une deuxième vague de pertes potentielles provoquée par des usurpateurs qui tireraient parti de l’incident. DCENT a indiqué qu’elle ne demanderait jamais de phrase de récupération, de clé privée ou de code PIN, et ne fournirait aucune adresse de portefeuille à laquelle les utilisateurs devraient envoyer des actifs pour les récupérer ou obtenir une compensation.

Pour les utilisateurs ayant déjà subi des transferts non autorisés, DCENT a indiqué le 20 septembre qu’elle élaborait toujours une procédure afin d’évaluer l’ampleur de l’impact et le statut des actifs concernés.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.