Suivi des incidents de sécurité des portefeuilles crypto
Au 2026-10-25, nous recensons 60 incidents de sécurité touchant des portefeuilles non dépositaires populaires et leurs utilisateurs depuis 2018, dont 20 piratages, exploits ou vulnérabilités divulguées et 5 attaques de la chaîne d'approvisionnement. La plupart des pertes des utilisateurs proviennent de l'hameçonnage, des drainers et des fausses applications, et non d'une cryptographie de portefeuille défaillante.
L'essentiel
- Quels ont été les plus graves incidents liés aux portefeuilles ?
- Safe{Wallet} (Bybit) (2025-02, ~$1.5B); Adresses personnalisées Profanity (Wintermute) (2022-09, ~$160M); Coldcard (Coinkite) (2026-07, ~$116M); Atomic Wallet (2023-06, >$100M)
- Quel est l'incident le plus récent ?
- 2026-10-09: Des appareils Ledger vendus par CryptoBilis, un revendeur d'Asie du Sud-Est répertorié comme agréé par Ledger, contenaient un implant caché qui lisait la phrase de 24 mots lors de la configuration et l'exfiltrait via un module cellulaire (LTE) ; Ledger a confirmé l'implant dans un communiqué daté du 10 oct. CryptoBilis a suspendu ses ventes, Ledger a demandé aux propriétaires de ces appareils de transférer leurs fonds vers un nouvel appareil avec une nouvelle phrase de récupération et, le 13 oct., a demandé aux revendeurs de sept marchés asiatiques de retirer leurs stocks. MediaMarktSaturn a également suspendu la vente de produits Ledger. Selon la documentation de Ledger, Genuine Check vérifie l'élément sécurisé mais ne peut pas détecter les modifications physiques.
- Quelle est la principale leçon ?
- La plupart des pertes naissent en dehors de la cryptographie du portefeuille : sites d'hameçonnage, fausses applications, autorisations malveillantes et chaînes d'approvisionnement compromises. Vérifiez vos téléchargements, ne saisissez jamais votre phrase de récupération sur un site web et contrôlez ce que vous signez.
Chronologie
| Date | Portefeuille | Type | Perte déclarée | Ce qui s'est passé | Source |
|---|---|---|---|---|---|
| 2026-10-09 | Ledger | chaîne d'approvisionnement | ~$86M–$93M | Des appareils Ledger vendus par CryptoBilis, un revendeur d'Asie du Sud-Est répertorié comme agréé par Ledger, contenaient un implant caché qui lisait la phrase de 24 mots lors de la configuration et l'exfiltrait via un module cellulaire (LTE) ; Ledger a confirmé l'implant dans un communiqué daté du 10 oct. CryptoBilis a suspendu ses ventes, Ledger a demandé aux propriétaires de ces appareils de transférer leurs fonds vers un nouvel appareil avec une nouvelle phrase de récupération et, le 13 oct., a demandé aux revendeurs de sept marchés asiatiques de retirer leurs stocks. MediaMarktSaturn a également suspendu la vente de produits Ledger. Selon la documentation de Ledger, Genuine Check vérifie l'élément sécurisé mais ne peut pas détecter les modifications physiques. | cryptoslate.com |
| 2026-10-01 | MetaMask | autre | — | MetaMask a annoncé un « incident de sécurité en cours » touchant une partie de son infrastructure et a commencé, par précaution, à retirer les validateurs de son service de staking non dépositaire (y compris ses validateurs dans Lido, dont la sortie devait s'achever le 7 oct.). L'entreprise a déclaré n'avoir trouvé aucune preuve que des portefeuilles ou des fonds de clients aient été touchés et n'a pas divulgué la cause. | thehackernews.com |
| 2026-09-09 | Trezor | hameçonnage | — | Des attaquants ont compromis Brevo, le prestataire d'e-mailing marketing de Trezor, et envoyé depuis [email protected] des e-mails d'hameçonnage évoquant une fausse « vulnérabilité du microcontrôleur » STM32, qui menaient à une page de vol de phrases de récupération. Trezor a fait fermer le domaine en une vingtaine de minutes, suspendu son compte Brevo et indiqué qu'aucun autre système Trezor n'avait été touché. | bleepingcomputer.com |
| 2026-08-16 | SafePal | fuite de données | — | Un attaquant a exploité une faille d'autorisation dans un plug-in de suivi de commandes de la boutique en ligne de SafePal et a récupéré noms, e-mails, numéros de téléphone, adresses de livraison et détails des commandes passées entre mars 2025 et avril 2026 ; les phrases de récupération et les clés n'ont pas été exposées. SafePal a corrigé la faille, mandaté une société de sécurité externe et fait fermer plus de 30 sites d'hameçonnage. | bleepingcomputer.com |
| 2026-08-11 | Rabby Wallet (extension de navigateur) | vulnérabilité | — | Le chercheur V12 a signalé une faille d'« extraction silencieuse de signatures » dans l'extension Rabby : un site malveillant auquel l'utilisateur s'était connecté pouvait obtenir des signatures sans demande de confirmation lorsque le verrouillage automatique était réglé sur 10 minutes. Rabby a publié un correctif le 11 août 2026, a précisé que l'application mobile n'était pas concernée et n'a signalé aucune exploitation connue. | techflowpost.com |
| 2026-08-10 | Trezor | fuite de données | — | ShipMonk, le prestataire logistique de Trezor, a été piraté via une vulnérabilité de Metabase, exposant noms, e-mails, numéros de téléphone et adresses de livraison liés aux commandes passées du 10 mai au 8 août 2026. Le 7 sept., Trezor a indiqué que les données de 67 000 clients américains ayant commandé entre nov. 2019 et août 2021 avaient aussi été exposées, ShipMonk ne les ayant pas supprimées. Trezor a déclaré que ses propres systèmes et appareils n'avaient pas été compromis et a mis en garde contre des campagnes d'hameçonnage consécutives. | bleepingcomputer.com |
| 2026-07-30 | Coldcard (Coinkite) | vulnérabilité | ~$116M | Une erreur de configuration de compilation remontant au firmware Coldcard 4.0.1 (mars 2021) faisait que les phrases de récupération des Mk2/Mk3 concernés, et dans une moindre mesure des firmwares Mk4, Mk5 et Q, provenaient d'un générateur aléatoire logiciel faible au lieu de la source d'entropie matérielle, ce qui permettait de les retrouver par force brute ; les vols ont commencé le 30 juil. 2026. Coinkite a publié des firmwares corrigés le 31 juil. (Mk3 4.2.0, Mk4/Mk5 5.6.0, Q 1.5.0Q) et a demandé aux propriétaires de phrases exposées d'en créer une nouvelle et de transférer leurs fonds ; la mise à jour ne protège que les nouvelles phrases. | trmlabs.com |
| 2026-07-24 | Sparrow Wallet (usurpation) | fausse application | ~$1.8M | Trois utilisateurs ont poursuivi Apple devant un tribunal fédéral de Californie, affirmant qu'une fausse application iOS « Sparrow Wallet » (le vrai Sparrow n'existe pas sur iOS) avait volé leurs phrases de récupération et leurs bitcoins à la mi-2025. Apple n'a pas commenté la procédure mais a indiqué qu'il n'y avait actuellement aucune copie de Sparrow Wallet sur l'App Store. | decrypt.co |
| 2026-06-03 | Trezor (Safe 7, puce TROPIC01) | vulnérabilité | — | Le Donjon de Ledger a découvert une faille d'injection de fautes par laser dans la puce sécurisée TROPIC01 utilisée dans le Trezor Safe 7 ; son exploitation nécessite une possession physique, un décapsulage et du matériel de laboratoire, et elle ne peut pas être corrigée par firmware sur les puces existantes. Trezor a indiqué que les clés du portefeuille et la sauvegarde ne sont pas stockées sur cette puce, de sorte que les fonds, le code PIN et la sauvegarde ne peuvent pas être révélés, et que les utilisateurs n'ont rien à faire. | trezor.io |
| 2026-04-20 | Multiples (usurpation de MetaMask, Ledger, Trust Wallet, Coinbase et d'autres) | fausse application | — | Kaspersky a signalé 26 fausses applications de portefeuille sur l'App Store d'Apple, dans le cadre d'une campagne active depuis au moins l'automne 2025. Elles incitaient les utilisateurs à installer des versions de portefeuille piégées via un profil développeur, ou demandaient la phrase de récupération sur de faux écrans. | kaspersky.com |
| 2026-04-07 | Ledger (usurpation) | fausse application | ~$9.5M | Une fausse application Ledger Live sur le Mac App Store d'Apple collectait des phrases de récupération ; ZachXBT lui a attribué environ 9,5 M$ de vols entre le 7 et le 13 avril 2026, trois victimes ayant perdu chacune plus de 1 M$. Apple a retiré la fiche sans expliquer comment elle avait passé la validation. | theblock.co |
| 2026-02-14 | Trezor, Ledger | hameçonnage | — | Des lettres papier sur un faux en-tête Trezor ou Ledger annonçaient un « Authentication Check » ou un « Transaction Check » obligatoire et utilisaient des QR codes pour diriger les destinataires vers des sites d'hameçonnage collectant les phrases de récupération. Les deux fabricants affirment ne jamais demander de phrase de récupération. | bleepingcomputer.com |
| 2026-01-05 | Ledger | fuite de données | — | Global-e, le prestataire de paiement d'une partie des commandes sur Ledger.com, a été piraté et les noms et coordonnées de clients ont été exposés. Ledger a déclaré que son propre matériel, ses logiciels et sa plateforme n'avaient pas été compromis et qu'aucun fonds n'était menacé. | bravenewcoin.com |
| 2025-12-24 | Trust Wallet (extension de navigateur) | chaîne d'approvisionnement | ~$8.5M | Une version malveillante 2.68 de l'extension Chrome, publiée en dehors du processus de publication de Trust Wallet, a exfiltré les phrases de récupération des utilisateurs qui se sont connectés entre le 24 et le 26 déc. Trust Wallet estime avec un haut degré de confiance que l'attaque découle du ver npm Sha1-Hulud de nov. 2025, qui avait exposé des secrets GitHub de développeurs et une clé d'API du Chrome Web Store. L'entreprise a publié la v2.69, révoqué ses API de publication, fait fermer le domaine d'exfiltration et ouvert une procédure de réclamation pour indemniser les utilisateurs touchés. | trustwallet.com |
| 2025-12-20 | Général (empoisonnement d'adresse) | hameçonnage | ~$50M | Un trader a copié une adresse ressemblante placée dans son historique de transactions par un script d'empoisonnement d'adresse et y a envoyé près de 50 M$ en USDT après un petit transfert de test. L'attaquant a blanchi les fonds via DAI, ETH et Tornado Cash ; la victime a offert une prime de 1 M$. | theblock.co |
| 2025-12-16 | Exodus | politique | — | L'OFAC, rattaché au Trésor américain, a annoncé un règlement de 3 103 360 $ avec Exodus Movement pour 254 violations apparentes des sanctions contre l'Iran (dont 12 jugées graves). Entre oct. 2017 et janv. 2019, le support d'Exodus a aidé des utilisateurs en Iran, les aidant dans certains cas à accéder à des plateformes d'échange partenaires et leur suggérant à 12 reprises d'utiliser un VPN. Il ne s'agit pas d'un piratage ; aucun fonds d'utilisateur n'a été touché. | ofac.treasury.gov |
| 2025-09-08 | Général (chaîne d'approvisionnement npm) | chaîne d'approvisionnement | ~$600 | Après avoir hameçonné un mainteneur, des attaquants ont publié des versions malveillantes de chalk, debug et d'environ 18 autres paquets npm. Le code interceptait window.ethereum et les requêtes réseau dans les navigateurs pour remplacer les adresses de destinataires crypto. Les versions malveillantes ont été rapidement détectées et n'ont rapporté que très peu aux attaquants. | thehackernews.com |
| 2025-06-23 | Trezor | hameçonnage | — | Des attaquants ont soumis des demandes via le formulaire de support de Trezor au nom de victimes, de sorte que les e-mails de réponse automatique de Trezor contenaient du contenu d'hameçonnage. Trezor a déclaré que ses systèmes et données n'avaient pas été consultés, a fait fermer le site d'hameçonnage et a indiqué travailler à empêcher de nouveaux abus. | theblock.co |
| 2025-05-07 | Général (Inferno Drainer) | drainer | >$9M | Check Point a signalé qu'Inferno Drainer était de nouveau utilisé, attirait ses victimes via de fausses pages de vérification Discord Collab.Land et avait ajouté des contrats à usage unique et une configuration on-chain chiffrée pour échapper à la détection. | decrypt.co |
| 2025-04 | Ledger | hameçonnage | — | Des utilisateurs de Ledger ont reçu des lettres papier exigeant une « validation obligatoire du portefeuille » via QR code et saisie de la phrase de récupération. Ledger a confirmé qu'il s'agissait d'une arnaque et rappelé ne jamais demander les 24 mots. | theblock.co |
| 2025-03-05 | Trezor | vulnérabilité | — | Le Donjon de Ledger a montré qu'une attaque par glitch de tension sur un microcontrôleur dessoudé pouvait contourner certaines protections de la chaîne d'approvisionnement de l'ancien Trezor Safe 3. Trezor a divulgué le problème, l'a jugé difficile à exploiter, a mis en avant les passphrases et les vérifications du firmware, et a souligné que le Safe 5 utilise une puce résistante aux glitchs. | theblock.co |
| 2025-02-21 | Safe{Wallet} (Bybit) | chaîne d'approvisionnement | ~$1.5B | Des attaquants attribués à Lazarus ont compromis la machine d'un développeur de Safe{Wallet} et modifié le JavaScript front-end dans le bucket AWS S3 de Safe, ce qui a amené les signataires de Bybit à approuver une transaction malveillante déguisée sur son portefeuille froid. Safe a reconstruit son infrastructure, renouvelé tous ses identifiants et rétabli le service, et a déclaré que ses smart contracts n'étaient pas vulnérables. | slowmist.medium.com |
| 2025-02-06 | Général (SparkCat) | fausse application | — | Kaspersky a découvert le SDK SparkCat dans des applications de l'App Store et de Google Play ; il utilisait l'OCR embarquée pour repérer dans les galeries photo des captures d'écran de phrases de récupération et les téléverser. Les deux boutiques ont retiré les applications. | thehackernews.com |
| 2025-01-21 | Ledger | autre | — | Balland et sa compagne ont été enlevés en France contre une rançon en cryptomonnaie et libérés par la police en quelques jours, après une blessure au doigt infligée à Balland ; dix suspects ont été arrêtés. Il s'agit d'un cas emblématique de la montée des « wrench attacks », ces agressions physiques visant les détenteurs de cryptomonnaies. | thelocal.fr |
| 2025-01 | Général (empoisonnement d'adresse) | hameçonnage | >$83.8M | Une étude présentée à USENIX Security 2025 a mesuré environ 270 millions de tentatives d'empoisonnement d'adresse sur Ethereum et BSC sur environ deux ans, pour au moins 83,8 M$ de pertes. | arxiv.org |
| 2024-12-30 | Tangem | vulnérabilité | — | Un bug de journalisation de l'application mobile inscrivait les clés privées dans les journaux lorsqu'un utilisateur créait un portefeuille à phrase de récupération, et ces journaux pouvaient parvenir au support de Tangem. Tangem a corrigé le problème le 30 déc. 2024, supprimé les journaux du support, contacté les utilisateurs concernés et déclaré qu'aucun fonds n'avait été perdu, mais a été critiqué pour sa faible communication publique. | cointelegraph.com |
| 2024-09 | WalletConnect (usurpation) | fausse application | ~$70,000 | Check Point a découvert sur Google Play une fausse application « WalletConnect » qui a vidé des portefeuilles pendant environ cinq mois, le premier drainer crypto exclusivement mobile qu'il ait observé. L'application a été retirée. | thehackernews.com |
| 2024-05-17 | Général (Pink Drainer) | drainer | ~$85M | Pink Drainer, un service de « drainer-as-a-service » connu pour détourner des comptes Discord et X, a annoncé sa fermeture après environ 85 M$ de vols (ScamSniffer). | theblock.co |
| 2024-05-03 | Général (empoisonnement d'adresse) | hameçonnage | ~$68M | Une baleine a envoyé 68 M$ en WBTC à une adresse ressemblante empoisonnée. Après des négociations on-chain, l'attaquant a restitué la quasi-totalité des fonds en une semaine environ. | unchainedcrypto.com |
| 2024-02-12 | Safe (détourné par Angel Drainer) | drainer | ~$403,000 | Angel Drainer a déployé un contrat de coffre Safe malveillant et amené des victimes à signer des autorisations Permit2, le badge « verified » d'Etherscan donnant une fausse impression de sécurité. Blockaid a indiqué que Safe lui-même n'avait pas été attaqué. | cointelegraph.com |
| 2024-02-06 | Exodus (usurpation) | fausse application | ~$490K | Un faux snap de portefeuille « Exodus » sur le Snap Store d'Ubuntu volait les phrases de récupération ; Canonical l'a mis en quarantaine après un signalement le 12 févr. Un faux snap Ledger Live avait coûté environ 10 000 $ à un utilisateur en sept. 2023. | blog.popey.com |
| 2024-01-17 | Trezor | fuite de données | — | Un attaquant a accédé à un portail tiers de gestion des tickets de support et exposé les noms et e-mails des personnes ayant contacté le support de Trezor depuis déc. 2021 ; au moins 41 d'entre elles ont reçu des e-mails d'hameçonnage visant leur phrase de récupération. Trezor a écrit aux utilisateurs concernés et déclaré qu'aucun actif n'avait été compromis. | forklog.com |
| 2023-12-14 | Ledger (Connect Kit) | chaîne d'approvisionnement | ~$600,000 | Le compte npm d'un ancien employé victime d'hameçonnage a servi à publier une version malveillante de Ledger Connect Kit qui injectait un drainer dans les dApps utilisant la bibliothèque. Ledger a déployé un correctif, s'est engagé à indemniser intégralement les victimes et a annoncé l'abandon progressif de la signature à l'aveugle au profit du Clear Signing. | cointelegraph.com |
| 2023-12-12 | OKX Wallet / OKX DEX | piratage | ~$2.7M | Une fuite présumée d'une clé d'administration de proxy a permis à des attaquants de mettre à jour un contrat OKX DEX obsolète et de vider les jetons que les utilisateurs avaient autorisés. OKX a révoqué les autorisations et s'est engagé à rembourser les utilisateurs touchés. | theblock.co |
| 2023-11-14 | Général (BitcoinJS « Randstorm ») | vulnérabilité | — | Unciphered a divulgué « Randstorm », un défaut d'aléa dans les portefeuilles de navigateur basés sur BitcoinJS générés entre 2011 et 2015 (lié à JSBN SecureRandom et à Math.random des navigateurs) qui pourrait permettre de retrouver des clés par force brute. Les détenteurs ont été invités à transférer leurs fonds. | forklog.com |
| 2023-11 | Général (Inferno Drainer) | drainer | >$80M | Inferno Drainer, actif depuis nov. 2022 et usurpant plus de 100 marques crypto sur plus de 16 000 domaines d'hameçonnage, a annoncé sa fermeture en nov. 2023 (Group-IB). | group-ib.com |
| 2023-10-19 | Ledger Live (usurpation) | fausse application | ~$768,000 | Une fausse application Ledger Live présente sur le Microsoft Store à partir du 19 oct. 2023 volait les phrases de récupération, comme l'a signalé ZachXBT. Microsoft l'a retirée. | bitdefender.com |
| 2023-09-05 | Général (piratage de LastPass) | fuite de données | >$35M | Des chercheurs ont relié une série de vols de cryptomonnaies à des phrases de récupération conservées dans des coffres LastPass volés lors du piratage de 2022 puis cassés hors ligne. Ils ont jugé ce lien probable mais non concluant. | krebsonsecurity.com |
| 2023-08-08 | Libbitcoin Explorer (bx) — « Milk Sad » | vulnérabilité | >$900,000 | La commande `bx seed` utilisait un générateur pseudo-aléatoire initialisé par l'heure avec seulement 32 bits d'entropie (CVE-2023-39910), ce qui permettait de retrouver les phrases par force brute. Libbitcoin a contesté qu'il s'agisse d'un bug, en invoquant les avertissements de sa documentation. | unchainedcrypto.com |
| 2023-06-03 | Atomic Wallet | piratage | >$100M | Les fonds de milliers d'utilisateurs d'Atomic Wallet ont été siphonnés lors d'une attaque qu'Elliptic a attribuée au groupe nord-coréen Lazarus. Atomic n'a jamais confirmé la cause, évoquant quatre vecteurs possibles ; l'entreprise a travaillé avec des plateformes d'échange, Chainalysis et Crystal pour geler des fonds et n'a annoncé aucun remboursement. | decrypt.co |
| 2023-05 | Ledger (Recover) | politique | — | Ledger a annoncé Ledger Recover (16 mai 2023), un service payant optionnel qui chiffre la phrase de récupération et la répartit entre trois dépositaires. Des utilisateurs ont objecté que le firmware pouvait extraire les clés ; le PDG Pascal Gauthier s'est excusé pour la communication, a promis une ouverture du code plus rapide et a reporté le lancement. | forklog.com |
| 2023-04-22 | Trust Wallet (extension de navigateur) | vulnérabilité | ~$170,000 | Un défaut d'entropie lié à WebAssembly dans Trust Wallet Core rendait devinables certains portefeuilles générés par l'extension, et deux exploitations ont suivi. Trust Wallet a corrigé le problème, sécurisé la plupart des fonds à risque et mis en place des remboursements. | theblock.co |
| 2023-02 | OneKey | vulnérabilité | — | Unciphered a publié une vidéo montrant l'extraction de secrets d'un OneKey Mini en environ une seconde grâce à une faille du firmware. OneKey a déclaré avoir corrigé la faille. | unciphered.com |
| 2022-12 | BitKeep (désormais Bitget Wallet) | fausse application | ~$8M | Des APK Android de BitKeep piégés par un cheval de Troie, diffusés via des sites d'hameçonnage, volaient les clés privées ; la version Google Play n'était pas concernée. | halborn.com |
| 2022-10-18 | BitKeep Swap (désormais Bitget Wallet) | piratage | ~$1M | La fonction Swap de BitKeep a été exploitée sur BNB Chain et Polygon. BitKeep a suspendu Swap et promis une indemnisation à 100 % via un portail de réclamation. | web3.bitget.com |
| 2022-10-11 | Rabby Wallet | piratage | — | Moins d'un mois après le lancement, une faille du contrat routeur de Rabby Swap a permis de vider les jetons que les utilisateurs avaient autorisés. Rabby a demandé aux utilisateurs de Swap de révoquer toutes leurs autorisations. | theblock.co |
| 2022-09-20 | Adresses personnalisées Profanity (Wintermute) | vulnérabilité | ~$160M | Le teneur de marché Wintermute a perdu 160 M$, une perte largement attribuée au fait que son portefeuille chaud d'administration était une adresse personnalisée générée par Profanity, dont la clé pouvait être retrouvée par force brute. 1inch avait divulgué la faille de Profanity une semaine plus tôt. | theblock.co |
| 2022-08-02 | Slope Wallet | vulnérabilité | ~$4M–$5M | L'application mobile de Slope envoyait les phrases de récupération à un serveur de journalisation Sentry où elles étaient stockées en clair (Otter Sec). Slope a demandé aux utilisateurs de transférer leurs fonds ; Phantom a déclaré que ses systèmes n'avaient pas été compromis et que les utilisateurs de Phantom touchés avaient importé des phrases de récupération Slope. | theblock.co |
| 2022-06-16 | MetaMask, Phantom (et Brave) | vulnérabilité | — | La divulgation « Demonic » de Halborn a montré que les fichiers de « restauration de session » des navigateurs pouvaient stocker des phrases de récupération en clair sur le disque. MetaMask et Phantom ont publié des correctifs. | theblock.co |
| 2022-04-17 | MetaMask (iOS) | hameçonnage | ~$650,000 | Une arnaque téléphonique a permis de prendre le contrôle de l'identifiant Apple d'un utilisateur et d'utiliser la sauvegarde iCloud de son coffre MetaMask pour vider le portefeuille. MetaMask a averti les utilisateurs et publié la marche à suivre pour désactiver la sauvegarde iCloud de l'application. | decrypt.co |
| 2022-04-03 | Trezor | hameçonnage | — | Une intrusion chez Mailchimp, facilitée par un employé interne, a conduit des clients de Trezor à recevoir des e-mails d'hameçonnage promouvant une fausse application « Trezor Suite » conçue pour voler les phrases de récupération. Trezor a fait fermer le domaine et suspendu ses newsletters. | siliconrepublic.com |
| 2021-06-16 | Ledger | hameçonnage | — | À partir des données de la fuite de 2020, des criminels ont envoyé par la poste de faux appareils Ledger Nano X « de remplacement » trafiqués qui demandaient aux victimes d'exécuter un logiciel et de saisir leur phrase de récupération. Ledger a rappelé qu'il ne demande jamais cette phrase. | bleepingcomputer.com |
| 2021-01-22 | Trezor (usurpation) | fausse application | >$1M | Une fausse application « Trezor » présente sur l'App Store d'Apple du 22 janv. au 3 févr. 2021 collectait des phrases de récupération ; une copie similaire est apparue sur Google Play. | malwarebytes.com |
| 2020-12-20 | Ledger | fuite de données | — | La base de données e-commerce de Ledger, volée en juin 2020, a été publiée sur RaidForums, alimentant pendant des années des campagnes d'hameçonnage, d'extorsion et de faux appareils. Ledger avait désactivé la clé d'API exploitée et notifié la CNIL en juillet 2020. | decrypt.co |
| 2020-03-24 | Général (autorisations de jetons illimitées) | vulnérabilité | — | ZenGo a montré que la plupart des portefeuilles de dApps accordaient des autorisations ERC-20 illimitées qu'une dApp malveillante pouvait ensuite exploiter pour vider les fonds. Trust Wallet a annoncé une mise à niveau ; MetaMask et Brave proposaient déjà des contrôles avancés des autorisations. | cointelegraph.com |
| 2020-01-31 | Trezor | vulnérabilité | — | Kraken Security Labs a extrait des phrases de récupération chiffrées d'appareils Trezor en moins de 15 minutes d'accès physique grâce à un glitch de tension ; la faille du microcontrôleur ne peut pas être corrigée. Trezor a indiqué qu'une passphrase BIP39 met en échec l'attaque. | theblock.co |
| 2019-04 | Electrum | autre | — | Un botnet propagé via Smoke Loader/RIG a mené des attaques DDoS contre des serveurs Electrum légitimes pour pousser d'anciens clients vers des serveurs d'hameçonnage malveillants. Electrum a exploité une faille DoS des clients antérieurs à la 3.3 pour forcer les mises à jour et publié des recommandations pour les opérateurs de serveurs. | malwarebytes.com |
| 2019-02-22 | Coinomi | vulnérabilité | — | Un utilisateur a montré que le portefeuille de bureau de Coinomi envoyait le texte du champ de restauration, phrases de récupération comprises, à l'API de correction orthographique de Google. Coinomi a mis en cause un plug-in mal configuré et l'a corrigé le 22 févr. 2019. | theblock.co |
| 2018-12-27 | Trezor, Ledger | vulnérabilité | — | L'équipe wallet.fail a présenté au 35C3 des attaques contre le Trezor One (extraction de clé en l'absence de passphrase) et les Ledger Nano S/Blue. Trezor a promis un correctif du firmware et critiqué l'absence de divulgation coordonnée. | crowdfundinsider.com |
| 2018-12-21 | Electrum | hameçonnage | >$4M | Des serveurs Electrum malveillants ont exploité la capacité du client à afficher des messages d'erreur en texte enrichi pour présenter de fausses invitations de « mise à jour » renvoyant vers des portefeuilles piégés qui volaient les phrases de récupération ou détournaient les paiements. Electrum a corrigé le problème dans les versions 3.3.3/3.3.4 puis a forcé les mises à jour. | malwarebytes.com |
Comment vous protéger
Ne téléchargez un portefeuille que depuis le site officiel ou sa fiche officielle dans la boutique d'applications, en saisissant l'adresse vous-même ; ne tapez jamais une phrase de récupération sur un site web et ne la communiquez jamais à un prétendu « support » ; lisez chaque transaction et chaque autorisation avant de signer ; vérifiez chaque caractère d'une adresse que vous collez, pas seulement les premiers et les derniers, car l'empoisonnement d'adresse copie précisément ceux-ci ; et conservez les montants importants sur un portefeuille matériel. Voir sécurité de la phrase de récupération et arnaques aux portefeuilles crypto.
Méthodologie et citation
Les entrées proviennent des rapports post-incident des éditeurs, de chercheurs en sécurité et de médias reconnus ; chaque ligne indique sa source. Les montants des pertes sont ceux déclarés au moment des faits. Les journalistes et chercheurs peuvent citer cette page ; merci d'y faire un lien. Les données sont téléchargeables gratuitement sur notre page presse. Les corrections sont les bienvenues.