Le 5 novembre, la société d’analyse des données on-chain Bitquery a publié une enquête. Du 5 octobre au 4 novembre, en l’espace d’un mois, des USDT ont été vidés de 365 portefeuilles TRON. Le montant minimal recensé s’élève à 4,06 millions de dollars. Toutes les victimes utilisaient des portefeuilles personnels ; aucune plateforme d’échange n’a été touchée et aucune faille de protocole n’a été exploitée.
Les fonds ont suivi un schéma très précis. Bitquery a recensé 43 adresses de réception, toutes liées à un même portefeuille de financement. Sur TRON, les transferts d’USDT nécessitent des TRX pour payer les frais. Les escrocs envoyaient donc d’abord quelques TRX aux portefeuilles ciblés ; quelques secondes plus tard, tous les USDT qu’ils contenaient étaient transférés, et les TRX restants suivaient. Le 25 octobre a été la journée la plus active : elle représentait à elle seule environ 31 % du total. Une transaction est particulièrement explicite : un portefeuille a d’abord reçu 18 TRX, puis, 18 secondes plus tard, 519 093 USDT ont été transférés en une seule fois vers l’adresse de réception. Le rapport ne précise pas comment les escrocs ont obtenu les clés. Une société de sécurité soupçonne des outils iOS comme DarkSword, capables de rechercher des phrases de récupération dans les téléphones, mais les données on-chain ne permettent pas de le prouver.
Parmi ces 365 portefeuilles, 276 ont perdu des USDT et 89 uniquement des TRX. La perte médiane est de 1 029 dollars, ce qui peut sembler peu, mais 8 portefeuilles ont chacun perdu plus de 100 000 dollars et représentent à eux seuls 63 % du total. Par ailleurs, 65 portefeuilles ont encore perdu plus de 103 000 dollars sur 8 blockchains, dont Ethereum, BNB Chain et Solana. Des adresses reliées par une même clé : l’une d’elles, utilisée depuis avril 2024, a été vidée sur 6 blockchains en 17 minutes. 46 % des portefeuilles victimes étaient utilisés depuis plus d’un an : les personnes dépouillées n’étaient pas des débutants fraîchement arrivés.
43 adresses de réception et un portefeuille commun servant à payer les frais : l’ensemble ressemble à une petite chaîne de traitement. Les adresses de réception ont une courte durée de vie : elles encaissent une somme, puis sont remplacées. Le portefeuille de paiement, lui, reste actif et avance les frais pour chaque cible. Bitquery apporte toutefois une nuance : le fait d’utiliser un portefeuille de paiement commun prouve qu’il y a eu des transferts entre ces adresses, mais ne permet pas de savoir s’il s’agit d’un seul opérateur ou de plusieurs acheteurs utilisant les mêmes outils. Les sommes sont bien réelles, mais leur attribution reste incertaine. Pour les petits investisseurs, le seul enseignement pratique est le suivant : les adresses de réception sont éphémères. Quand vous les repérez, l’argent a déjà changé de place. Le seul schéma reconnaissable est cette habitude d’envoyer d’abord des TRX, puis de transférer la totalité des fonds.
Il faut préciser un point : la blockchain permet de voir où va l’argent, mais pas quel téléphone utilisait la victime. Bitquery n’a pu faire correspondre qu’une seule transaction à un cas de vol d’iPhone rapporté publiquement, en se fondant sur le montant et la date. La blockchain ne permet pas de savoir quels appareils ou quelles applications de portefeuille étaient utilisés par les autres portefeuilles. Aucune faille n’a non plus été découverte dans Trust Wallet. Les publications en ligne évoquant la perte de 1,1 million de dollars ne fournissent même pas d’adresse : elles ne constituent donc pas une preuve.
Quand je disais plus haut que l’affaire n’était pas élucidée, je parlais des responsables derrière ces 365 portefeuilles. L’outil, lui, existe bel et bien. Le 6 novembre, CertiK et SlowMist ont toutes deux averti que la nouvelle version de DarkSword ciblait toujours les iPhone non mis à jour. Les correctifs d’Apple sont inclus dans iOS 18.7.7 et iOS 26.3 ; les appareils qui n’ont pas été mis à jour restent vulnérables. Dans son rapport du 4 novembre, SEAL indique avoir reçu 6 nouveaux signalements de vols de portefeuilles iOS entre le 28 octobre et le 3 novembre, pour des pertes d’environ 127 000 dollars. PublicAML a ensuite poursuivi le suivi : du 5 au 7 novembre, au moins 734 000 dollars ont été transférés depuis 21 adresses par le même réseau de portefeuilles de paiement. Cette méthode est toujours en cours.
Les petits investisseurs peuvent faire trois choses. Si vous avez un iPhone, mettez-le à jour dès maintenant vers la version 18.7.7 ou 26.3 ; n’attendez pas d’y repenser plus tard. Ne stockez pas votre phrase de récupération dans vos photos, vos notes ou iCloud. Gardez-en une copie hors ligne, sur papier ou sur une plaque d’acier, pour qu’elle reste inaccessible même si votre téléphone est perdu ou que son système est compromis. Si quelques TRX d’origine inconnue apparaissent soudainement dans votre portefeuille, prenez-les comme un signal d’alerte, pas comme un cadeau, et transférez immédiatement le reste de vos fonds vers un nouveau portefeuille avec une nouvelle phrase de récupération. Bitquery le dit clairement dans son rapport : une fois la phrase de récupération divulguée, changer le mot de passe ou révoquer les autorisations ne sert à rien. Il faut créer une nouvelle phrase de récupération et transférer les fonds vers un nouveau portefeuille.
Mon avis tient en une phrase : pour éviter de se faire vider son portefeuille, le système du téléphone et l’endroit où l’on stocke sa phrase de récupération comptent plus que le portefeuille utilisé.
Prenez votre téléphone et vérifiez tout de suite : votre phrase de récupération se trouve-t-elle encore dans vos photos ou vos notes ?
— Xiaokai, le poireau du Web3
Cet article exprime uniquement un avis personnel et ne constitue pas un conseil en investissement. Les données proviennent de Bitquery, SEAL, PublicAML et de sources publiques. Les montants correspondent aux informations disponibles à la date de publication. Évaluez vous-même les risques.