{"id":631,"date":"2026-09-22T22:35:21","date_gmt":"2026-09-22T22:35:21","guid":{"rendered":"https:\/\/hoge.gg\/fr\/phishing-crypto-2026-casse-ingenierie-sociale-humain\/"},"modified":"2026-09-22T22:35:21","modified_gmt":"2026-09-22T22:35:21","slug":"phishing-crypto-2026-casse-ingenierie-sociale-humain","status":"publish","type":"post","link":"https:\/\/hoge.gg\/fr\/phishing-crypto-2026-casse-ingenierie-sociale-humain\/","title":{"rendered":"Phishing crypto 2026 : le casse \u00e0 246 M\u20ac qui n’a pirat\u00e9 personne"},"content":{"rendered":"

Le 10 janvier 2026, peu avant minuit (heure UTC), un particulier a vu s’envoler l’\u00e9quivalent d’environ 246 millions d’euros (282 millions de dollars) en Bitcoin et en Litecoin. Aucun contrat malveillant sign\u00e9, aucune faille de smart contract exploit\u00e9e, aucun portefeuille mat\u00e9riel \u00ab pirat\u00e9 \u00bb au sens technique. La victime a d\u00e9croch\u00e9 son t\u00e9l\u00e9phone, cru parler au support de Trezor, et r\u00e9cit\u00e9, un \u00e0 un, les mots de sa phrase de r\u00e9cup\u00e9ration. Ce casse, le plus gros vol crypto jamais inflig\u00e9 \u00e0 une seule personne selon l’enqu\u00eateur on-chain ZachXBT, r\u00e9sume la mutation du phishing en 2026 : l’attaque a quitt\u00e9 la blockchain pour viser l’humain qui la contr\u00f4le. Loin de dispara\u00eetre, le hame\u00e7onnage crypto a chang\u00e9 de cible, de m\u00e9thode et d’\u00e9chelle, et il n’a jamais co\u00fbt\u00e9 aussi cher \u00e0 ses victimes les plus fortun\u00e9es.<\/p>

Le hold-up \u00e0 246 millions d’euros qui n’a exploit\u00e9 aucune faille<\/h2>

Les faits, reconstitu\u00e9s par ZachXBT et confirm\u00e9s par la soci\u00e9t\u00e9 de r\u00e9ponse \u00e0 incident ZeroShadow, se jouent en quelques minutes. Autour de 23 heures UTC, un attaquant contacte sa cible en se faisant passer pour le support d’un \u00ab Trezor Value Wallet \u00bb. Le sc\u00e9nario est un manuel d’ing\u00e9nierie sociale appliqu\u00e9 : cr\u00e9er l’urgence, afficher l’autorit\u00e9 d’une marque connue, isoler la victime le temps de lui faire commettre elle-m\u00eame l’irr\u00e9parable. En quelques \u00e9changes, la personne communique la sauvegarde de sa phrase de r\u00e9cup\u00e9ration. \u00c0 cet instant, l’attaquant d\u00e9tient tout : il transf\u00e8re 2,05 millions de Litecoin et 1 459 Bitcoin<\/a>, soit environ 246 millions d’euros au cours du moment.<\/p>

Le montant en fait le plus gros vol par ing\u00e9nierie sociale de l’histoire de la crypto, devant le pr\u00e9c\u00e9dent record de 243 millions de dollars \u00e9tabli en ao\u00fbt 2024. Ce n’\u00e9tait pas un cas isol\u00e9 : janvier 2026 s’est sold\u00e9 par pr\u00e8s de 400 millions de dollars de vols crypto tous types confondus, mais c’est bien ce casse unique, contre une seule personne, qui a domin\u00e9 le mois. Aucune signature pi\u00e9g\u00e9e, aucun exploit de contrat, aucun logiciel compromis : seulement un appel t\u00e9l\u00e9phonique et un mensonge suffisamment cr\u00e9dible.<\/p>

La bascule est l\u00e0. Un hack de pont exploite une vuln\u00e9rabilit\u00e9 dans le code (nous d\u00e9cryptions r\u00e9cemment ces ponts que la m\u00eame faille percute deux fois<\/a>) ; l’arnaque au faux support, elle, ne s’appuie sur aucun bug. Elle ne n\u00e9cessite ni comp\u00e9tence en r\u00e9tro-ing\u00e9nierie, ni contrat malveillant d\u00e9ploy\u00e9, ni course contre les listes de blocage. Elle demande un sc\u00e9nario, un num\u00e9ro usurp\u00e9 et une victime press\u00e9e de \u00ab s\u00e9curiser \u00bb ses avoirs. C’est infiniment plus simple \u00e0 produire, et en 2026, infiniment plus rentable.<\/p>

Le paradoxe de 2026 : le drainer s’effondre, la fraude bat des records<\/h2>

Vu de loin, 2025 ressemble \u00e0 une victoire pour la s\u00e9curit\u00e9. Selon le rapport annuel de Scam Sniffer, les pertes li\u00e9es aux wallet drainers (ces contrats qui vident un portefeuille apr\u00e8s une signature pi\u00e9g\u00e9e) sont tomb\u00e9es \u00e0 83,85 millions de dollars, en recul de 83 %<\/a> par rapport aux quelque 494 millions de 2024. Le nombre de victimes a chut\u00e9 de 68 %, \u00e0 106 106. Le plus gros vol unitaire par drainer est pass\u00e9 de 55,48 millions \u00e0 6,5 millions de dollars, et les dossiers d\u00e9passant le million de dollars ont fondu de 30 \u00e0 11. Le pire trimestre, le troisi\u00e8me, a co\u00efncid\u00e9 avec le rallye d’Ethereum : les pertes suivent le march\u00e9, montant quand l’activit\u00e9 on-chain s’emballe.<\/p>

Vu de pr\u00e8s, ce n’est pas une disparition, c’est une redistribution. Le m\u00eame \u00e9cosyst\u00e8me criminel qui perd du terrain sur le drainage de masse en gagne, massivement, ailleurs. Chainalysis chiffre \u00e0 environ 17 milliards de dollars<\/a> les sommes d\u00e9rob\u00e9es par des arnaques en 2025, avec une explosion de 1 400 % des escroqueries par usurpation d’identit\u00e9 et un paiement moyen par victime qui bondit de 782 \u00e0 2 764 dollars. Les usurpations, les faux agents de support et les arnaques dop\u00e9es \u00e0 l’IA d\u00e9passent d\u00e9sormais les cyberattaques comme premier vecteur de perte.<\/p>

Deux courbes, deux directions oppos\u00e9es. La premi\u00e8re, celle du drainer technique, plonge. La seconde, celle de la fraude qui manipule directement l’humain, grimpe. Le tableau ci-dessous r\u00e9sume ce grand \u00e9cart, qui est la cl\u00e9 de lecture de toute l’ann\u00e9e.<\/p>

Indicateur<\/th>2024<\/th>2025<\/th>\u00c9volution<\/th><\/tr><\/thead>
Pertes wallet drainer (Scam Sniffer)<\/td>\u2248 494 M$<\/td>83,85 M$<\/td>-83 %<\/td><\/tr>
Victimes de drainer<\/td>\u2248 332 000<\/td>106 106<\/td>-68 %<\/td><\/tr>
Plus gros vol unitaire (drainer)<\/td>55,48 M$<\/td>6,5 M$<\/td>-88 %<\/td><\/tr>
Cas de pertes sup\u00e9rieures \u00e0 1 M$<\/td>30<\/td>11<\/td>-63 %<\/td><\/tr>
Revenu total des arnaques crypto (Chainalysis)<\/td>\u2248 12 Md$<\/td>\u2248 17 Md$<\/td>hausse<\/td><\/tr>
Paiement moyen par victime d’usurpation<\/td>782 $<\/td>2 764 $<\/td>+253 %<\/td><\/tr><\/tbody><\/table>
Chiffres tels que rapport\u00e9s par Scam Sniffer et Chainalysis, en dollars US.<\/figcaption><\/figure>

Pourquoi la signature pi\u00e9g\u00e9e ne paie plus<\/h2>

Cette bascule n’a rien d’un hasard. Pendant trois ans, les portefeuilles ont m\u00e9thodiquement colmat\u00e9 le canal technique. La simulation de transaction, propos\u00e9e par des acteurs comme Blockaid ou Scam Sniffer et d\u00e9sormais int\u00e9gr\u00e9e \u00e0 MetaMask, Phantom ou Coinbase Wallet, montre \u00e0 l’utilisateur ce qu’une signature va r\u00e9ellement faire avant qu’il ne l’approuve : un transfert d’actifs d\u00e9guis\u00e9 en simple connexion ne passe plus aussi facilement. Les listes de blocage grillent les domaines de drainers connus en quelques heures. Des outils comme revoke.cash permettent de r\u00e9voquer les autorisations (approve, Permit2, setApprovalForAll) laiss\u00e9es ouvertes par m\u00e9garde.<\/p>

R\u00e9sultat : le rendement d’une campagne de drainage de masse s’est effondr\u00e9. Quand chaque nouveau domaine est grill\u00e9 en heures et chaque signature suspecte affich\u00e9e en clair, il faut br\u00fbler \u00e9norm\u00e9ment d’infrastructure pour un butin qui fond. Les kits de drainer en location (le fameux \u00ab drainer-as-a-service \u00bb, lou\u00e9 \u00e0 des affili\u00e9s contre 20 \u00e0 30 % de commission) existent toujours, mais leur terrain se r\u00e9duit \u00e0 vue d’oeil.<\/p>

Face \u00e0 des marges comprim\u00e9es, les op\u00e9rateurs ont fait ce que ferait n’importe quelle industrie sous pression : ils sont mont\u00e9s en gamme. Moins de filets jet\u00e9s au hasard, de plus gros poissons cibl\u00e9s un par un. Et pour attraper une baleine, inutile de raffiner le contrat malveillant : il suffit de convaincre son propri\u00e9taire de signer, ou mieux encore, de lui faire livrer sa phrase de r\u00e9cup\u00e9ration. Le maillon le plus rentable \u00e0 attaquer n’est plus le logiciel, c’est la personne.<\/p>

L’humain est la faille : anatomie d’une arnaque au faux support<\/h2>

Une arnaque au faux support se d\u00e9roule en quatre temps. D’abord la reconnaissance : l’attaquant sait d\u00e9j\u00e0 que sa cible d\u00e9tient des cryptos, souvent gr\u00e2ce \u00e0 une fuite de donn\u00e9es (nous y revenons). Ensuite le pr\u00e9texte : un courriel, un SMS ou un appel signalant une \u00ab activit\u00e9 suspecte \u00bb, une \u00ab mise \u00e0 jour de s\u00e9curit\u00e9 \u00bb ou une \u00ab tentative de retrait \u00bb sur le portefeuille. Puis l’urgence : une fen\u00eatre de quelques minutes, une menace de blocage, un compte \u00e0 rebours. Enfin l’autorit\u00e9 : l’attaquant se pare de l’identit\u00e9 d’une marque de confiance, d’un exchange, parfois d’une administration.<\/p>

Le ressort psychologique est toujours le m\u00eame : placer la victime en \u00e9tat de stress aigu, la couper de toute v\u00e9rification ext\u00e9rieure et lui faire ex\u00e9cuter elle-m\u00eame l’op\u00e9ration. Tant qu’elle reste au t\u00e9l\u00e9phone, elle n’a pas le temps de r\u00e9fl\u00e9chir, de rappeler un proche ou de consulter le site officiel. L’escroc ne \u00ab pirate \u00bb rien ; il pilote une personne. C’est pourquoi les montants explosent alors que les comp\u00e9tences techniques requises, elles, diminuent.<\/p>

En France, Cybermalveillance.gouv.fr classe le faux support technique parmi les principales menaces<\/a> visant les particuliers, et documente une hausse des approches li\u00e9es aux crypto-actifs. Le dispositif public rappelle un point trop souvent oubli\u00e9 dans la panique : aucun service l\u00e9gitime ne vous demandera de \u00ab d\u00e9placer vos fonds en lieu s\u00fbr \u00bb sous la dict\u00e9e d’un inconnu, et aucune urgence r\u00e9elle ne justifie de contourner vos propres v\u00e9rifications.<\/p>

La phrase de r\u00e9cup\u00e9ration, ce secret qu’aucun support ne demande<\/h2>

Au coeur de chaque casse par ing\u00e9nierie sociale, il y a un seul secret : les 12 ou 24 mots de la phrase de r\u00e9cup\u00e9ration (la seed). Quiconque les poss\u00e8de contr\u00f4le les fonds, d\u00e9finitivement, sur n’importe quel appareil, sans mot de passe ni deuxi\u00e8me facteur. C’est pr\u00e9cis\u00e9ment ce que l’attaquant du 10 janvier a obtenu, et c’est la cible ultime des campagnes en cours. La seed n’est pas un mot de passe que l’on r\u00e9initialise : c’est la cl\u00e9 ma\u00eetresse, et sa compromission est irr\u00e9versible.<\/p>

Charles Guillemet, directeur technique de Ledger, le mart\u00e8le apr\u00e8s une vague d’arnaques usurpant jusqu’\u00e0 son propre nom : \u00ab aucune application Ledger Live l\u00e9gitime ne vous demandera vos 24 mots ; si une application ou une personne les r\u00e9clame, consid\u00e9rez que quelque chose ne va pas \u00bb<\/a>. La formule vaut pour tous les fabricants : un support authentique n’a structurellement aucun besoin de votre seed, puisqu’elle ne sert qu’\u00e0 restaurer un portefeuille sur un appareil, jamais \u00e0 \u00ab v\u00e9rifier \u00bb un compte.<\/p>

Les escrocs exploitent la confiance plac\u00e9e dans les institutions. Cybermalveillance.gouv.fr signale des fraudeurs se faisant passer pour des policiers, des gendarmes, des douaniers ou des magistrats afin d’extorquer ces cl\u00e9s de r\u00e9cup\u00e9ration, parfois en pr\u00e9textant une \u00ab enqu\u00eate \u00bb sur les fonds de la victime. Le rappel est sans ambigu\u00eft\u00e9 : les forces de l’ordre ne demandent jamais une seed. Le principe est universel : la phrase de r\u00e9cup\u00e9ration se saisit sur son propre appareil, jamais sous la pression d’un tiers, jamais dans un formulaire, jamais au t\u00e9l\u00e9phone.<\/p>

La fuite nourrit le hame\u00e7on : la cha\u00eene d’approvisionnement en donn\u00e9es<\/h2>

Pour cibler une baleine, encore faut-il savoir qu’elle existe. C’est le r\u00f4le, involontaire, des fuites de donn\u00e9es. En mai 2025, Coinbase a r\u00e9v\u00e9l\u00e9 que des cybercriminels avaient soudoy\u00e9 des sous-traitants de son support client<\/a>, bas\u00e9s en Inde et employ\u00e9s via un prestataire tiers, pour exfiltrer les donn\u00e9es de moins de 1 % de ses utilisateurs actifs : noms, coordonn\u00e9es, derniers chiffres de comptes, images de pi\u00e8ces d’identit\u00e9. L’op\u00e9ration avait commenc\u00e9 d\u00e8s fin d\u00e9cembre 2024. Aucun mot de passe ni cl\u00e9 priv\u00e9e n’a fuit\u00e9, mais l’essentiel pour un arnaqueur \u00e9tait l\u00e0 : une liste nominative et qualifi\u00e9e de d\u00e9tenteurs de crypto.<\/p>

Les attaquants ont r\u00e9clam\u00e9 une ran\u00e7on de 20 millions de dollars. Le patron de Coinbase, Brian Armstrong, a refus\u00e9 de payer (\u00ab nous ne financerons pas une activit\u00e9 criminelle \u00bb) et promis une r\u00e9compense \u00e9quivalente pour toute information menant \u00e0 une arrestation. La facture de rem\u00e9diation et de d\u00e9dommagement est estim\u00e9e entre 180 et 400 millions de dollars dans un document d\u00e9pos\u00e9 aupr\u00e8s de la SEC<\/a>. Le message \u00e9tait limpide : la vraie valeur n’\u00e9tait pas la ran\u00e7on, mais la liste, revendable ou exploitable en faux support pendant des mois.<\/p>

Le fabricant Trezor a connu sa propre m\u00e9saventure. En ao\u00fbt 2026, l’un de ses prestataires logistiques (ShipMonk) a \u00e9t\u00e9 compromis via une faille de l’outil d’analyse Metabase, exposant noms, adresses postales, num\u00e9ros de t\u00e9l\u00e9phone et courriels ; l’incident, d’abord estim\u00e9 \u00e0 pr\u00e8s de 14 000 clients, s’est \u00e9tendu \u00e0 quelque 81 000 acheteurs<\/a>. Trezor a lui-m\u00eame averti que ces informations pouvaient nourrir de faux courriels, de faux appels et de fausses lettres imitant une banque, un exchange, voire Trezor. Difficile de ne pas y voir le carburant id\u00e9al d’une arnaque au faux support comme celle de janvier.<\/p>

Date<\/th>Cible \/ \u00e9v\u00e9nement<\/th>M\u00e9thode<\/th>Montant \/ ampleur<\/th>Source<\/th><\/tr><\/thead>
10 janv. 2026<\/td>Particulier (victime unique)<\/td>Faux support Trezor, extraction de la seed<\/td>\u2248 246 M\u20ac (282 M$)<\/td>ZachXBT \/ CoinDesk<\/td><\/tr>
19 ao\u00fbt 2024<\/td>Cr\u00e9ancier de Genesis<\/td>Faux support Google et Gemini<\/td>\u2248 212 M\u20ac (243 M$)<\/td>CoinDesk<\/td><\/tr>
mai 2025<\/td>Coinbase<\/td>Corruption de sous-traitants du support<\/td>Donn\u00e9es de moins de 1 % des clients ; ran\u00e7on de 20 M$ refus\u00e9e<\/td>CNBC \/ SEC<\/td><\/tr>
ao\u00fbt-sept. 2026<\/td>Trezor (via ShipMonk)<\/td>Fuite chez un prestataire logistique<\/td>\u2248 81 000 clients expos\u00e9s<\/td>BleepingComputer<\/td><\/tr>
depuis mars 2026<\/td>Uniswap, Morpho, Aave\u2026<\/td>Malvertising via Google Ads<\/td>356+ liens ; \u2248 1,27 M$ de pertes<\/td>SEAL \/ crypto.news<\/td><\/tr><\/tbody><\/table>
Montants en euros convertis au cours de septembre 2026 ; chiffres sources en dollars entre parenth\u00e8ses.<\/figcaption><\/figure>

Malvertising : quand Google vend la premi\u00e8re place aux faussaires<\/h2>

Le premier contact ne vient pas toujours d’un appel. De plus en plus, il vient d’une publicit\u00e9. Depuis mars 2026, la Security Alliance (SEAL) documente une flamb\u00e9e du phishing via Google Ads : plus de 356 liens publicitaires malveillants recens\u00e9s sur un an, et environ 1,27 million de dollars de pertes sur la seule seconde quinzaine de mars. Le principe est m\u00e9canique : les attaquants ach\u00e8tent des annonces (ou piratent des comptes annonceurs l\u00e9gitimes), surench\u00e9rissent sur les mots-cl\u00e9s d’un protocole connu, et placent leur site clon\u00e9 au-dessus du r\u00e9sultat officiel.<\/p>

Une campagne visant Uniswap a ainsi d\u00e9rob\u00e9 plus de 400 000 dollars<\/a>. Uniswap \u00e9tait la marque la plus usurp\u00e9e, devant Morpho et d’autres protocoles DeFi comme Aave, dont le rendement r\u00e9el attire justement les utilisateurs<\/a> que les escrocs cherchent \u00e0 pi\u00e9ger. Les pages frauduleuses recourent \u00e0 des iframes masqu\u00e9es et \u00e0 des charges secondaires invisibles pour les syst\u00e8mes automatiques de Google, tout en affichant une URL d’apparence l\u00e9gitime, puis pivotent vers de nouveaux liens d\u00e8s que les anciens sont signal\u00e9s.<\/p>

Stacy Muur, fondatrice de l’agence Green Dots, r\u00e9sume l’exasp\u00e9ration du secteur : \u00ab il est insens\u00e9 que Google ait ignor\u00e9 ce probl\u00e8me pendant des ann\u00e9es, laissant de faux liens passer au-dessus des vrais et vider les portefeuilles des utilisateurs \u00bb<\/a>. Le paradoxe est cruel : l’internaute prudent qui tape lui-m\u00eame le nom d’un protocole dans un moteur de recherche, plut\u00f4t que de suivre un lien re\u00e7u, peut tomber sur la publicit\u00e9 pi\u00e9g\u00e9e en premi\u00e8re position. La confiance dans le moteur devient le vecteur.<\/p>

Quand l’arnaque passe au papier : la lettre \u00ab Ledger \u00bb et son QR code<\/h2>

Le signe le plus troublant de cette mont\u00e9e en gamme, c’est le retour au courrier postal. D\u00e9but 2026, des clients de Ledger ont re\u00e7u chez eux une lettre papier, soign\u00e9e, imitant une mise \u00e0 jour de s\u00e9curit\u00e9 \u00ab Quantum Resistance \u00bb sign\u00e9e du nom de Charles Guillemet. Un QR code renvoyait vers un site de phishing con\u00e7u pour aspirer les 24 mots de la seed. La lettre fixait une \u00e9ch\u00e9ance comminatoire (le 30 avril 2026) et mena\u00e7ait, ironie supr\u00eame, de \u00ab d\u00e9sactiver le Clear Signing \u00bb du portefeuille en cas d’inaction.<\/p>

Deux enseignements. D’abord, l’attaque exploite un vrai d\u00e9bat technologique (la r\u00e9sistance quantique) pour para\u00eetre cr\u00e9dible : plus le pr\u00e9texte colle \u00e0 l’actualit\u00e9 et au vocabulaire de la marque, plus il fonctionne. Ensuite, envoyer une lettre \u00e0 la bonne adresse suppose de conna\u00eetre cette adresse, ce que fournissent pr\u00e9cis\u00e9ment des fuites comme celle de ShipMonk. La boucle se referme : la donn\u00e9e vol\u00e9e hier devient l’enveloppe cr\u00e9dible d’aujourd’hui.<\/p>

On est loin du courriel truff\u00e9 de fautes d’orthographe. On est dans une op\u00e9ration de pr\u00e9cision, multicanale (courriel, SMS, appel, QR code, courrier), calibr\u00e9e pour un individu identifi\u00e9. C’est aussi ce qui la rend si efficace contre des cibles averties : quelqu’un qui se m\u00e9fierait d’un email douteux baisse la garde devant une lettre papier \u00e0 son nom, portant le logo et la signature d’un dirigeant bien r\u00e9el.<\/p>

Usurper jusqu’au r\u00e9gulateur : ce que dit l’AMF<\/h2>

La France n’est pas \u00e9pargn\u00e9e, et son r\u00e9gulateur le documente. L’Autorit\u00e9 des march\u00e9s financiers (AMF) tient une liste noire des acteurs non autoris\u00e9s qui, en 2026, recense plusieurs milliers d’entit\u00e9s. Fait r\u00e9v\u00e9lateur : la cat\u00e9gorie la plus fournie n’est plus le faux courtier ni la fausse plateforme d’investissement, mais l’usurpation d’identit\u00e9, avec plus de 1 400 entr\u00e9es. Les escrocs imitent les sites et les adresses courriel d’\u00e9tablissements l\u00e9gitimes, et parfois l’AMF elle-m\u00eame, pour cr\u00e9dibiliser leurs approches.<\/p>

L’autorit\u00e9 met r\u00e9guli\u00e8rement en garde contre ces acteurs et publie ses listes noires<\/a>, tout en rappelant qu’elles ne sont jamais exhaustives : de nouveaux sites apparaissent chaque jour. Le r\u00e9flexe de v\u00e9rification reste la meilleure parade. Avant tout d\u00e9p\u00f4t, il faut consulter le registre officiel des prestataires de services sur actifs num\u00e9riques (PSAN), sachant que le r\u00e9gime transitoire fran\u00e7ais a laiss\u00e9 place au cadre europ\u00e9en MiCA le 1er juillet 2026 : depuis cette date, un prestataire non agr\u00e9\u00e9 n’a plus le droit d’op\u00e9rer en France.<\/p>

Cybermalveillance.gouv.fr a par ailleurs publi\u00e9 d\u00e9but 2026 une note d\u00e9di\u00e9e aux fuites de donn\u00e9es dans le secteur des crypto-actifs<\/a>, pr\u00e9cis\u00e9ment parce que ces fuites alimentent la vague de faux supports et de fausses convocations judiciaires. Le dispositif y d\u00e9taille les risques (hame\u00e7onnage cibl\u00e9, usurpation d’autorit\u00e9s) et les bons gestes : ne jamais donner de seed, v\u00e9rifier l’exp\u00e9diteur, signaler. C’est la reconnaissance officielle que la donn\u00e9e personnelle est devenue une mati\u00e8re premi\u00e8re du crime crypto.<\/p>

Apr\u00e8s le casse : blanchir via Monero, THORChain et Tornado Cash<\/h2>

Une fois les fonds d\u00e9tourn\u00e9s, la course au blanchiment commence, et elle est souvent gagn\u00e9e par l’attaquant. Dans le casse du 10 janvier, ZachXBT a retrac\u00e9 un blanchiment en plusieurs couches : conversion des Bitcoin et Litecoin vol\u00e9s en Monero via des exchanges instantan\u00e9s<\/a>, un afflux tel que le cours du XMR a bondi d’environ 70 % en quatre jours. L’attaquant a aussi pont\u00e9 des Bitcoin vers Ethereum et d’autres r\u00e9seaux \u00e0 l’aide de THORChain, puis fait transiter pr\u00e8s de 1 469 ETH (environ 4,9 millions de dollars) par le m\u00e9langeur Tornado Cash.<\/p>

Cette architecture explique pourquoi la r\u00e9cup\u00e9ration est si rare. Une fois converti en Monero, dont les montants et les adresses sont opaques par conception, un butin devient presque impossible \u00e0 suivre. Le pontage inter-cha\u00eenes multiplie les sauts, et les m\u00e9langeurs cassent le lien entre l’entr\u00e9e et la sortie. Chaque couche ajoute du temps et du bruit, exactement ce dont l’enqu\u00eateur manque et ce dont le blanchisseur a besoin.<\/p>

Le travail d’enqu\u00eateurs on-chain comme ZachXBT, ou de soci\u00e9t\u00e9s d’analyse qui tracent manipulations et flux (\u00e0 l’image de CertiK d\u00e9cortiquant l’oracle Nostra<\/a>), permet parfois d’identifier des adresses, d’alerter des exchanges et de geler des fonds avant qu’ils ne quittent le syst\u00e8me. Mais la fen\u00eatre est \u00e9troite et se referme vite. La le\u00e7on op\u00e9rationnelle est brutale : sur ce type de casse, la pr\u00e9vention vaut mille fois la poursuite, car apr\u00e8s coup, il ne reste presque rien \u00e0 r\u00e9cup\u00e9rer.<\/p>

La traque des baleines : moins de filets, de plus gros poissons<\/h2>

La concentration est le trait marquant de 2026. Scam Sniffer relevait qu’en janvier, deux victimes concentraient \u00e0 elles seules pr\u00e8s des deux tiers des pertes mensuelles par phishing de signature : la d\u00e9finition m\u00eame de la traque des baleines. On passe d’une logique de volume (des centaines de milliers de petits vols) \u00e0 une logique de valeur (quelques coups colossaux), plus discr\u00e8te statistiquement mais bien plus lourde par dossier.<\/p>

Le ph\u00e9nom\u00e8ne n’est pas neuf. En ao\u00fbt 2024, un cr\u00e9ancier de la soci\u00e9t\u00e9 en faillite Genesis avait perdu 4 064 Bitcoin (243 millions de dollars)<\/a> apr\u00e8s que des attaquants, se faisant passer pour le support de Google puis de l’exchange Gemini, l’eurent convaincu de r\u00e9initialiser ses s\u00e9curit\u00e9s et d’exposer ses cl\u00e9s. Ce dossier a connu une suite judiciaire rare : trois suspects (connus sous les pseudonymes Greavys, Wiz et Box) ont \u00e9t\u00e9 identifi\u00e9s, plusieurs arrestations ont eu lieu et plus de 9 millions de dollars ont \u00e9t\u00e9 gel\u00e9s, en partie gr\u00e2ce au travail de ZachXBT.<\/p>

Mais l’exception confirme la r\u00e8gle : la plupart des victimes ne revoient jamais leurs fonds. La logique \u00e9conomique est implacable. Un seul coup r\u00e9ussi contre une baleine rapporte davantage que des dizaines de milliers de portefeuilles vid\u00e9s \u00e0 la petite semaine, pour un risque et un co\u00fbt d’infrastructure moindres. Tant que cette \u00e9quation tient, les campagnes continueront de d\u00e9laisser le filet d\u00e9rivant pour le harpon.<\/p>

Pourquoi le portefeuille mat\u00e9riel et le clear signing ne suffisent pas<\/h2>

Voici la v\u00e9rit\u00e9 inconfortable pour l’industrie : ses d\u00e9fenses les plus abouties supposent toutes que l’attaque touche la cha\u00eene. Le stockage \u00e0 froid prot\u00e8ge la cl\u00e9 d’une exfiltration \u00e0 distance. Le multisig r\u00e9partit le pouvoir de signer entre plusieurs parties. Le clear signing, ce standard qui affiche en clair ce que l’on signe (l’initiative ERC-7730, d\u00e9sormais port\u00e9e par l’Ethereum Foundation<\/a>), combat la signature aveugle tenue pour responsable de milliards de pertes, dont le hack de Bybit.<\/p>

Aucune de ces d\u00e9fenses n’arr\u00eate un sc\u00e9nario o\u00f9 la victime r\u00e9v\u00e8le volontairement sa seed ou valide elle-m\u00eame un virement en toute connaissance apparente de cause. Un audit de smart contract, aussi rigoureux soit-il (le secteur se consolide d’ailleurs, S&P Global venant de racheter OpenZeppelin<\/a>), s\u00e9curise du code, pas une conversation t\u00e9l\u00e9phonique. Le code peut \u00eatre parfait et la personne, manipul\u00e9e : le r\u00e9sultat est le m\u00eame, les fonds partent.<\/p>

C’est le paradoxe de la s\u00e9curit\u00e9 crypto en 2026 : plus la couche technique se durcit, plus l’attaquant rationnel se reporte sur la seule couche rest\u00e9e sans correctif, l’humain. On ne \u00ab patche \u00bb pas la confiance, la peur ou la pr\u00e9cipitation. La s\u00e9curit\u00e9 cesse alors d’\u00eatre un probl\u00e8me purement logiciel pour devenir, aussi, une question de r\u00e9flexes, de formation et de culture du doute.<\/p>

Se d\u00e9fendre : le r\u00e9flexe \u00ab v\u00e9rifier hors bande \u00bb<\/h2>

Si l’attaque vise l’humain, la d\u00e9fense est d’abord un ensemble de r\u00e9flexes. Le plus important tient en une phrase : personne, jamais, n’a besoin de votre phrase de r\u00e9cup\u00e9ration. Autour de ce principe, voici la panoplie minimale \u00e0 adopter.<\/p>