D’CENT : 11,7 millions de XRP dérobés à des utilisateurs

Une attaque contre des utilisateurs du D’CENT App Wallet a permis de détourner 11,746 millions de XRP, soit près de 20 millions de dollars. Entre le 15 et le 20 septembre, 6 678 wallets ont été touchés en six vagues. Plus de 5,59 millions de XRP ont déjà quitté le réseau via THORChain. L’affaire ne vient pas d’une faille du XRP Ledger : les transactions crypto ont été signées avec des clés privées que l’attaquant contrôlait. D’CENT enquête toujours sur la manière dont ces clés ont été compromises.

Six vagues ont vidé 6 678 wallets D’CENT

L’attaque débute le 15 septembre avec huit gros portefeuilles. Ils détenaient chacun au moins 99 999 XRP. L’opérateur commence manuellement et retire plus de 1,6 million de XRP avant même le lancement du script utilisé pour le reste de l’opération. Quelques heures plus tard, 1 682 wallets ont déjà été touchés.

Ce type de compromission prend une place croissante dans les pertes du secteur. Cointribune relevait cet été que les vols de clés privées, le phishing et les compromissions de wallets étaient désormais responsables d’une part importante des hacks crypto.

Après une journée calme le 16 septembre, les retraits reprennent. Cinq nouvelles vagues se succèdent jusqu’au 20 septembre. Au total, l’analyse on-chain de XRPL.to recense 4 208 wallets vidés par transfert. À cela s’ajoutent 2 470 comptes qui n’avaient pas été balayés auparavant mais ont été directement supprimés avec le solde qu’ils contenaient.

Les attaquants ont utilisé les clés une seconde fois pour supprimer 5 001 comptes XRP et récupérer leurs réserves restantes. Dans un cas, un wallet encore actif depuis 2022 contenait plus de 107 000 XRP au moment de sa suppression.

L’attaque crypto semble donc avoir été préparée avec une liste déjà constituée. XRPL.to note même que les plus gros wallets ont été traités manuellement, tandis que les autres passaient par différents scripts.

Plus de 5,5 millions de XRP ont déjà quitté le réseau

Les fonds n’ont pas attendu longtemps. 5 594 530 XRP ont été envoyés vers THORChain puis échangés vers Ethereum. Environ 3,24 millions de XRP sont aussi passés par unionchain.ai, 546 080 XRP par NEAR Intents et 535 666 XRP vers des adresses de dépôt Binance. Ces services ne sont pas accusés d’avoir participé au vol : ils apparaissent simplement dans le parcours on-chain des fonds. 

Au 21 septembre, environ 1,308 million de XRP restait encore dans les wallets attribués à l’opérateur.

Pour une attaque crypto, cette dispersion rapide pose un problème assez classique. Plus les fonds passent par des swaps, des bridges ou plusieurs plateformes, plus leur gel devient compliqué. D’CENT dit travailler avec les forces de l’ordre sud-coréennes, des spécialistes de la sécurité, les équipes des blockchains concernées et des exchanges afin de suivre les actifs et tenter d’en bloquer une partie. L’entreprise ne promet toutefois pas leur récupération.

Ce n’est pas la première fois que des portefeuilles crypto sont vidés en série cette année. Dès janvier, plusieurs centaines de wallets EVM avaient été touchés dans une autre opération, avec des montants beaucoup plus petits par victime.

Dans le dossier D’CENT, l’échelle est différente : près de 20 millions de dollars en XRP sur moins d’une semaine. Le XRP Ledger lui-même n’a pourtant pas été compromis. Chaque mouvement apparaît comme une transaction ordinaire, valablement signée. La blockchain peut montrer quand les clés ont servi et où les fonds sont partis. Elle ne peut pas expliquer comment ces clés sont arrivées entre les mains de l’attaquant.

Les clés privées remettent la sécurité crypto au premier plan

D’CENT fait une distinction importante entre ses deux produits. Le hardware wallet crée et conserve les clés sur un appareil physique. L’application mobile sert alors surtout à afficher les adresses et les soldes. La phrase de récupération n’est pas copiée automatiquement sur le téléphone. À l’inverse, l’App Wallet est un portefeuille logiciel : les clés sont créées ou importées directement sur le smartphone. C’est ce second mode que D’CENT a associé aux transferts anormaux.

Il existe toutefois une exception. Un hardware wallet peut entrer dans le périmètre si son utilisateur a déjà saisi sa phrase de récupération dans l’App Wallet. D’CENT recommande alors de considérer cette phrase comme potentiellement exposée.

La société demande aux utilisateurs concernés de mettre l’application à jour, de créer une nouvelle phrase de récupération puis de déplacer leurs actifs crypto vers de nouvelles adresses. Restaurer simplement l’ancienne seed sur un nouveau support ne change pas les clés et ne résout donc pas le problème.

La cause technique exacte reste inconnue publiquement. D’CENT poursuit son analyse et n’a pas encore annoncé de conclusion sur un éventuel remboursement.

L’incident rejoint une série de dossiers où la clé privée, plutôt que le smart contract, devient le point d’entrée. En juin, le piratage de Humanity Protocol avait déjà remis ce risque au centre de l’actualité crypto après plus de 32 millions de dollars de pertes. Humanity Protocol chute de plus de 80 % après un piratage de 32 millions de dollars Pour D’CENT, les chiffres sont déjà lourds : 6 678 wallets, 11,746 millions de XRP et six jours d’activité. L’enquête doit encore répondre à la question la plus importante : comment une même liste de clés privées a-t-elle pu finir entre les mains de l’attaquant ?