Le hacker de Coldcard a déplacé 45 % des Bitcoin volés via THORChain

TheNewsCryptoPublié le 2026-09-07Dernière mise à jour le 2026-09-07

Résumé

L'auteur de la troisième vague d'attaques contre le portefeuille Coldcard a accéléré le rythme des transferts de fonds, selon Galaxy Research. Environ 45 % des Bitcoins volés lors de cette vague ont déjà été déplacés. Les pirates utilisent des méthodes comme THORChain (pour déplacer des Bitcoins vers Ethereum) et des rondes CoinJoin, rendant le suivi sur la blockchain difficile. Les chercheurs ont découvert que l'attaquant avait ouvert 293 coffres-forts multisignatures (2 sur 2) contenant le butin. Les fonds des 11 plus grands coffres ont déjà été transférés. Un coffre multisignature inconnu, probablement lié à une autre victime, a également été identifié, suggérant une extension de l'attaque, bien qu'aucune nouvelle perte ne soit encore confirmée. Malgré cette activité, la majeure partie des Bitcoins volés lors de toutes les vagues d'attaques Coldcard (82 %) reste toujours sur les adresses initiales contrôlées par les pirates. Seuls 18 % ont été déplacés dans des transactions évoquant un blanchiment. Cette troisième vague constitue néanmoins une part importante des mouvements de fonds actifs, offrant aux enquêteurs de nouveaux schémas transactionnels à surveiller. L'exploit Coldcard, classé comme le troisième plus important de 2026 en pertes déclarées, illustre comment les cryptomonnaies volées peuvent circuler à travers différents écosystèmes blockchain comme THORChain et CoinJoin, fournissant des indices précieux pour les investigations.

L'auteur de l'attaque de la troisième vague contre le portefeuille Coldcard a accéléré le rythme des transferts de fonds, rapporte Galaxy Research. Les exploitants ont jusqu'à présent transféré environ 45 % des Bitcoin volés lors de la troisième vague. Ces transferts indiquent un schéma d'utilisation de méthodes rendant difficile le suivi sur la blockchain.

Le malfaiteur a transféré des Bitcoin vers Ethereum via THORChain le 2 septembre. Les transactions récentes ont impliqué le déplacement de Bitcoin via des tours de CoinJoin. CoinJoin est un processus par lequel les paiements de différents utilisateurs sont inclus dans une transaction. Cela rend plus difficile le suivi des transactions de transferts de fonds individuels sur la blockchain Bitcoin. Cela fournit désormais aux chercheurs un aperçu de la façon dont l'attaquant manipule les fonds volés.

Les coffres-forts multisignature 2-sur-2 indiquent un plan d'attaque

Selon Galaxy, l'attaquant de la troisième vague a ouvert 293 coffres-forts multisignature 2-sur-2. Il s'agissait de coffres contenant des Bitcoin volés aux victimes de Coldcard. Jusqu'à présent, les fonds ont été transférés depuis les plus grands coffres par ordre décroissant de taille. Selon Galaxy, les fonds des 11 plus grands coffres ont déjà été transférés.

Ces informations ont permis aux chercheurs de retrouver certaines des transactions liées à l'exploit. Ils ont réussi à trouver un coffre-fort multisignature inconnu, qui avait très probablement été utilisé pour transférer des Bitcoin volés d'une autre victime. Cependant, Galaxy n'a pas pu déterminer les circonstances de ce nouveau vol. Cela signifie que l'étendue de l'attaque s'est élargie, mais aucune nouvelle perte confirmée n'est encore connue.

La majeure partie des Bitcoin volés reste non déplacée

Malgré toutes les activités récentes, la majeure partie des Bitcoin volés dans toutes les vagues d'attaque de Coldcard reste dans les adresses initiales contrôlées par l'attaquant. Selon Galaxy, 82 % des Bitcoin volés dans toutes les attaques Coldcard se trouvent toujours dans ces adresses. Les 18 % restants ont depuis été transférés dans des transactions révélatrices de blanchiment.

La troisième vague représente donc une grande partie de l'activité de mouvement actif des fonds. Elle fournit aux enquêteurs un autre schéma de transactions à surveiller. L'exploit de Coldcard est l'un des plus importants exploits de cryptomonnaie documentés au cours de l'année 2026. Selon DefiLlama, c'est le troisième plus grand exploit de l'année en termes de pertes déclarées. Le piratage de Kelp DAO arrive en première position avec des pertes déclarées d'environ 293 millions de dollars. À la deuxième place se trouve l'exploit du protocole Drift, qui a subi des pertes d'environ 280 millions de dollars.

Cet exploit particulier révèle comment les cryptomonnaies volées peuvent être déplacées à travers divers écosystèmes blockchain comme THORChain et CoinJoin. Les transactions présentent une nouvelle pièce à conviction pour les enquêteurs et les acteurs du marché afin de les retracer.

Actualité cryptographique mise en avant :
La société sud-coréenne Hanwha fait avancer les titres tokenisés avec la plateforme Avalanche alors que la réglementation évolue

Questions liées

QQuel pourcentage des Bitcoins volés lors de la troisième vague d'attaque a été déplacé par le pirate, selon Galaxy Research ?

AEnviron 45% des Bitcoins volés lors de la troisième vague d'attaque ont été déplacés par le pirate.

QQuelles méthodes le pirate a-t-il utilisées pour rendre le traçage sur la blockchain difficile ?

ALe pirate a utilisé THORChain pour déplacer des Bitcoins vers Ethereum, ainsi que des transactions CoinJoin, un procédé qui mélange les paiements de différents utilisateurs.

QQue révèle la création de 293 coffres-forts multisignatures deux-sur-deux par l'attaquant de la troisième vague ?

ALa création de 293 coffres-forts multisignatures deux-sur-deux indique un plan d'attaque structuré. Les fonds ont été transférés depuis les plus grands coffres en ordre décroissant de taille.

QQuelle proportion du Bitcoin volé lors de toutes les attaques Coldcard reste encore dans les adresses initiales contrôlées par les attaquants ?

A82% du Bitcoin volé lors de toutes les attaques Coldcard reste encore dans les adresses initiales contrôlées par les attaquants.

QComment l'exploit Coldcard se classe-t-il parmi les plus grandes exploitations de cryptomonnaie documentées en 2026 ?

AL'exploit Coldcard est classé comme la troisième plus grande exploitation de cryptomonnaie documentée en 2026 en termes de pertes déclarées, après les piratages de Kelp DAO et de Drift Protocol.

Lectures associées

Ripple ouvre le trading de Wall Street à Hyperliquid avec un nouvel accès au marché 24/7

Ripple Prime, la branche institutionnelle de Ripple, propose désormais à ses clients institutionnels éligibles un accès à des dérivés perpétuels référençant des actifs financiers traditionnels — actions, matières premières et devises — via une infrastructure liée à la blockchain Hyperliquid, en partenariat avec Trade.xyz. Ce service permet une cotation continue 24h/24 et 7j/7, contrairement aux marchés traditionnels soumis à des horaires fixes. Destiné aux contreparties professionnelles, il reste soumis à des critères d'éligibilité, les dérivés à effet de levier pouvant entraîner des pertes importantes. Pour Hyperliquid, cette intégration rapproche une infrastructure de trading décentralisée d'un acteur financier institutionnel établi, attirant de nouveaux types de traders et de garanties. Toutefois, l'exposition tokenisée ou synthétique ne signifie pas une détention directe des actifs sous-jacents. Pour Ripple, cette initiative s'inscrit dans ses efforts visant à relier les marchés financiers traditionnels aux systèmes de règlement basés sur la blockchain. Le défi à long terme sera de savoir si les investisseurs professionnels jugeront la commodité d'une cotation continue suffisante pour compenser les risques opérationnels et de marché supplémentaires.

bitcoinistIl y a 4 h

Ripple ouvre le trading de Wall Street à Hyperliquid avec un nouvel accès au marché 24/7

bitcoinistIl y a 4 h

L'exploit de Pirate Chain crée 39,8 millions de jetons non autorisés lors d'une importante faille de sécurité

Pirate Chain, une cryptomonnaie axée sur la confidentialité, a subi une grave faille de sécurité ayant permis la création d'environ 39,8 millions de jetons ARRR non autorisés. Les développeurs ont attribué le problème à des erreurs de mise en œuvre et de validation, et non à une défaillance de la cryptographie à divulgation nulle de connaissance. Les fonds étant protégés par des transactions blindées, il est difficile de suivre leurs mouvements. Les exchanges ont pris des mesures restrictives par précaution. Un correctif logiciel peut empêcher une nouvelle exploitation, mais ne règle pas la question des jetons déjà créés. Le projet doit préserver les détenteurs légitimes et l'intégrité de l'offre. Les mesures de récupération peuvent être controversées dans les réseaux décentralisés. À court terme, la priorité est la réparation technique ; à long terme, il faudra convaincre les investisseurs que le réseau peut garantir des règles monétaires fiables tout en préservant la confidentialité des transactions.

bitcoinistIl y a 5 h

L'exploit de Pirate Chain crée 39,8 millions de jetons non autorisés lors d'une importante faille de sécurité

bitcoinistIl y a 5 h

Le ministre turc de la Justice confirme la détention de Richard Hart à Istanbul

Le ministre turc de la Justice, Akın Gürlek, a confirmé samedi 17 octobre l'arrestation de Richard James Schueler, plus connu sous le nom de Richard Hart, lors d'une opération menée le 14 octobre dans le district de Beşiktaş à Istanbul. Cette déclaration constitue la première confirmation officielle de l'arrestation et fournit bien plus de détails que les précédents rapports des médias turcs. Selon Gürlek, Schueler, citoyen américain faisant l'objet d'une notice rouge d'Interpol pour une accusation de fraude aux cryptomonnaies d'un montant d'un milliard de dollars aux États-Unis et en Finlande, a été arrêté et placé en détention à Istanbul. Schueler, entrepreneur américain à l'origine des projets HEX, Pulsechain et Pulsex, a été interpellé avec son épouse. Trois autres hommes, présentés comme ses gardes du corps, ont ensuite été arrêtés. Les enquêteurs ont procédé à des perquisitions dans 15 biens immobiliers situés dans les districts de Beşiktaş, Üsküdar et Sarıyer, en coordination avec les unités de renseignement de la police turque, les enquêteurs spécialisés dans les crimes financiers et l'Organisation nationale du renseignement.

cryptonews.ruIl y a 8 h

Le ministre turc de la Justice confirme la détention de Richard Hart à Istanbul

cryptonews.ruIl y a 8 h

Un escroc en cryptomonnaies perd 4,8 millions de dollars en Bitcoin volé au profit d'un autre groupe de voleurs

Un escroc en cryptomonnaies aurait perdu environ 60 BTC, soit près de 4,8 millions de dollars, après avoir déposé le produit de ses vols dans des portefeuilles matériels compromis. L’affaire s’inscrit dans une attaque plus large de la chaîne d’approvisionnement impliquant des appareils Ledger modifiés. Selon une analyse d’octobre, les bitcoins liés à un faux programme de tâches en ligne ont été transférés vers des portefeuilles matériels, puis vidés par un attaquant. L’escroquerie initiale poussait les victimes à déposer des fonds en échange de gains promis pour des activités simples en ligne. L’opérateur aurait ensuite utilisé des portefeuilles associés à des appareils Ledger pour stocker les fonds, avant leur transfert vers une adresse contrôlée par un attaquant. L’affaire a émergé alors que des révélations plus larges indiquaient que certains portefeuilles matériels vendus par des revendeurs tiers avaient été physiquement modifiés avant d’atteindre les acheteurs. De telles altérations peuvent compromettre les protections de l’appareil en interférant avec la phrase de récupération ou d’autres informations sensibles nécessaires au contrôle des fonds. L’enquête n’a pas prouvé que les systèmes de fabrication de Ledger eux-mêmes avaient été compromis ; l’entreprise distingue les canaux de revendeurs concernés des appareils fournis via les canaux officiels. Un portefeuille matériel vise à isoler les clés privées des équipements connectés à Internet. Mais cette protection est bien moins efficace si un attaquant a modifié l’appareil avant que son propriétaire ne le reçoive. Le fait que la victime apparente du second vol aurait d’abord volé les fonds rend ce cas inhabituel. La leçon pratique reste familière : la provenance de l’appareil, son intégrité physique et une configuration prudente demeurent essentielles pour la sécurité des cryptomonnaies.

bitcoinistIl y a 11 h

Un escroc en cryptomonnaies perd 4,8 millions de dollars en Bitcoin volé au profit d'un autre groupe de voleurs

bitcoinistIl y a 11 h

Les premiers avertissements de Ledger sur les implants méritaient plus d'action, selon Karpelès

Mark Karpelès, ancien PDG de Mt. Gox, affirme que Ledger a reçu plusieurs signalements d'implants matériels malveillants des mois avant sa crise de sécurité d'octobre 2026. Il cite au moins deux personnes ayant contacté Ledger dès décembre 2025, sans avertissement public de l'entreprise. Le chercheur Joe Grand a alerté Ledger le 4 mars 2026 au sujet d'un implant dans un Nano X acheté sur Lazada Thaïlande. Ledger a reconnu les faits et enquêté en interne, mais n'a pas prévenu proactivement les clients. La crise a éclaté le 9 octobre, avec des pertes liées à des portefeuilles vendus via le revendeur CryptoBilis. Des lacunes dans la vérification des revendeurs sur des plateformes comme Lazada sont pointées : des vendeurs non autorisés, tel « LedgerXXX », trompent les acheteurs. OneKey a retiré ses annonces de revendeurs et appelle les fabricants à assumer la protection des clients. Des cas similaires ont touché Trezor avec des portefeuilles contrefaits vendus sur TikTok et Facebook. Trezor traite ces signalements comme des alertes précoces, mais ne réagirait plus vite qu'en cas de nouvelle technique ou de premier cas via un canal autorisé.

cointelegraphIl y a 13 h