Skip to content
Blockchain Posts

exploit

D'CENT Wallet : 303 000 XDC volés à un utilisateur français — enquête multi-juridictions sur IoTrust

Un utilisateur français de D'CENT Wallet (IoTrust, Corée du Sud) s'est fait vider 303 000 XDC (~10 000 $) le 8 octobre, dans la vague qui draine des milliers d'adresses depuis mi-septembre.

par 6 min de lecture
exploithardware-walletdcentiotrustxrp

Thierry, utilisateur français de D'CENT Wallet, s'est fait dérober 303 000 XDC (environ 10 000 $) dans la nuit du 8 octobre 2026, vers 2h37 du matin, selon le témoignage recueilli par Cryptoast le 26 octobre. L'incident n'est pas isolé : il s'inscrit dans une vague qui, depuis mi-septembre, draine des milliers d'adresses associées à l'application D'CENT Wallet, propriété du fabricant sud-coréen IoTrust. Protos et Crypto Briefing chiffrent les pertes XRP à plus de 12,4 millions de XRP sur plus de 7 000 portefeuilles.

Ce que dit la victime

Thierry affirme n'avoir jamais communiqué ses phrases de récupération et ne les avoir jamais stockées en ligne, sur un ordinateur ou dans un gestionnaire de mots de passe. Il a utilisé l'application mobile D'CENT. La perte est brutale : au réveil, le solde XDC est à zéro, les fonds ont été consolidés vers une adresse externe. Il a porté plainte :

  • en France (dépôt classique) ;
  • en Corée du Sud, pays d'IoTrust ;
  • auprès du FBI ;
  • sur la plateforme PHAROS du ministère de l'Intérieur français (dédiée aux signalements numériques).

Il attend les résultats de l'enquête de la police coréenne, dont la brigade cybernétique est saisie.

Ce qu'IoTrust reconnaît (et ce qu'elle ne dit pas)

Dans la foulée de la détection d'anomalies, IoTrust a publié un avis mi-septembre indiquant que des transferts non autorisés étaient en cours depuis des portefeuilles de son application mobile. L'entreprise cantonne le périmètre à :

  • Les utilisateurs ayant saisi leur phrase de récupération dans l'application mobile.
  • Les versions de l'application antérieures à la 8.1.0.

Les portefeuilles matériels (D'CENT Biometric Wallet et D'CENT Card Wallet) sont, selon le fabricant, non affectés, à condition que leur phrase de récupération n'ait jamais été ressaisie dans l'application mobile. La recommandation officielle : transférer les actifs vers un nouveau portefeuille avec une nouvelle phrase de récupération.

Selon Protos, les pertes ne se limitent pas à XRP : D'CENT elle-même évoque Bitcoin, Tron et Ethereum. Une partie significative des XRP volés — environ 6,3 millions, soit plus de la moitié du total XRP — a déjà été blanchie via THORChain.

Les chiffres de la vague

- Perte individuelle Thierry :  303 000 XDC (~10 000 $) le 8 oct. 2026, 2h37
- XRP volés (total vague) :     > 12,4 M XRP, > 7 000 adresses (Protos)
                                autre tally : 11,56 M XDC / 4 681 adresses
- Fenêtre XRP la plus active :  15 au 20 septembre 2026 (6 678 adresses)
- Signalements à IoTrust :      110 au 18 septembre (via ZDNet Korea)
- Chaînes touchées :            XRP + Bitcoin + Tron + Ethereum
- Fonds XRP blanchis :          ~6,3 M XRP via THORChain
- Versions app vulnérables :    < 8.1.0

Confirmé vs. non confirmé

Confirmé :

  • Une vague de vols coordonnés touche des portefeuilles D'CENT App Wallet depuis mi-septembre 2026.
  • Les transactions signées avec les clés privées légitimes des victimes — ce qui écarte un défaut côté réseau XRP Ledger et oriente vers une fuite ou génération faible de clés côté application.
  • IoTrust a saisi la police coréenne, la FSS (régulateur financier) et a demandé le gel des fonds à plusieurs échanges.

Non confirmé :

  • La source de la fuite des clés privées — faille de génération dans une ancienne version, exfiltration via un composant tiers, back-door interne, ou intrusion dans le pipeline de build de l'application.
  • Un programme général d'indemnisation. Aucun n'a été annoncé.
  • La réponse spécifique d'IoTrust aux victimes individuelles au-delà d'un e-mail standard.

Pourquoi ce dossier compte

Les hardware wallets reposent sur une promesse : la phrase de récupération est générée sur l'appareil, jamais exposée. L'épisode D'CENT ne contredit pas la promesse — il expose un cas d'usage adjacent : l'application mobile compagnon qui peut, elle, stocker la seed et devenir le maillon faible. C'est le même point que l'affaire Keystone sur la boutique Shopify : la défense technique de l'appareil tient, c'est l'écosystème autour (application compagnon, boutique de revente, service e-mail) qui cède.

Au regard du bilan 2026 des hardware wallets, D'CENT rejoint une série déjà lourde : Ledger (Global-e / CryptoBilis), Coldcard, Trezor (ShipMonk, Brevo), SafePal, BitBox (Brevo), et désormais Keystone (Shopify). D'CENT se distingue par une classe de risque différente : ce n'est pas une fuite d'adresses postales, c'est une compromission effective de la génération ou de la conservation de clés côté application mobile.

Que surveiller

  1. Le post-mortem d'IoTrust. L'entreprise n'a pas publié de rapport technique détaillé sur la cause racine. Sans analyse publique, les utilisateurs n'ont pas les éléments pour calibrer leur exposition (ancienneté de la version, chemin de dérivation, dépendances tierces compromises).
  2. Le programme d'indemnisation. Aucun n'est annoncé. Les démarches individuelles — plainte, saisines régulateurs — restent la seule voie en l'absence de politique d'indemnisation.
  3. Les décisions des juridictions. L'affaire implique la Corée du Sud (fabricant), la France (victime citée), les États-Unis (via le FBI), et les Bahamas / Seychelles / Hong Kong suivant où les échanges aval sont enregistrés. La coopération internationale sur la traçabilité on-chain déterminera la part récupérable.
  4. La migration des utilisateurs restants. La recommandation « nouveau portefeuille, nouvelle phrase » est opérationnellement lourde pour une base multi-chaînes. Un indicateur à suivre : les volumes de sortie massive d'adresses encore associées à D'CENT App Wallet sur les grandes chaînes concernées (XRP, BTC, ETH, Tron).

À faire si vous avez utilisé l'application D'CENT

  1. Transférez immédiatement tous les actifs des adresses associées à l'application D'CENT Wallet vers un nouveau portefeuille généré avec une nouvelle phrase de récupération, de préférence sur un appareil matériel qui n'a jamais vu l'ancienne seed.
  2. Si vous utilisiez un hardware D'CENT (Biometric ou Card) et avez saisi la seed dans l'application mobile, considérez la seed compromise et migrez.
  3. Ne saisissez jamais une phrase de récupération dans une application mobile — l'incident est une démonstration en direct de la raison pour laquelle le hardware doit rester le seul point de signature.
  4. Signalez : plainte locale, portail PHAROS en France, FBI IC3 aux États-Unis, et contact direct des échanges aval pour demander le gel.
  5. Suivez la liste de blocage de Tether et les gels on-chain Circle sur USDC si des fonds ont transité par ces stablecoins.

Contexte

L'affaire D'CENT, par son effet de masse (plusieurs milliers d'adresses, plus de 10 M$ en XRP seul) et sa multi-juridictionnalité (Corée du Sud, France, États-Unis, et chaînes publiques), est l'un des incidents hardware-adjacents les plus large de l'année. Elle rejoint, côté « fuite de donnée », les épisodes Keystone-Shopify et Foundation Passport-Cloudflare, déjà couverts ici. Côté « défense technique de l'appareil », la ligne tient encore. Côté « surface opérationnelle autour », elle fuit à peu près partout.

Sources :

Articles liés