on-chain
SEAL : 70 incidents crypto en 7 jours, 18 M$ volés, Ledger CryptoBilis à 9,3 M$
Bilan hebdomadaire SEAL du 13 au 20 octobre : 70 incidents, plus de 18 M$ volés, dont 9,3 M$ sur 3 victimes Ledger CryptoBilis, 2 wrench attacks à 1,22 M$ et 25 compromissions de seed phrases.
La Security Alliance (SEAL) publie son bilan hebdomadaire du 13 au 20 octobre 2026 : 70 incidents recensés, plus de 18 millions de dollars de pertes agrégées sur les huit catégories suivies — plus une centaine d'ETH et quelques BTC non convertis au taux du jour par SEAL. Le dossier Ledger CryptoBilis reste le plus coûteux de la semaine à 9,3 M$ sur 3 victimes. Synthèse : Journal du Coin ; publications SEAL : securityalliance.org/sos et son fil X @_SEAL_Org.
Les chiffres de la semaine
| Catégorie | Victimes / cas | Pertes USD |
|---|---|---|
| Compromissions de seed phrase | 25 | ~3,86 M$ (+ 64,5 ETH, 0,3 BTC) |
| Hardware wallet / CryptoBilis | 3 | 9,3 M$ |
| Prise de contrôle de compte | n/d | 1,6 M$ |
| Wrench attacks (agressions physiques) | 2 | 1,22 M$ |
| Compromissions de protocoles | 9 rapports (6 exploits) | 2 M$ + 37,44 ETH |
| Prise de contrôle d'infrastructure | 1 | 32 400 $ + 5 BTC |
| Campagnes nord-coréennes | 5 | 260 000 $ |
| « Contagious Interview » (faux entretiens) | 3 | 86 000 $ |
En parallèle, SEAL a collecté 2 393 domaines de phishing, publié 2 437 indicateurs de compromission et répertorié 155 wallets malveillants sur la semaine.
Ledger CryptoBilis — 9,3 M$ sur 3 victimes
Trois nouvelles victimes attribuées à l'implant CryptoBilis cette semaine, pour une perte moyenne supérieure à 3 millions de dollars par wallet. Rappel de la chronologie publiée par Ledger : enquête ouverte le 9 octobre, confirmation de l'implant matériel le 10, pertes rattachées à des appareils vendus par un revendeur malaisien signalées le 11, mise à jour technique du Ledger Donjon le 13 octobre.
Mécanisme (Donjon, 13 octobre) : un module lit l'écran du Ledger pendant la configuration — c'est à ce moment que s'affichent les 24 mots de la phrase de récupération — puis transmet les mots via une eSIM. Le Secure Element n'est pas touché et le « Genuine Check » ne détecte pas l'implant.
Un client allemand a signalé un appareil piégé acheté chez MediaMarkt, sans perte signalée. L'enseigne a retiré les Ledger de ses rayons. Ledger n'a toujours pas publié de bilan officiel du nombre d'appareils compromis ni du montant total exfiltré. Source citée par SEAL : post Ledger sur X du 13 octobre, relayé par BleepingComputer.
Nos précédents papiers sur ce dossier : Ledger Donjon — implant eSIM LTE, CertiK — 2,81 Md$ volés en 2026.
Seed phrases et wrench attacks
25 compromissions de seed phrase cette semaine, pour 3,86 M$ environ, plus 64,5 ETH et 0,3 BTC — la catégorie la plus large en nombre d'incidents. SEAL ne détaille pas les vecteurs individuels.
Côté wrench attacks, deux victimes pour 1,22 M$ volé. SEAL signale une hausse continue de ces agressions. Pour mémoire, la police judiciaire française dénombrait 41 crypto-rapts à la mi-avril 2026. Ces chiffres convergent avec le compte CertiK 2026 de 52 wrench attacks au S1 et 124,2 M$ cumulés — contre 39 cas et 10,5 M$ un an plus tôt.
Protocoles et menaces internes
Neuf rapports relatifs à des protocoles. Six compromissions ont coûté 2 M$ et 37,44 ETH, dont deux exploits à 1 M$ chacun. Une prise de contrôle d'infrastructure a entraîné 32 400 $ et 5 BTC de pertes.
SEAL cite un cas de menace interne : un contributeur a ajouté sa propre adresse comme signataire d'un multisig. L'alliance ne nomme pas le protocole concerné dans ce bilan hebdomadaire.
Pyongyang, faux Zoom et malware Polin Rider
Les campagnes nord-coréennes se poursuivent sans ralentir : 5 victimes pour 260 000 $, auxquelles s'ajoutent 3 victimes de « Contagious Interview » pour 86 000 $ — un faux entretien d'embauche qui aboutit à l'installation d'un malware côté candidat. Une compromission de wallet non rattachée à une campagne précise porte sur 174 000 $.
Côté infrastructure offensive, SEAL identifie :
- UNC1069 — enregistrement de nouveaux domaines imitant des services de visioconférence.
- SINT-69 (intrusion non attribuée) — faux sites Zoom et Teams (exemples cités :
zoomwweb,teamlives). - Malware Polin Rider — repéré dans 13 des 928 dépôts d'un programme de bounty open source, sans perte signalée.
Le texte SEAL ne nomme pas Lazarus cette semaine. Le qualificatif « Pyongyang » apparaît dans la synthèse de Journal du Coin, pas dans le détail SEAL.
À surveiller
- La publication officielle par Ledger d'un bilan CryptoBilis — nombre d'appareils, montant exfiltré, numéros de série, canaux de distribution identifiés.
- L'évolution du compteur wrench attacks sur le trimestre : la hausse signalée par SEAL recoupe l'alerte G7 Évian et la statistique PJF.
- La publication des IOCs SINT-69 / UNC1069 sur les listes de blocage DNS des infrastructures crypto (RPC publics, wallets custodial, exchanges).
- Les signalements de menaces internes dans les protocoles multisig — l'addition silencieuse d'un signataire reste détectable mais rarement surveillée côté opérations.
Contexte — où en est la saison 2026 des pertes crypto
Au 12 octobre, CertiK chiffrait 2026 à 2,81 Md$ volés depuis le 1er janvier, dont 773,4 M$ en septembre (pire mois) et 116,1 M$ sur les 12 premiers jours d'octobre. Le bilan SEAL de la semaine passée (18+ M$) s'inscrit dans ce rythme, avec un vecteur hardware qui pèse à lui seul la moitié du total. La supply chain et les agressions physiques continuent de prendre du terrain face aux exploits smart contract classiques, qui tiennent le plus gros montant cumulé annuel mais plus les pires semaines isolées.