SEAL : 68 M$ volés en une semaine, dont un hot wallet d'exchange à 49 M$

La Security Alliance (SEAL) publie son bilan hebdomadaire du 28 octobre au 3 novembre 2026 : 99 signalements traités, plus de 68 millions de dollars de pertes agrégées et environ 4,5 BTC, hors piratage de Binance (dont 11 des 99 signalements sont des demandes de traçage liées). La ligne la plus coûteuse de la semaine est un hot wallet d'exchange drainé de 49 M$. Synthèse : Journal du Coin ; rapports source : securityalliance.org/sos et le fil @_SEAL_Org.

Ce que SEAL a trié

Les 99 signalements sont ventilés en catégories. Les montants ci-dessous sont ceux agrégés par SEAL sur la fenêtre 28 octobre – 3 novembre et repris par Journal du Coin ; les noms de victimes et de protocoles concrets ne sont, pour l'essentiel, pas publiés par SEAL dans la version hebdomadaire.

Compromissions de protocole — 9 incidents, ~57,2 M$ + 2,42 BTC

• Hot wallet d'un exchange : 49 M$ drainés. Ni la plateforme ni la cause initiale ne sont nommées dans le bilan.
• Infrastructure de signature : 5 M$ volés. Les attaquants ont extrait des clés privées via un service de key management cloud, y compris après l'arrêt des serveurs (persistance de la compromission).
• Vault de dépôt sur TON : exploit permettant à l'attaquant d'obtenir des parts de vault sans déposer les actifs correspondants. Pas de montant précisé.
• Faille dans un protocole de prêt : pas d'autre détail.
• Injections d'infostealers dans des interfaces web incluant celle de Polymarket, via un prestataire tiers.

Cas attribués à la Corée du Nord — 4 incidents, ~3 M$ hors Binance

• 3 cas liés à l'acteur UNC1069 et à des machines macOS.
  • Un Safe 2-of-3 perdant 2 M$ après plusieurs mois de malware non détecté.
  • Une victime perdant 640 000 $ sept semaines après une fausse invitation Teams.

Compromissions de seed phrase — 13 incidents, 3,62 M$ + 0,91 BTC

• Dont un cas isolé à 3,5 M$ sur un porteur de hardware wallet. SEAL précise manquer d'éléments pour attribuer une responsabilité au fabricant.

Arnaques au faux support — 3 incidents, 1,57 M$ + 1,12 BTC

• Le plus lourd : usurpation du support Apple aboutissant à l'obtention des identifiants d'une victime dont la seed phrase était sauvegardée dans le cloud.

Chiffres de la semaine

• Signalements traités : 99
• Pertes agrégées (hors Binance) : ~68 M$ + 4,5 BTC
• Compromissions de protocole : 9 → 57,2 M$ + 2,42 BTC
• Cas nord-coréens (hors Binance) : 4 → 3 M$
• Seed phrases compromises : 13 → 3,62 M$ + 0,91 BTC
• Faux support : 3 → 1,57 M$ + 1,12 BTC
• Domaines de phishing recensés : 5 137
• Indicateurs de menace publiés : 5 185
• Gels sur chaîne cette semaine : 0,1 BTC et 6 200 DAI (gelés ≠ récupérés)

Lectures techniques

• Clé cloud qui survit à l'arrêt du serveur. Le cas « signing infrastructure » rappelle que révoquer un service ne révoque pas automatiquement les tokens délégués dans les KMS, surtout quand ils sont utilisés par des pipelines CI/CD. L'IR doit révoquer les tokens avant d'éteindre les machines, pas l'inverse.
• Vault de dépôt TON sans dépôt. Le pattern — recevoir des parts proportionnelles sans contribuer d'actifs — est déjà documenté sur d'autres chaînes (ratio gonflé par une manipulation d'offre de parts ou par un flash-mint non autorisé). Les équipes TON qui gèrent des vaults ERC-4626-like devraient relire leurs invariants de dépôt.
• UNC1069 sur macOS. Trois nouveaux cas en une semaine confirment que la surface macOS reste sous-estimée côté équipes crypto : les charges prennent souvent un chemin d'init utilisateur (LaunchAgents, logins, extensions de navigateur) plutôt qu'un compromis système, ce qui échappe aux revues de type « corporate IT standard ».
• Infostealers via prestataires tiers. Le cas Polymarket renvoie à une tendance 2026 : les compromissions se font côté analytique et widgets embarqués — pas côté application principale. Le durcissement des CSP et l'inventaire des dépendances tierces ne sont plus un sujet de hard-news, mais la cause réelle de la moitié des pertes du front-end.

Ce qu'il faut surveiller

1. L'identité du hot wallet d'exchange à 49 M$ quand elle sera publiée : si c'est une plateforme régulée hors Binance, le dossier bascule sur la table de ses régulateurs.
2. La publication par SEAL du post-mortem sur l'infrastructure de signature compromise — la méthode d'extraction de clé via KMS cloud est transposable à beaucoup de desks.
3. Le détail du vault de dépôt TON quand il sera publié par l'équipe affectée ; voir si le bug est un défaut d'invariant du contrat ou une erreur d'intégration front-end.
4. L'évolution du volume hebdomadaire après le choc Binance : la baisse par rapport à la semaine du 13–20 octobre (70 incidents, 18 M$) est trompeuse — les montants sont redevenus dominés par un seul incident à 49 M$.

Contexte

Le bilan continue la série hebdomadaire de SEAL. Le format — catégories stables, montants agrégés, cas notables sans nommer les victimes tant qu'elles ne l'ont pas fait elles-mêmes — s'est imposé en 2026 comme le baromètre le plus utilisable pour les équipes IR crypto. La semaine 28 octobre – 3 novembre confirme la bascule du poids des pertes vers les compromissions d'infrastructure d'exchanges et de signature, loin devant le phishing utilisateur pur. Le précédent bilan (13–20 octobre) pointait déjà Ledger CryptoBilis à 9,3 M$ sur 3 victimes ; cette fois, une seule ligne à 49 M$ efface tout le reste.