Collatéral : 60 M$ d'USDT déposés sur Aave V3 Ethereum Core en deux temps (10 puis 50 M$), 19 762 WETH empruntés entre 20:57 et 21:01 UTC le 29/10. Position surcollatéralisée (59,9 M$ pour 43,8 M$ de dette), sans risque pour les prêteurs selon LlamaRisk. En parallèle, environ 253 000 ETH accumulés via UniswapX et des swaps successifs, et 36 M RLUSD échangés contre 15 439 ETH avant le gel de Ripple (environ 200 M$).
Réponse Aave : cellule d'urgence (Aave Labs, Tokenlogic, Certora), puis gel par les multisigs Guardian de 175 réserves V3 sur 16 réseaux et 117 réserves V4 sur 4 réseaux, plutôt que d'attendre un vote de gouvernance de cinq jours. Réouverture le 30/10, avec LTV à zéro (facteur de collatéral à zéro sur V4) pour USDT, USDC, USDT0, POL, WAVAX, sAVAX, XAUT, PAXG et OP. Capacité d'emprunt abaissée à 3,7 Md$ sur V3. L'utilisation des pools de stablecoins a touché 100 %, LlamaRisk a réduit le Slope2. GHO est descendu à 0,997 $ après 4,6 M rachetés contre de l'USDT via le module de stabilité.
Contournement des gels : Chainalysis décrit des dépôts de stablecoins sur des protocoles de prêt sur Tron, puis le transfert des jetons de reçu, que l'émetteur ne peut pas bloquer (environ 500 000 $ tracés à ce stade). Le FBI (31/10) attribue l'attaque à TraderTraitor, publie des centaines d'adresses et vise nommément THORChain, qui avait refusé en septembre de filtrer les fonds du piratage de Bitget. Marché : TVL DeFi à 83,95 Md$ (-5,3 %) le 30/10, AAVE et LINK -9 %, UNI -8 %, ARB -6 %.
Exploit jeudi 29 octobre en soirée sur les hot wallets de Binance : 6,3 Md$ d'après la plateforme, détail TRM Labs 18 270 BTC (1,47 Md$), 200 630 ETH, 1,875 Md USDT et 823 M USDC sur Ethereum, 233,46 M XRP, 970 500 SOL, plus de l'USDT sur d'autres réseaux. Attribution FBI (31/10) à TraderTraitor (Lazarus), même signature que Bybit en février 2025 : conversion massive en ETH, puis dispersion via DeFi et swaps instantanés sur plusieurs mois.
Environ 3 Md$ sont gelés, essentiellement les stablecoins (Tether et Circle ont blacklisté les adresses). Le FBI a diffusé les adresses et demande aux plateformes et aux analystes on-chain de bloquer les flux associés. Les BTC et ETH volés restent mobiles : surveillez les ponts et les mixeurs, la pression vendeuse sur ETH peut durer.
Côté Binance : retraits suspendus puis rouverts le 1er novembre par phases (06:00 à 09:00 UTC pour la première fenêtre : BTC, ETH, USDT, USDC, BNB, XRP, puis Base, DOGE, OP), 95 % des actifs rachetés sur fonds propres et SAFU, preuve de réserves annoncée. Les 5 % restants sont des jetons hors top 10, moins liquides. Pour un bilan fiscal, rien ne change : vos positions Binance restent lues telles quelles, un éventuel remboursement en nature n'est pas une cession.
Signalement reçu le 28/10 via le programme de divulgation responsable : Safe 5 acheté en août 2026 sur Tokopedia (Indonésie), carte additionnelle avec module cellulaire et antenne, lecture de l'écran pendant l'affichage de la seed. Même mode opératoire que l'implant LTE confirmé chez Ledger. Trezor n'a pas eu l'appareil en main, pas de confirmation en laboratoire, aucune perte rapportée.
Mesures : CryptoBilis retiré de la liste des revendeurs le 9/10, inspection de quatre appareils du revendeur (un Safe 7, deux Safe 5, un Safe 3) sans trace de manipulation, consigne du 30/10 de migrer vers une nouvelle seed pour tout achat CryptoBilis depuis mars 2026, remplacement via le support. Trezor réduit par ailleurs son réseau de revendeurs. Des Trezor modifiés vendus sur TikTok et Facebook avaient déjà été signalés en août.
Antécédent : fuite ShipMonk annoncée le 13/08 (11 742 clients avec nom, e-mail, téléphone et adresse, 1 947 avec données partielles, commandes du 10 mai au 8 août 2026), étendue le 4/09 à environ 80 700 personnes avec des archives américaines de 2019 à 2021 non purgées. Aucune seed, clé ni firmware exposé, l'infrastructure de SatoshiLabs n'est pas en cause. Hameçonnage ciblé constaté depuis : appels citant de vraies commandes, courriers à QR code.
Chronologie : tests de petits montants envoyés aux victimes environ deux semaines avant, puis le 9/10 drain coordonné de 315 portefeuilles sur six chaînes en environ 47 minutes, dont 111 adresses Bitcoin dans un seul bloc et 25 portefeuilles Tron signés en trois secondes. Bitquery chiffre le total à environ 93,2 M$, dont 70,5 M$ sur Tron. Tether gèle environ 10 M$, environ 14,9 M$ partent en USDD, non gelable. Parmi les victimes, un escroc qui a perdu 4,9 M$ en BTC.
Vecteur : attaque physique sur la chaîne d'approvisionnement. Un microcontrôleur logé dans le boîtier décode l'écran pendant l'affichage de la seed de 24 mots et l'exfiltre en LTE via eSIM. Ni le Secure Element ni l'OS ni le chemin de signature ne sont compromis, mais la seed suffit à dériver toutes les clés. Le Genuine Check atteste la puce d'origine, pas l'absence de composants ajoutés. Ledger a fait suspendre les ventes de CryptoBilis le 9/10 et confirmé l'implant les 12 et 13/10. Les fondateurs de CryptoBilis disent avoir cédé la société en mars 2026.
État au 1er novembre : pas de total confirmé par Ledger (Galaxy Research estime environ 91 M$), enquête pilotée par Pascal Gauthier, aucune indemnisation ni arrestation annoncée. Des cas sont signalés au Japon, en Thaïlande et à l'aéroport de Singapour (Ledger Flex, signalé par Mark Karpelès), sans confirmation de Ledger. MediaMarkt a suspendu ses ventes. Trezor a demandé le 30/10 la même migration aux acheteurs CryptoBilis.
