Jeudi 29 octobre, entre 20 h 57 et 21 h 01 UTC, un portefeuille du pirate de Binance a déposé 60 M$ d'USDT volés sur Aave V3 (Ethereum) et emprunté 19 762 ETH, soit environ 44,6 M$. Le but : changer des stablecoins, que Tether peut geler, contre de l'ether, que personne ne peut geler. Les pirates ont aussi converti des stablecoins en ether sur Uniswap.
Aave a réagi dans l'heure. Ses Guardians ont gelé 292 réserves sur Aave V3 et V4 : plus de nouveaux dépôts ni d'emprunts, mais retraits et remboursements toujours possibles. Kamino, sur Solana, a suspendu les emprunts de son marché SOL/BTC par précaution, sans être touché. Aave a tout rouvert le 30 octobre, en quatre étapes. Ses contrats n'ont pas été attaqués.
Le choc s'est vu dans les chiffres. La valeur placée dans la DeFi a perdu 5,3 % le 30 octobre, à 83,95 Md$, au plus bas depuis le 21 août. Le jeton AAVE a perdu 9 %, comme LINK, et UNI 8 %. Environ 3 Md$ volés sont aujourd'hui gelés, surtout en stablecoins. Le FBI demande depuis le 31 octobre aux applications DeFi de bloquer les adresses du pirate.
Jeudi 29 octobre au soir, les hot wallets de Binance ont été vidés d'environ 6,3 milliards de dollars : 18 270 BTC, 200 630 ETH, près de 2,7 milliards en USDT et USDC sur Ethereum, 233 millions de XRP, 970 500 SOL, d'après TRM Labs. Un record, loin devant le piratage de Bybit en février 2025 (1,5 milliard).
Le FBI a désigné samedi le groupe nord-coréen TraderTraitor, déjà responsable de Bybit. Les fonds sont convertis en ether puis seront blanchis via la DeFi et des services d'échange instantané ; environ 3 milliards, en stablecoins, ont pu être gelés par leurs émetteurs. Bitcoin et ether, eux, ne se gèlent pas.
Binance a suspendu les retraits puis les a rouverts ce dimanche par phases (BTC, ETH, USDT, USDC, BNB, XRP d'abord, Base, Dogecoin et Optimism ensuite). La plateforme dit avoir remplacé 95 % des actifs sur ses fonds propres, SAFU compris, et promet une preuve de réserves complète. Pour vous : si vous détenez des cryptos sur une plateforme, vérifiez que vos retraits passent, et gardez l'essentiel dans un portefeuille dont vous tenez les clés.
Le 28 octobre, un client indonésien signale à Trezor un implant dans un Safe 5 acheté en août sur Tokopedia : une carte ajoutée, avec module cellulaire et antenne, qui lirait l'écran, dont la phrase de récupération. Trezor s'appuie sur sa description et un entretien vidéo, sans avoir reçu l'appareil. Aucune perte n'est connue.
Le 30 octobre, Trezor demande aux acheteurs CryptoBilis depuis mars 2026 de créer un nouveau portefeuille et de ne pas réutiliser l'ancienne phrase. L'appareil peut être remplacé via le support. Trezor avait retiré CryptoBilis de ses revendeurs dès le 9 octobre, jour du vol chez les clients Ledger, et n'a rien trouvé sur quatre appareils achetés chez lui.
Ce n'est pas le premier incident de l'année. Le 13 août, Trezor annonçait une fuite chez ShipMonk, son prestataire logistique : environ 13 700 clients touchés. Le 4 septembre, le chiffre est passé à environ 80 700, ShipMonk ayant gardé d'anciennes commandes américaines. Ni phrase de récupération ni clé privée n'ont fuité. Des clients ont depuis reçu des appels et des courriers avec QR code se faisant passer pour Trezor.
Le 9 octobre, 315 portefeuilles protégés par un Ledger ont été vidés sur six blockchains en environ 47 minutes. Bitquery estime le butin à 93,2 M$, dont 70,5 M$ sur Tron, surtout en USDT. Tether a gelé environ 10 M$. Les voleurs ont converti environ 14,9 M$ en USDD, un stablecoin que Tether ne contrôle pas.
Ledger a confirmé le 13 octobre la cause : un implant ajouté dans le boîtier d'appareils vendus par CryptoBilis, revendeur officiel en Malaisie, en Indonésie et aux Philippines. Pendant l'installation, il lisait la phrase de récupération à l'écran et l'envoyait par une eSIM sur le réseau mobile. Le Secure Element, le système et la signature des transactions n'étaient pas touchés. Le Genuine Check, le contrôle d'authenticité de Ledger, ne voit pas ces composants ajoutés.
L'avancée au 1er novembre : Ledger n'a toujours pas confirmé de total, les estimations vont de 86 à 103 M$. Pascal Gauthier, son PDG, dit mener lui-même l'enquête, qui cherche qui a modifié les appareils et à quelle étape. Aucun remboursement ni arrestation n'est annoncé. MediaMarkt a retiré les Ledger de ses rayons après un signalement en Allemagne, mais Ledger dit que le stock vérifié là-bas était sain. Le 30 octobre, Trezor a lancé la même alerte chez le même revendeur.
