Fuite de données Wagyu : la chaîne Monero est restée privée, pas la base de données

Wagyu, un service de blockchain, where users swap tokens directly from their own wallets without handing custody of their funds to a company.">swap qui convertit d’autres cryptos en Monero sans demander de pièce d’identité, a confirmé la fuite de ses registres de commandes, selon The Defiant. Cette confirmation fait suite à l’analyse publiée le 28 octobre par Hudson Rock, la société de renseignement sur la cybercriminalité à l’origine d’Infostealers.com. D’après Hudson Rock, 4 580 swaps terminés vers XMR figurent sur des lignes qui réunissent, côte à côte, le hash de la transaction de dépôt sur la chaîne publique, l’adresse de réception Monero et l’adresse IP du client.

Ces 4 580 lignes ne forment qu’une partie de la fuite de données de Wagyu. L’export complet examiné par Hudson Rock compte 38 628 commandes et 10 139 entrées d’IP, du 18 juillet au 26 octobre 2026. Aucun de ces chiffres ne compte des victimes.

« La cryptographie de Monero n’a pas été brisée », écrit Hudson Rock. Ce qui a lâché, selon sa lecture, c’est la base de données que le service tenait à côté de la chaîne. La société le résume en une phrase : « La confidentialité peut survivre sur la chaîne et pourtant céder dans la base de données posée à côté de la chaîne. »

Hudson Rock précise ne pas avoir authentifié de façon indépendante la provenance des fichiers, dont l’origine, l’exhaustivité et l’authenticité ne sont pas établies. L’article de The Defiant ne cite aucune parole de Wagyu. Coindaro n’a pas pu ouvrir la déclaration de Wagyu elle-même : nous ignorons donc comment l’entreprise décrit l’incident et ce qu’elle dit à ses clients.

Fuite de données Wagyu : ce que contiennent les fichiers, selon Hudson Rock

Deux fichiers sont au cœur de la fuite. Le premier, orders.csv, recense 38 628 commandes sur 45 colonnes, dont le statut, les montants, les horodatages, les hash de transactions de dépôt, les adresses de destination, les IP des clients, les identifiants de session, les en-têtes de navigateur et des libellés de source. Le second, users_wagyu.csv, contient 10 139 entrées par IP, avec le nombre de commandes, le nombre de destinations distinctes, la première et la dernière apparition, des valeurs de risque, les pays déclarés et des classes de fournisseurs d’accès. Hudson Rock affirme que les totaux par IP concordent avec orders.csv.

C’est à partir de ces dernières lignes que les recoupements commencent. Un identifiant de session présent sous deux IP, ou une adresse Monero payée depuis plusieurs connexions, permet à celui qui détient le fichier de regrouper des commandes qu’un client pouvait croire sans lien.

Les 4 002 commandes marquées comme supprimées portent toutes encore une IP et une destination, et 3 180 conservent aussi un hash de dépôt. Hudson Rock n’y voit pas la preuve que Wagyu aurait omis d’effacer des données qu’smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il devait effacer : le sens de ce champ comme la politique de conservation du service sont inconnus.

Les commandes et les IP ne sont pas non plus des personnes. Un client peut passer de nombreuses commandes, et une IP peut être partagée. La mise en garde de Hudson Rock, citée par GBHackers : ni les commandes ni les adresses IP « ne représentent nécessairement des clients individuels ».

Swap Monero et adresse IP : pourquoi la fuite compte quand la chaîne reste privée

Monero masque l’expéditeur, le destinataire et le montant sur son propre registre (notre page Monero explique comment). Un service de swap se trouve à la lisière de ce registre. Il voit arriver la cryptomonnaie depuis Bitcoin ou une autre chaîne publique et connaît l’adresse Monero vers laquelle il paie. S’il consigne aussi l’IP du client, une seule ligne de base de données relie un paiement public, une destination privée et une connexion.

« Le risque central est donc l’exposition des bases de données aux points d’entrée et de sortie des cryptomonnaies », dit Hudson Rock, cité par GBHackers.

Les limites comptent autant. D’après Hudson Rock, les fichiers ne permettent pas de déchiffrer Monero et ne désignent pas, à eux seuls, la personne derrière une IP ou un portefeuille. Ils ne montrent pas qui a le premier envoyé des XMR vers une adresse de dépôt, et ne permettent pas de suivre les XMR une fois partis de l’adresse figurant dans l’enregistrement. La société n’a nommé personne, n’a publié ni adresse complète ni hash, et n’a tracé aucune transaction Monero. Elle n’a trouvé aucun élément indiquant qu’un logiciel malveillant de type infostealer soit à l’origine de l’incident.

Hudson Rock décrit néanmoins ce que pourrait tenter quelqu’un qui détiendrait les fichiers, tout en soulignant que rien de cela n’est établi : de l’hameçonnage citant l’opération réelle d’une victime, le regroupement de portefeuilles entre chaînes grâce aux données de session ou de réseau, du chantage fondé sur la valeur d’anciens échanges, et l’enrichissement des enregistrements avec d’autres bases piratées.

Les étiquettes de pirates dans les données ne prouvent aucun crime

Certaines commandes portent des étiquettes comme « Poloniex Hacker » ou « Theft ». Elles proviennent des données elles-mêmes, et Hudson Rock insiste : ce ne sont pas des attributions vérifiées, et l’usage d’un mixeur ne prouve pas à lui seul un crime. Certains groupes se recoupent, leurs totaux ne peuvent donc pas être additionnés.

Selon le décompte de Hudson Rock, l’étiquette « Poloniex Hacker » recouvre six retraits XMR terminés, d’environ 1 025 047 $ au total, les 11 et 12 octobre, avec une même adresse source, une même destination Monero et un même identifiant de session, depuis deux IP. Une étiquette « DCENT Wallet Hacker » figure sur deux ordres ETH vers XMR de 651 667 $ le 13 octobre ; avec un troisième ordre sans étiquette de 250 960 $ émis par le même déposant, vers la même destination et depuis la même IP, le total atteint environ 902 627 $. Deux de ces ordres sont signalés comme restreints alors qu’ils apparaissent comme terminés.

Une autre étiquette « Theft » couvre 360 commandes terminées, d’environ 1 720 820 $ au total, entre le 17 septembre et le 17 octobre, d’un seul déposant vers 13 adresses Monero, sur 20 IP ; 315 d’entre elles se situent entre 4 900 et 5 100 $. Un groupe plus large, marqué « Tornado.Cash: 100 ETH », rassemble 25 ordres d’environ 3 561 386 $, dont cinq appartiennent aussi à un ensemble de sept ordres d’environ 823 397 $ passés en 58 minutes environ le 25 septembre.

GBHackers note que DCENT a signalé en septembre 2026 des transferts non autorisés depuis son App Wallet, ce qui n’établit pas que ces swaps aient servi à écouler des fonds volés. Hudson Rock ajoute que certains ordres expirés affichent des montants en dollars invraisemblables, raison pour laquelle il ne totalise pas le volume de l’export.

Une annonce d’extorsion et un litige sur les frais

La fuite est apparue en même temps que des annonces d’un groupe se faisant appeler WhiteArmor. Des outils de suivi des rançongiciels en ont indexé une visant wagyu.xyz le 27 octobre, puis une seconde, « wagyu.xyz unfairness », le 28 octobre. Elles accusent le service de proposer des probabilités de pile ou face truquées et des frais de swap non annoncés.

Les chiffres de ce litige ne concordent pas. La note de l’acteur affirme que 13 190 ordres ont été facturés au-dessus du taux affiché ; le récapitulatif des frais de l’export, qui porte sur 28 840 ordres de swap et de pont terminés, en classe 11 098 dans sa catégorie « over ». Hudson Rock estime que ces annonces ne prouvent à elles seules ni intrusion, ni rançongiciel, ni vol de données, et qu’une accusation ne vaut pas preuve de faute. On ignore si les annonces et les fichiers ont une source commune.

Wagyu affirme avoir fait transiter 700 millions de dollars de XMR cette année

Dans un communiqué diffusé par Chainwire le 14 août, Wagyu.xyz se décrit comme une plateforme de swap et de pont entre chaînes et dit avoir fait transiter plus de 700 millions de dollars de volume Monero par le carnet d’ordres onchain d’Hyperliquid depuis janvier 2026. Sa politique de conformité publiée indique que les documents KYC ne sont pas demandés. Le même communiqué affirme que la route filtre les transactions avant exécution et renvoie à l’adresse d’origine les dépôts qui échouent à ce filtrage. Ce sont les chiffres de l’entreprise elle-même, dans un communiqué sponsorisé.

Que faire si vous avez utilisé Wagyu ?

Nous n’avons trouvé aucun conseil de Wagyu. Les recommandations de Hudson Rock valent pour quiconque a utilisé un service de swap sans KYC sur la période :

• Partez du principe que le prestataire a conservé vos adresses, vos montants, vos horaires et vos données de connexion, même s’il ne vous a jamais demandé votre nom.
• Traitez comme une arnaque probable tout message non sollicité de remboursement, de récupération ou de vérification qui cite une commande réelle.
• Ne communiquez pas d’identifiants de transaction et ne rattachez pas les portefeuilles utilisés à des profils publics.
• Vérifiez tout avis de violation attribué à Wagyu sur ses canaux authentiques avant d’agir.
• Ne saisissez jamais une phrase de récupération ou une clé privée dans un lien ou un formulaire de support.

Un VPN ou Tor limite ce que le service voit de votre IP la prochaine fois, note Hudson Rock, mais ne peut pas effacer des données déjà transmises. Nos guides pour repérer les arnaques crypto et protéger sa phrase de récupération détaillent les schémas d’hameçonnage qu’une fuite de ce type tend à alimenter.

Aux services de swap et aux ponts, la société conseille de conserver le moins longtemps possible, ensemble, les IP, les identifiants de session, les destinations et les correspondances de commandes, de séparer les données de transaction de la télémétrie opérationnelle, et de définir ce que « supprimer » veut dire dans les systèmes actifs, les journaux, les exports et les sauvegardes.

Aucun régulateur ne s’est exprimé sur la fuite de Wagyu

Nous n’avons relevé aucune déclaration d’un régulateur aux États-Unis ni en Europe, et rien de l’AMF ni de la CNIL. Wagyu fonctionne sans KYC et, pour autant que nous le sachions, en dehors du régime d’agrément européen MiCA pour les prestataires de services sur crypto-actifs. Les Européens ont déjà moins de routes régulées vers le Monero : Kraken maintient le XMR à sa cote, mais pas pour ses clients de l’UE. Le droit européen de la protection des données, le RGPD, considère en général une adresse IP comme une donnée personnelle, même si aucune plainte visant Wagyu n’a été rapportée.

C’est la deuxième fuite de données personnelles sur notre bureau en deux jours, après l’intrusion d’un tiers dans le système de travail des employés de Bithumb. Bithumb collecte des identités ; Wagyu n’en collectait aucune et gardait pourtant une trace. À surveiller : le récit de Wagyu sur la manière dont les fichiers ont fuité, et la question de savoir si quelqu’un en authentifie le contenu.