Bitquery retrace 4,06 millions de dollars d’USDT vidés de 365 portefeuilles TRON, et le lien avec une faille iPhone repose sur une seule victime

Au moins 4,06 millions de dollars d’USDT ont quitté 365 portefeuilles TRON entre le 5 octobre et le 4 novembre 2026, et l’argent s’est retrouvé dans 43 portefeuilles collecteurs qui ont tous reçu leurs frais de la même adresse. C’est ce que conclut l’enquête de la société d’analyse on-chain Bitquery, dont les chiffres ont été vérifiés le 5 novembre. Les vols ont aussi emporté 137 688 TRX. Bitquery est parti d’une seule victime, propriétaire d’un iPhone qui a perdu 16 428 USDT le 15 octobre, et son rapport rattache la vague à des vidages de portefeuilles crypto sur iPhone.

Ce que le rapport ne montre pas, c’est comment les portefeuilles ont été vidés. CryptoSlate, qui a relayé ces conclusions le 7 novembre, a mis « zero-click iOS exploits » dans son titre. Les sources de cette affaire n’étayent pas ce terme : « zero-click » est le mot de CryptoSlate, pas un fait vérifié. Un seul vol est relié à un iPhone, cette victime raconte avoir touché une publicité dans Safari avant la perte, et Bitquery précise lui-même qu’blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il ne peut pas confirmer l’emploi d’un kit d’exploitation.

Les deux kits cités dans la presse, Coruna et DarkSword, existent bel et bien. Google, iVerify et des éditeurs de portefeuilles les ont documentés, et Apple a corrigé depuis des mois les failles sur lesquelles ils s’appuient. La société de sécurité iVerify parle de « half-click » pour la version diffusée par la publicité : le téléphone est infecté quand le contenu piégé se charge, et non par un message qui arriverait tout seul.

Ce que ces kits cherchent sur un téléphone, c’est la phrase de récupération, souvent conservée en photo ou dans une note. Notre guide sur la sécurité de la seed phrase présente des façons plus sûres de la garder.

Bitquery retrace 4,06 millions de dollars d’USDT jusqu’à 43 portefeuilles collecteurs

La méthode de Bitquery est étroite à dessein. Un portefeuille n’est compté comme victime que lorsqu’un seul paiement a vidé tous ses USDT, ce qui correspond au schéma d’un vol par quelqu’un qui détient la clé privée, et non d’un utilisateur qui fait un transfert. Les totaux sont donc des planchers. L’argent pris en plusieurs fois, ou dans des portefeuilles qui gardaient un petit solde, n’est pas dans le décompte.

Le chiffre de 365 désigne des adresses vidées, pas des personnes. Parmi ces adresses, 276 ont perdu des USDT et 89 n’ont perdu que des TRX. Une même personne peut posséder plusieurs adresses : le nombre de personnes touchées reste inconnu.

Le portefeuille de frais, TUYFAa8hHjeEW6bPqBJ4v3RjQR2uKM1Svk, est le fil qui relie les 43 collecteurs. Bitquery est prudent sur ce que cela prouve. Ces liens sont des flux d’argent, et des flux d’argent ne suffisent pas à établir qu’une seule personne ou un seul groupe contrôle tous les collecteurs.

L’aller-retour par un pont est la partie la plus étrange du parcours. Environ 1,51 million de dollars sont revenus sur TRON depuis les adresses Ethereum des voleurs, via l’agrégateur LI.FI, en 71 transferts, presque tous versés en USDT vers huit nouveaux portefeuilles. Notre fiche du glossaire sur les ponts cross-chain explique comment fonctionnent ces sauts d’une blockchain à l’autre. Sur les 321 000 dollars versés par NEAR Intents vers les récepteurs Ethereum, environ 175 000 dollars n’ont pas de source retracée, indique Bitquery. Les sorties de TRON ont transité par CCE Cash jusqu’au 25 octobre, puis par deBridge, NEAR Intents, OKX (88 000 dollars) et USDT0.

Les victimes n’étaient ni de petits comptes ni des comptes récents. Près de la moitié des portefeuilles vidés servaient depuis plus d’un an, 87 % détenaient des fonds depuis plus d’un mois, et 15 seulement avaient moins d’un jour. En dehors de TRON, Bitquery a relevé 65 autres portefeuilles vidés sur huit blockchains, surtout Ethereum et BNB Chain, pour au moins 103 000 dollars, dont l’essentiel sur Ethereum (62 000 dollars) et BNB Chain (24 000 dollars). Des victimes sur TON sont mentionnées, mais elles échappent aux données de Bitquery.

Un vidage de 519 093 USDT le 25 octobre, vérifié sur Tronscan

La journée la plus lourde est le 25 octobre : environ 1,25 million de dollars ont quitté les portefeuilles des victimes, dont 1,21 million pour deux d’entre eux seulement. La plus grosse perte isolée des données de Bitquery, 693 023 dollars, vient d’un portefeuille commençant par TE1Nb7. La deuxième, que Bitquery prend comme étude de cas, est visible sur l’explorateur Tronscan : 519 093,33 USDT de l’adresse TJMn77jsqEw7Tu6qgwQiZ6FEwt4H2JcfvB vers TEDjNzXWsTrRcHmRnGPPqGRmqCmrA1vvGZ, le plus gros collecteur, qui a reçu 974 487 USDT au total selon Bitquery.

Coindaro a vérifié cette transaction le 7 novembre via l’API publique de Tronscan. Elle est confirmée et marquée comme réussie, dans le contrat USDT de Tether sur TRON, dans le bloc 87 432 325, à 23 h 16 min 39 s UTC le 25 octobre 2026. Le portefeuille émetteur avait effectué des paiements réguliers en USDT les jours précédents. Dans les données de Tronscan, il n’a envoyé aucun USDT depuis.

Le signalement d’un propriétaire d’iPhone a lancé l’enquête

Tout ce qui rattache cette vague aux téléphones d’Apple remonte à une seule personne. Cette victime a perdu 16 428 USDT le 15 octobre à 07 h 29 min 48 s UTC, et les TRX du portefeuille ont suivi 12 secondes plus tard, ne laissant que 0,04 TRX. Bitquery a rapproché le signalement de la blockchain, puis suivi l’adresse collectrice vers l’extérieur pour retrouver les autres portefeuilles.

Le récit de la victime est précis. Le propriétaire aurait ouvert une vidéo dans Safari, touché une publicité et été renvoyé vers une autre page. Le rapport de cpa.rip que cite Bitquery soupçonne un kit de piratage comme DarkSword, une chaîne d’exploitation iPhone connue. La société de sécurité SlowMist, citée par Bitquery, affirme qu’ouvrir une page piégée dans Safari suffit à infecter un téléphone vulnérable.

Bitquery ne va pas plus loin. Il dit ne pas pouvoir confirmer que le kit a servi dans ces vols, et rappelle qu’un registre blockchain n’enregistre ni le téléphone, ni le système d’exploitation, ni l’application qu’utilisait une victime. Pour les autres adresses vidées, la trace publique montre les transferts, pas la manière dont les voleurs ont obtenu les clés.

Bitquery cite aussi un rapport du site cpa.rip qui compte 361 portefeuilles TRON et 7,88 millions de dollars répartis sur 66 collecteurs. Coindaro n’a pas retrouvé ce rapport sur le site : le chiffre reste donc non vérifié.

Pourquoi l’étiquette « zero-click » ne colle pas aux preuves

Une attaque zero-click prend le contrôle d’un téléphone sans aucune action de son propriétaire, en général par un message ou un appel que le système traite dès son arrivée. Si une telle faille vidait des portefeuilles crypto sur des iPhone à jour, le risque pour chaque détenteur serait d’un tout autre ordre.

Ce n’est pas ce que décrivent les sources. iVerify, dans un article de blog sur les publicités malveillantes qui diffusent Coruna et DarkSword, emploie le terme « half-click » : le téléphone est infecté quand le contenu de la publicité se charge, sans qu’il faille la toucher, mais la victime doit tout de même se trouver sur une page qui l’affiche. iVerify ajoute qu’une fausse page Polymarket, l’une des destinations vers lesquelles les publicités redirigeaient, pouvait infecter un téléphone vulnérable par la seule visite. L’article de CryptoSlate lui-même, au-delà de son titre, ne confirme pas non plus de voie zero-click. Il indique que la plupart des appareils et des exploits liés aux vols comptabilisés restent non identifiés, et que seul le vol du 15 octobre est rapproché d’un propriétaire d’iPhone.

La différence compte pour ce que les lecteurs feront ensuite. Une chaîne half-click exige une page malveillante et un téléphone non corrigé. Ces deux conditions se traitent. La fausse page Polymarket est un cas distinct du vidage par un script de prestataire chez Polymarket que nous avons relaté le 30 octobre, passé par un script tiers du vrai site.

Coruna et DarkSword : deux kits d’exploitation iPhone déjà corrigés par Apple

Le Threat Intelligence Group de Google a décrit DarkSword dans un rapport publié le 18 mars 2026. Le kit vise iOS 18.4 à 18.7, est actif depuis au moins novembre 2025 et se diffuse par des sites web : un site leurre à thème Snapchat, des pages d’atterrissage obscurcies et des sites ukrainiens compromis, chacun chargeant l’exploit dans un cadre caché. Il est écrit entièrement en JavaScript. Google l’a relié à trois groupes : UNC6748, l’éditeur turc de surveillance PARS Defense et UNC6353, un groupe d’espionnage russe présumé, et range les « données de portefeuilles de cryptomonnaies » parmi ce qu’il dérobe.

Le rapport de Google recense six failles dans la chaîne, avec les versions d’iOS qui les ont corrigées :

Selon Google, les six failles étaient corrigées dans iOS 26.3, la plupart bien avant. Pour les modèles plus anciens, Bitquery note que la version iOS 18.7.7 d’Apple mentionne DarkSword. La page des mises à jour de sécurité d’Apple indique qu’iOS 26.3 est sorti le 11 février 2026 et iOS 18.7.7 les 24 mars et 1er avril, pour des modèles différents. Apple a depuis publié iOS 27.2, 26.7.2 et 18.7.11, tous le 26 octobre. Coruna est une chaîne plus ancienne, visant iOS 13 à 17, d’après SlowMist cité par Bitquery.

iVerify énumère les applications de portefeuille que les implants recherchent : Binance, Coinbase Wallet, OKX, Bitget, Trust Wallet, Exodus, TronLink et Bitpie. Les kits peuvent aussi extraire des mots de passe, des messages et des contacts, et les variantes observées par iVerify visaient les secrets du trousseau. Trust Wallet explique qu’ils cherchent les phrases de récupération enregistrées dans des photos et des notes, une voie qui n’exige aucune faille dans l’application de portefeuille elle-même. iVerify décrit les tentatives d’adapter les kits à iOS 26 et 27 comme à peu près non fonctionnelles.

SEAL a consigné six vols de portefeuilles sur iOS en une semaine, loin du total TRON

Un second décompte indépendant vient de la Security Alliance (SEAL), dont les chiffres hebdomadaires du 28 octobre au 3 novembre font état de six signalements de portefeuilles crypto compromis sur iOS, contre quatre la semaine précédente. Les pertes s’élèvent à environ 127 000 dollars, contre environ 434 000 dollars la semaine d’avant. Plusieurs victimes utilisaient Trust Wallet, une utilisait Uniswap Wallet, et la plupart se trouvaient en Russie, en Ukraine et au Kazakhstan.

SEAL cite la société d’analyse du réseau Censys, selon laquelle DarkSword et Coruna sont utilisés contre des applications de portefeuille. Son rapport ne mentionne pas TRON : il atteste l’existence de vols de portefeuilles sur iPhone cet automne, pas le lien entre les kits et les 4,06 millions de dollars de Bitquery.

Trust Wallet : pas de faille dans l’application, selon Bitquery

Le nom de Trust Wallet circule sur X avec un chiffre de 1,1 million de dollars de pertes qu’aucune source de cette affaire ne confirme. Bitquery a constaté que trois des 71 portefeuilles vidés qu’il a examinés sur Ethereum, BNB Chain et Base avaient activé la fonction de compte intelligent EIP-7702 de Trust Wallet, et qu’un autre était lié au contrat de MetaMask. Sa conclusion sur l’application tient en une phrase : « We found no evidence of a flaw in the Trust Wallet app » (nous n’avons trouvé aucune preuve de faille dans l’application Trust Wallet). Trust Wallet n’avait fait aucune déclaration publique au 5 novembre, note Bitquery.

L’entreprise a publié sa propre alerte le 6 novembre. À propos de Coruna et DarkSword, Trust Wallet écrit : « Apple has already fixed the flaws they use, so devices on the latest iOS version aren’t affected by them » (Apple a déjà corrigé les failles qu’ils utilisent, les appareils sous la dernière version d’iOS ne sont donc pas touchés). Elle ne cite ni versions d’iOS ni numéros de CVE, et rappelle qu’elle ne demandera jamais la phrase de récupération. Quiconque constate une activité inhabituelle est invité à contacter le support avec l’adresse du portefeuille et l’identifiant de la transaction.

Comment sécuriser son portefeuille crypto sur iPhone dès maintenant

Les gestes ci-dessous viennent de Google, d’iVerify, de Trust Wallet et de Bitquery. Aucun n’exige de service payant.

1. Mettre l’iPhone à jour vers la dernière version d’iOS qu’il peut installer. Selon Google, toutes les failles de DarkSword étaient corrigées dans iOS 26.3 ; les modèles plus anciens reçoivent iOS 18.7.7 ou une version ultérieure. Apple a publié des versions plus récentes le 26 octobre.
2. Si le téléphone ne peut pas être mis à jour, activer le mode Isolement (Lockdown Mode), que Google et Trust Wallet suggèrent tous deux. iVerify le recommande aux personnes qui détiennent des sommes importantes.
3. Garder la phrase de récupération hors des photos, des captures d’écran, des notes et des sauvegardes dans le cloud. Ce sont les fichiers que fouillent les implants.
4. Éviter les sites inconnus et ne pas toucher les publicités douteuses, la voie décrite par l’unique victime connue.
5. Si l’on pense que le téléphone est compromis, transférer aussitôt les fonds vers un nouveau portefeuille doté d’une nouvelle phrase de récupération, créé sur un appareil sain, et vérifier toutes les blockchains : une seule phrase les ouvre toutes.
6. iVerify conseille aussi de lancer une analyse avec son application gratuite iVerify Basic, de redémarrer le téléphone et de changer les mots de passe stockés dans le trousseau.

Les détenteurs de sommes importantes peuvent aussi garder les clés totalement hors du téléphone. Un portefeuille matériel signe les transactions sur un appareil distinct : un logiciel malveillant installé sur l’iPhone ne peut pas lire les mots de récupération. Notre guide pas à pas pour configurer un portefeuille matériel explique comment faire.

Peut-on récupérer des USDT volés ?

Parfois, et seulement si Tether agit avant que les fonds ne repartent. Tether peut geler les USDT détenus à une adresse donnée, et l’a fait pour 32 autres adresses TRON fin octobre, comme nous l’avons relaté le 29 octobre. Rien ne relie ce gel à la présente affaire. Aucune source consultée ne montre de gel, de CVE ni de déclaration d’Apple liés aux 43 collecteurs.

Les victimes peuvent signaler le vol à Tether et à chaque plateforme que les fonds ont atteinte, avec les identifiants des transactions. Les offres de « récupération » payante qui surgissent après un vol public sont à ignorer.

Questions ouvertes : l’exploit, les applications et les versions d’iOS

Quel exploit, quelles applications de portefeuille et quelles versions d’iOS sont en cause dans les vols sur TRON : on l’ignore. Une seule victime est rattachée à un iPhone. Que les 43 collecteurs appartiennent à un même groupe n’est pas démontré. Le chiffre de 7,88 millions de dollars attribué à cpa.rip n’est pas vérifié, TON n’a pas été mesuré, et environ 175 000 dollars versés via NEAR Intents restent sans source retracée.

Les prochains faits utiles viendront des victimes. Chaque nouveau vol qu’on pourra rapprocher d’un appareil et d’une version d’iOS mettra la piste iPhone à l’épreuve, cas par cas, et tout gel de Tether sur le portefeuille de frais ou sur le plus gros collecteur apparaîtrait sur Tronscan le jour même.