Un piratage par vagues successives
Entre le 15 et le 20 septembre 2026, 6 678 portefeuilles XRP ont été vidés de près de 20 millions de dollars au cours de six vagues d'attaques distinctes. L'ampleur du vol, répartie sur des milliers de détenteurs individuels plutôt que concentrée sur une seule cible, indique une compromission au niveau des portefeuilles et non une faille du protocole XRP Ledger lui-même.
Les victimes détenaient des soldes modestes, avec une moyenne de quelques milliers de dollars par portefeuille touché. Cette dispersion contraste avec les piratages habituels de 2026, qui ciblent généralement les protocoles DeFi ou les plateformes centralisées détenant des montants agrégés. Ici, l'attaquant a privilégié le volume de portefeuilles compromis plutôt que la taille individuelle des prises.
Le portefeuille DCENT App au cœur de la brèche
L'ensemble des portefeuilles affectés utilisaient DCENT App Wallet, un portefeuille mobile non custodial. Aucune faille n'a été identifiée sur le XRP Ledger, ce qui écarte une vulnérabilité protocolaire. L'hypothèse privilégiée par les analystes de sécurité pointe vers une compromission des phrases de récupération (seed phrases) stockées ou générées par les utilisateurs.
Une phrase de récupération compromise est définitivement inutilisable, même après transfert des fonds vers une nouvelle adresse. Les recommandations post-attaque insistent sur la génération d'une nouvelle phrase sur un appareil de confiance, et sur l'abandon complet de l'ancienne phrase, considérée comme « brûlée ».
Aucune attribution à ce stade
Au 23 septembre 2026, date de publication de l'analyse technique, aucun groupe ou individu n'avait revendiqué l'attaque. Les fonds volés en XRP n'ont pas encore été retracés sur les principales plateformes d'échange, ce qui suggère une phase de latence avant toute tentative de conversion. Les attaquants pourraient utiliser des mixers ou attendre plusieurs mois avant de liquider les positions XRP dérobées.
Cette absence de mouvement immédiat des fonds XRP contraste avec les piratages opportunistes, où les voleurs tentent généralement de convertir rapidement leurs gains en stablecoins ou en actifs moins traçables. Le délai observé peut indiquer une opération planifiée avec une stratégie de sortie élaborée. Les 20 millions de dollars en XRP restent pour l'instant figés dans des adresses non identifiées.
Les piratages de portefeuilles dominent 2026
L'année 2026 se distingue par un basculement des vecteurs d'attaque. Les exploits de smart contracts, qui dominaient les statistiques en 2025, ont cédé la place aux compromissions de clés privées et de phrases de récupération. Les montants volés via des vulnérabilités protocolaires ont chuté de 68 pour cent par rapport à l'année précédente, tandis que les vols liés à une mauvaise gestion des secrets cryptographiques ont triplé.
Cette évolution reflète la maturation des audits de sécurité sur les protocoles DeFi, mais expose la fragilité persistante de la self-custody côté utilisateur. Les attaquants privilégient désormais les cibles humaines (hameçonnage, ingénierie sociale, logiciels malveillants) plutôt que les failles techniques pures.
Une moyenne de 3 000 dollars par victime
Le montant moyen volé par portefeuille XRP s'établit à environ 3 000 dollars, ce qui place les victimes dans la catégorie des petits détenteurs plutôt que des baleines ou des investisseurs institutionnels. Cette distribution suggère que l'attaque a ciblé une cohorte d'utilisateurs partageant un comportement commun, probablement lié à l'installation ou à la configuration du portefeuille DCENT.
Les hypothèses incluent une version compromise de l'application téléchargée via un canal non officiel, une campagne de phishing ayant collecté les phrases de récupération, ou une vulnérabilité dans le processus de génération des clés à une date précise. L'enquête en cours devra déterminer si les portefeuilles XRP ont été créés durant une fenêtre temporelle spécifique ou s'ils partagent une autre caractéristique commune.
La communauté XRP a rapidement relayé les alertes sur les réseaux sociaux, incitant les détenteurs utilisant DCENT App à vérifier l'intégrité de leurs portefeuilles. Les développeurs du XRP Ledger ont confirmé que le réseau lui-même n'était pas compromis et que les transactions frauduleuses respectaient le protocole standard, rendant impossible toute annulation ou gel des fonds volés sans accès aux clés privées.