L'un des plus grands vols de crypto-monnaie commis par une seule victime n'a pas nécessité de briser la cryptographie de Bitcoin. Des données volées, une histoire crédible et la coopération de la victime ont suffi à confisquer plus de 245 millions de dollars en monnaie virtuelle à un seul résident de Washington, DC, en août 2024.
Le 8 septembre 2026, Malone Lam, un ressortissant singapourien de 22 ans, a plaidé coupable à une accusation de complot de racket aux États-Unis.
Les procureurs affirment que l’entreprise qu’il a aidé à diriger a fonctionné d’octobre 2023 à mai 2025 au moins, piratant et achetant des bases de données de détenteurs de cryptomonnaies, puis analysant les données pour identifier des cibles de grande valeur. Dans certains cas, des membres sont entrés par effraction au domicile des victimes pour saisir les portefeuilles matériels.
Malone Lam, 22 ans, citoyen de Singapour et récent résident de Miami, a plaidé coupable aujourd'hui pour son rôle de chef de file d'un complot international de cybercriminalité qui a utilisé l'ingénierie sociale pour voler et blanchir une crypto-monnaie évaluée à plus de 245 millions de dollars,… pic.twitter.com/R8Nnz9a7n6
– Procureur américain DC (@USAO_DC) 8 septembre 2026
La fraude en tant que modèle économique
L'entreprise de Lam fonctionnait comme une entreprise organisée avec une hiérarchie claire et des rôles distincts. Les participants se sont spécialisés dans différents domaines et ont chacun exécuté une partie spécifique de l'opération.
Les pirates de bases de données ont piraté des sites Web et des serveurs, ou acheté des enregistrements volés sur le dark web, pour créer des listes de victimes potentielles. Les identifiants cibles ont ensuite passé au peigne fin les listes pour trouver les prospects les plus riches.
Dans une discussion de groupe citée dans l'acte d'accusation, Lam a offert au coaccusé Conor Flansburg environ 40 de ces bases de données organisées et volées. Flansburg a accepté d'envoyer à Lam et à un autre organisateur une réduction de 20 % sur tout vol supérieur à 10 millions de dollars, en répondant : « nous piratons, toute la journée, tous les jours ».
Une équipe distincte de blanchisseurs a converti les bénéfices en espèces, en virements électroniques et en biens. Aucun de ces rôles ne nécessitait de briser la cryptographie de Bitcoin, seulement des données sur qui détenait les actifs, comment les atteindre et comment rendre l'approche crédible.
Cette division du travail n’est pas propre au réseau de Lam. Une étude de 2026 de l’Initiative mondiale contre la criminalité transnationale organisée sur les centres d’appels frauduleux ukrainiens a décrit une structure similaire à l’échelle nationale : appelants, proches, équipes informatiques, ressources humaines, formateurs, personnel financier et administrateurs, chacun gérant un maillon de la chaîne.
Graphique tiré du rapport de l’Initiative mondiale contre la criminalité transnationale organisée.
Le problème n’est pas la géographie, mais le modèle opérationnel : l’ingénierie sociale est devenue une activité segmentée et dotée de personnel. Il n’est pas nécessaire de pirater directement un portefeuille si les attaquants peuvent identifier le propriétaire, constituer un profil convaincant et provoquer le transfert.
En 2025, Coinbase a déclaré que des criminels avaient soudoyé des agents d'assistance à l'étranger pour copier les noms, adresses, documents d'identification, historiques de transactions et instantanés de solde des clients.
La société a déclaré qu'aucun mot de passe ou clé privée n'avait été dévoilée et qu'elle rembourserait les clients trompés lors du transfert de fonds. Coinbase a déclaré que les données volées étaient destinées à rendre les tentatives d'usurpation d'identité ultérieures plus convaincantes.
L'entreprise de Lam, les centres d'appels ukrainiens et la faille Coinbase ont un point commun : aucune clé privée n'a été compromise.
Le point commun est que l’attaque a commencé en dehors de la couche cryptographique. Le point le plus faible n’était pas la chaîne, mais l’information entourant ses utilisateurs.
Les données client entrent dans le périmètre de garde
La protection par clé privée reste importante, mais elle ne couvre qu’une partie de la chaîne d’attaque. Un portefeuille matériel ne peut pas protéger un propriétaire dont l'identité, les coordonnées et les avoirs approximatifs ont déjà été rassemblés dans un profil cible. La cryptographie ne peut pas établir si une transaction a été autorisée librement, sous la tromperie ou sous une menace physique.
Les dossiers clients font désormais partie du problème de sécurité des actifs. Un instantané du solde, une adresse, un numéro de téléphone ou une note d'assistance peuvent aider les attaquants à choisir une cible et à rendre crédible une tentative d'usurpation d'identité.
Les bourses et les dépositaires doivent donc traiter l'accès aux données client davantage comme un accès aux clés opérationnelles : étroitement enregistré, étroitement autorisé et plus difficile à utiliser après un contact d'assistance non sollicité.
Les transferts à plus haut risque peuvent nécessiter des périodes de réflexion, une vérification supplémentaire ou une approbation partagée entre plusieurs personnes ; les configurations d’auto-garde sont confrontées à la même question si une seule personne identifiable peut déplacer tous les actifs en même temps.
L'entreprise de Lam fonctionnait sur une chaîne d'approvisionnement composée de pirates de bases de données, d'identifiants de cibles, d'appelants et de blanchisseurs, construite autour d'un simple partage des bénéfices.
Un tribunal fédéral de Washington, DC, devrait tenir une audience sur le statut de l'affaire le 8 décembre 2026, date à laquelle une date de détermination de la peine devrait être fixée. Cette audience sera le prochain moment où la machinerie derrière le vol de 245 millions de dollars reviendra à la vue du public.
L'un des plus grands vols de crypto-monnaie commis par une seule victime n'a pas nécessité de briser la cryptographie de Bitcoin. Des données volées, une histoire crédible et la coopération de la victime ont suffi à confisquer plus de 245 millions de dollars en monnaie virtuelle à un seul résident de Washington, DC, en août 2024.
Le 8 septembre 2026, Malone Lam, un ressortissant singapourien de 22 ans, a plaidé coupable à une accusation de complot de racket aux États-Unis.
Les procureurs affirment que l’entreprise qu’il a aidé à diriger a fonctionné d’octobre 2023 à mai 2025 au moins, piratant et achetant des bases de données de détenteurs de cryptomonnaies, puis analysant les données pour identifier des cibles de grande valeur. Dans certains cas, des membres sont entrés par effraction au domicile des victimes pour saisir les portefeuilles matériels.
Malone Lam, 22 ans, citoyen de Singapour et récent résident de Miami, a plaidé coupable aujourd'hui pour son rôle de chef de file d'un complot international de cybercriminalité qui a utilisé l'ingénierie sociale pour voler et blanchir une crypto-monnaie évaluée à plus de 245 millions de dollars,… pic.twitter.com/R8Nnz9a7n6
– Procureur américain DC (@USAO_DC) 8 septembre 2026
La fraude en tant que modèle économique
L'entreprise de Lam fonctionnait comme une entreprise organisée avec une hiérarchie claire et des rôles distincts. Les participants se sont spécialisés dans différents domaines et ont chacun exécuté une partie spécifique de l'opération.
Les pirates de bases de données ont piraté des sites Web et des serveurs, ou acheté des enregistrements volés sur le dark web, pour créer des listes de victimes potentielles. Les identifiants cibles ont ensuite passé au peigne fin les listes pour trouver les prospects les plus riches.
Dans une discussion de groupe citée dans l'acte d'accusation, Lam a offert au coaccusé Conor Flansburg environ 40 de ces bases de données organisées et volées. Flansburg a accepté d'envoyer à Lam et à un autre organisateur une réduction de 20 % sur tout vol supérieur à 10 millions de dollars, en répondant : « nous piratons, toute la journée, tous les jours ».
Une équipe distincte de blanchisseurs a converti les bénéfices en espèces, en virements électroniques et en biens. Aucun de ces rôles ne nécessitait de briser la cryptographie de Bitcoin, seulement des données sur qui détenait les actifs, comment les atteindre et comment rendre l'approche crédible.
Cette division du travail n’est pas propre au réseau de Lam. Une étude de 2026 de l’Initiative mondiale contre la criminalité transnationale organisée sur les centres d’appels frauduleux ukrainiens a décrit une structure similaire à l’échelle nationale : appelants, proches, équipes informatiques, ressources humaines, formateurs, personnel financier et administrateurs, chacun gérant un maillon de la chaîne.
Graphique tiré du rapport de l’Initiative mondiale contre la criminalité transnationale organisée.
Le problème n’est pas la géographie, mais le modèle opérationnel : l’ingénierie sociale est devenue une activité segmentée et dotée de personnel. Il n’est pas nécessaire de pirater directement un portefeuille si les attaquants peuvent identifier le propriétaire, constituer un profil convaincant et provoquer le transfert.
En 2025, Coinbase a déclaré que des criminels avaient soudoyé des agents d'assistance à l'étranger pour copier les noms, adresses, documents d'identification, historiques de transactions et instantanés de solde des clients.
La société a déclaré qu'aucun mot de passe ou clé privée n'avait été dévoilée et qu'elle rembourserait les clients trompés lors du transfert de fonds. Coinbase a déclaré que les données volées étaient destinées à rendre les tentatives d'usurpation d'identité ultérieures plus convaincantes.
L'entreprise de Lam, les centres d'appels ukrainiens et la faille Coinbase ont un point commun : aucune clé privée n'a été compromise.
Le point commun est que l’attaque a commencé en dehors de la couche cryptographique. Le point le plus faible n’était pas la chaîne, mais l’information entourant ses utilisateurs.
Les données client entrent dans le périmètre de garde
La protection par clé privée reste importante, mais elle ne couvre qu’une partie de la chaîne d’attaque. Un portefeuille matériel ne peut pas protéger un propriétaire dont l'identité, les coordonnées et les avoirs approximatifs ont déjà été rassemblés dans un profil cible. La cryptographie ne peut pas établir si une transaction a été autorisée librement, sous la tromperie ou sous une menace physique.
Les dossiers clients font désormais partie du problème de sécurité des actifs. Un instantané du solde, une adresse, un numéro de téléphone ou une note d'assistance peuvent aider les attaquants à choisir une cible et à rendre crédible une tentative d'usurpation d'identité.
Les bourses et les dépositaires doivent donc traiter l'accès aux données client davantage comme un accès aux clés opérationnelles : étroitement enregistré, étroitement autorisé et plus difficile à utiliser après un contact d'assistance non sollicité.
Les transferts à plus haut risque peuvent nécessiter des périodes de réflexion, une vérification supplémentaire ou une approbation partagée entre plusieurs personnes ; les configurations d’auto-garde sont confrontées à la même question si une seule personne identifiable peut déplacer tous les actifs en même temps.
L'entreprise de Lam fonctionnait sur une chaîne d'approvisionnement composée de pirates de bases de données, d'identifiants de cibles, d'appelants et de blanchisseurs, construite autour d'un simple partage des bénéfices.
Un tribunal fédéral de Washington, DC, devrait tenir une audience sur le statut de l'affaire le 8 décembre 2026, date à laquelle une date de détermination de la peine devrait être fixée. Cette audience sera le prochain moment où la machinerie derrière le vol de 245 millions de dollars reviendra à la vue du public.