Compromission du Hot Wallet de Duelbits

Le 24 septembre 2026, Duelbits — une plateforme de casino crypto et de paris sportifs — a été vidée d'environ 7 millions de dollars de ses hot wallets dans ce que les enquêteurs ont décrit comme une compromission de clé privée présumée, forçant le site hors ligne.

Ce qui s'est passé

Le moniteur on-chain Scam Sniffer a d'abord signalé une vague de sorties non autorisées couvrant Ethereum, BNB Chain, Tron, Bitcoin et Solana. En quelques minutes, les attaquants ont déplacé 836 ETH, environ 593 000 USDT, 97 000 USDC, 31 500 DAI et 12,4 milliards de SHIB hors des hot wallets de Duelbits côté Ethereum, ainsi qu'environ 8,1 BTC d'un hot wallet Bitcoin. Une fois comptabilisées les sorties des portefeuilles Bitcoin et Solana, les pertes totales sont montées vers 7 millions de dollars. Le balayage propre et simultané à travers des chaînes sans lien entre elles pointait vers des clés privées fuitées ou volées plutôt que vers un unique bug de contrat intelligent. La majeure partie des actifs volés a ensuite été échangée contre de l'ether et consolidée dans une seule adresse détenant environ 2 234 ETH — d'une valeur d'environ 6 millions de dollars — restée immobile par la suite.

Conséquences

Duelbits a mis son site hors ligne et le cofondateur « Joe » a confirmé la perte d'environ 7 millions de dollars sur X, déclarant que les services étaient suspendus jusqu'à la fin de l'enquête et le réapprovisionnement du hot wallet, tout en insistant sur le fait que les soldes des utilisateurs étaient en sécurité. Fin septembre 2026, les fonds volés, bien que consolidés et toujours visibles on-chain, n'avaient pas été récupérés, d'où le statut stolen ici.

Pourquoi c'est important

Les hot wallets sont un compromis permanent : les mêmes clés qui permettent à une plateforme de régler des paris instantanément peuvent la vider instantanément si elles fuient. Le balayage multichaîne quasi simultané est la signature d'une compromission de clés, faisant écho à l'intrusion dans le backend de Bitget de la même semaine, où des autorisations falsifiées — et non une faille de code — ont déplacé l'argent. Les opérateurs dépositaires ont besoin d'une isolation des clés adossée au matériel, de limites de taux de retrait et d'une détection d'anomalies qui se déclenche avant qu'un balayage complet ne s'achève, pas après.