Écoutez, en octobre 2026, les casinos crypto ont appris la même leçon deux fois en dix-neuf jours. Le 13 octobre, des attaquants ont vidé les hot wallets de Gamdom sur cinq chaînes en moins d'une heure.... Le 24 septembre, Duelbits a coupé après que ses propres hot wallets ont été siphonnés. Combinés, les deux incidents ont coûté entre 7 et 11 millions de dollars selon les chiffres auxquels on se fie..... Les deux opérateurs ont prononcé les mêmes quatre mots : les fonds des utilisateurs sont en sécurité... Aucun n'a publié de post-mortem.
Les chiffres phares importent moins que le schéma. Il ne s'agissait pas d'exploits de smart contracts ni de bugs de protocole astucieux.... C'étaient des attaques contre la plomberie ennuyeuse que chaque casino crypto fait tourner pour rendre les retraits instantanés possibles..... Si vous gardez un solde dans n'importe quel casino crypto offshore, cette plomberie est ce qui se dresse entre votre argent et le portefeuille de quelqu'un d'autre.
Ce qui s'est passé dans le hack de Gamdom
Le siphonnage a commencé vers 15h50 UTC le 13 octobre. En environ une heure, les hot wallets de Gamdom sur Ethereum, Solana, BNB Chain, Tron et le XRP Ledger ont chacun envoyé un gros paiement à une seule adresse d'attaquant sur cette chaîne. Le premier post public de Gamdom, à 18h45 UTC, décrivait le site comme hors ligne et promettait un retour rapide.
L'explication est arrivée le lendemain... Le personnel enquêtant sur ce qui ressemblait à une panne de disque serveur a trouvé une connexion non autorisée sur un serveur d'automatisation, la machine qui signe et pousse les retraits sans intervention humaine. Le fondateur Felix Römer a confirmé une brèche du système de hot wallet, a déclaré que le siphonnage avait été arrêté et que les actifs restants avaient été déplacés vers le stockage à froid. Son chiffre de perte : un peu plus de 3 M$.... Même ainsi, l'enquêteur on-chain vxdb en a compté plus. Selon ce décompte, l'attaquant est parti avec 4,208 millions de dollars
| Réseau | Montant estimé siphonné |
|---|---|
| Chaînes EVM (Ethereum, BNB Chain, Polygon, Arbitrum, Optimism) | Environ 2,2 millions de dollars |
| Solana | Environ 965 000 $ |
| Bitcoin | Environ 668 000 $ |
| Tron | Environ 375 000 $ |
| Total (estimation vxdb) | 4,208 millions de dollars |
| Chiffre de Gamdom | Un peu plus de 3 millions de dollars |
L'écart de 1,2 million de dollars n'a pas été expliqué. Les transferts internes entre les propres wallets d'un opérateur peuvent gonfler les estimations externes, donc vxdb peut surestimer... Gamdom peut aussi sous-estimer. Sans une ventilation publiée par le casino, personne en dehors de l'entreprise ne peut dire lequel.
Gamdom a relancé le 16 octobre à 12h34 UTC, après plus de deux jours hors ligne. Il est revenu avec un classement quotidien de 45 000 $, un bonus de dépôt de 20 % pour les utilisateurs existants et une deuxième compétition de semaine de relance. C'est une façon très casino de s'excuser. Demander aux gens de déposer plus.
L'attaquant a échangé des stablecoins en DAI, et cela vous dit quelque chose
Le détail le plus intéressant dans la trace on-chain n'est pas la taille du vol. C'est ce qui s'est passé dans les premières minutes. Un nouveau wallet Ethereum a collecté environ 1,2 million de dollars depuis trois des hot wallets et a immédiatement échangé les USDT et USDC en DAI.... Un deuxième wallet, qui a aussi reçu le paiement BNB Chain, a rassemblé environ 870 000 $ en DAI, dont une grande partie via un bridge.
Franchement, cet échange est délibéré..... Tether et Circle peuvent geler les USDT et USDC au niveau du contrat, et les deux l'ont déjà fait pour des fonds hackés.. Le DAI n'a pas d'émetteur avec un bouton de gel. Au début du 14 octobre, les deux wallets détenaient environ 2 millions de dollars, et environ 1,8 million de dollars en DAI plus 87 ETH n'ont quasiment pas bougé depuis.. Les destinataires Tron et XRP se sont comportés différemment, transférant les fonds en 80 minutes. Naturellement, la leçon pour les joueurs : la fonction de gel des stablecoins que les casinos et les régulateurs aiment citer comme filet de sécurité ne fonctionne que si quelqu'un appuie dessus dans les premières minutes... Un attaquant compétent convertit avant que quiconque chez Tether ait lu l'alerte.
Ce qui s'est passé dans le hack de Duelbits
Duelbits était déjà passé par là. Le 24 septembre, des chercheurs en sécurité ont signalé des sorties suspectes de ses hot wallets sur Ethereum, BNB Chain et Tron. Les premières estimations chiffraient les pertes à 4,2 millions de dollars. Une analyse ultérieure ajoutant l'activité Bitcoin et Solana a porté le chiffre à environ 5,9 millions de dollars. Le cofondateur Joe l'a estimé à environ 7 millions de dollars, ce qui est plus élevé que toute estimation externe.
SlowMist a classé la cause racine comme une compromission de clé privée de hot wallet plutôt qu'un bug de protocole.. Duelbits a mis le site hors ligne, a déclaré que les fonds des utilisateurs étaient en sécurité et a relancé le 27 septembre avec les dépôts et retraits de nouveau actifs. La déclaration de relance revendiquait environ 8 millions de dollars répartis entre hot et cold wallets. Le 8 octobre, l'opérateur offrait publiquement une prime au détenteur présumé des fonds pour les restituer.
Ce n'était pas la première fois pour Duelbits. En février 2024, CertiK a rapporté qu'environ 4,6 millions de dollars avaient été pris des hot wallets du même casino.... Deux siphonnages de taille similaire en moins de trois ans, ce n'est pas de la malchance.. c'est un problème d'architecture.
Comment les hacks de casinos de 2026 se comparent aux précédents
La recherche de CryptoCasino.Vegas a compilé les principaux incidents de hot wallet publiquement rapportés dans les casinos crypto et leurs processeurs de paiement en une seule vue. , Les chiffres utilisent la fourchette entre les déclarations des opérateurs et les estimations on-chain lorsqu'elles divergent. Regardez,| Plateforme | Date | Perte rapportée | Type d'attaque | Temps d'arrêt |
|---|---|---|---|---|
| Stake | Septembre 2023 | Environ 41 millions de dollars | Clés de hot wallet, attribuées par le FBI au groupe Lazarus de Corée du Nord | Heures (retraits suspendus) |
| Duelbits | Février 2024 | Environ 4,6 millions de dollars | Compromission de hot wallet | Non détaillé publiquement |
| Duelbits | 24 septembre 2026 | 4,2 à 7 millions de dollars | Compromission présumée de clé privée | Environ 3 jours |
| Gamdom | 13 octobre 2026 | 3 à 4,2 millions de dollars | Accès non autorisé au serveur d'automatisation des retraits | Environ 2 jours |
Le marché au sens large n'est pas rassurant. TRM Labs a compté 207 incidents de vol crypto d'une valeur de 972 millions de dollars au premier semestre 2026, et a constaté que les compromissions d'infrastructure et opérationnelles représentaient environ 76 % des fonds volés. CertiK a rapporté des pertes de 1,28 milliard de dollars au T3 2026, en hausse de 56,2 % par rapport au trimestre précédent, avec 773,4 millions de dollars perdus en septembre seulement. Les casinos ne sont qu'une classe d'opérateurs de plus faisant tourner de grands wallets toujours en ligne.
Vos fonds sont-ils en sécurité si un casino crypto est hacké ?
« Les fonds des utilisateurs sont en sécurité » signifie quelque chose de plus étroit que ce que ça sonne. Les soldes des joueurs dans un casino dépositaire sont une entrée de base de données. Les pièces derrière eux se trouvent dans les wallets de l'opérateur, mélangées. Quand un hot wallet est siphonné, le solde d'aucun joueur individuel ne change. L'opérateur absorbe le trou depuis son propre trésor et continue d'honorer les retraits, à condition qu'il le puisse.
Franchement, cette condition est toute l'histoire. Un casino avec de profondes réserves à froid peut encaisser une perte de 4 millions de dollars et continuer. Un opérateur plus mince pourrait discrètement ralentir les retraits pendant des mois pendant qu'il reconstruit sa liquidité. De l'extérieur, les deux se ressemblent jusqu'à ce que vous essayiez d'encaisser..... Les trackers de wallets ont enregistré environ 10,5 millions de dollars dans les hot wallets surveillés de Gamdom le 12 octobre et environ 76 000 $ le lendemain. Cela ne prouve pas la taille du vol, mais cela montre combien peut reposer en stockage chaud chez un grand opérateur un jour ordinaire.
Et le temps d'arrêt est un coût réel même quand rien n'est perdu........ Pendant deux à trois jours, les joueurs des deux casinos ne pouvaient rien retirer.... Si vous aviez un gros solde et une raison de le déplacer, cette fenêtre ne vous appartenait pas.
Ce que les joueurs de casinos crypto doivent faire maintenant
Traitez un solde de casino comme temporaire.. Le solde de casino crypto le plus sûr est celui que vous avez retiré après votre session. Les hot wallets existent pour que les paiements soient rapides. Utilisez cette rapidité.
Observez comment les opérateurs parlent après un incident. Un post-mortem publié, des adresses de réserve et un chiffre de perte clair sont de bons signes. Un bonus de relance sans explication technique ne l'est pas.
Demandez une preuve de réserves avant de garer du volume.... Très peu de casinos crypto publient des adresses de wallet ou des instantanés de solde.... Ceux qui le font vous donnent quelque chose à vérifier. Les autres vous donnent une promesse.
Ne comptez pas sur les gels de stablecoins. L'attaquant de Gamdom était en DAI en quelques minutes. Les stablecoins gelables protègent davantage les émetteurs que vous. De plus, les retraits automatisés nécessitent un hot wallet par définition.... CryptoCasino.Vegas propose aussi des paiements automatisés instantanés, et c'est exactement pourquoi la question utile pour tout opérateur n'est pas de savoir si un hot wallet existe.... Mais combien peu y repose à un moment donné et à quelle vitesse l'automatisation peut être coupée. Gamdom et Duelbits l'ont tous deux découvert à leurs dépens.... les joueurs ne devraient pas avoir à le découvrir de la même façon.
