# Chute de YGG : hack, 6,6 millions de comptes et risques du torrent


# Chute de YGG (YggTorrent) : hack, fuite de 6,6 millions de comptes et vrais risques du torrent illégal

La **chute de YGG**, ex-YggTorrent, restera comme l'événement le plus marquant de l'histoire du peer-to-peer francophone. Dans la nuit du 3 au 4 mars 2026, le plus gros tracker torrent français a été compromis, ses données détruites et l'intégralité de ses coulisses techniques et financières exposées : code source, base de **6,6 millions d'utilisateurs**, flux financiers et méthodes de blanchiment.

Qui peut se vanter de ne jamais avoir téléchargé illégalement ? Sites de téléchargement direct, streaming, plateformes peer-to-peer : nous l'avons tous fait. Les plus actifs ont peut-être reçu une lettre de la Hadopi, puis de l'Arcom, rarement prise au sérieux. Pourtant, le hack de YGG démontre que des menaces bien plus préoccupantes pèsent sur les utilisateurs de ces services, et en particulier sur ceux du torrent.

Cet article propose une autopsie complète de la chute de YGG : l'histoire du tracker, sa dérive mercantile, la faille technique exploitée, l'empire financier et le blanchiment, la surveillance des utilisateurs, puis les risques concrets que fait peser le torrent illégal sur votre anonymat, vos données bancaires et votre sécurité.

{{< admonition abstract "En bref" >}}
- **YggTorrent** naît en juin 2017 après la fermeture de T411 et atteint plus de **6 millions de membres** en 2024.
- **Nuit du 3 au 4 mars 2026** : compromission par l'acteur Gr0lum, destruction des données et exfiltration complète. Fermeture définitive annoncée le 4 mars.
- **Faille** : un port Sphinx (9306) accessible depuis Internet sans authentification, sans zero-day ni ingénierie sociale.
- **Finances** : 5 à 8,5 millions d'euros générés, 36 sites façades, plugin « CardsShield », mixage via Tornado Cash.
- **Surveillance** : un script dissimulé scannait les wallets MetaMask et Phantom des visiteurs.
- **Leçon** : anonymat illusoire, vol de cartes bancaires, fuites de données. Tout à perdre.
{{< /admonition >}}

{{< youtube ffSi4xxa_vo >}}

## Qu'est-ce que YGG (YggTorrent) ?

**Juin 2017.** Après la fermeture de T411 par les autorités, un vide immense est laissé pour des millions d'utilisateurs francophones. YggTorrent, devenu par la suite Ygg, s'impose alors comme une entité commerciale d'une envergure inédite dans le paysage du peer-to-peer francophone :

- jusqu'à **plus de 6 millions de membres** relevés courant 2024 ;
- **35e site web le plus visité en France** au 1er janvier 2020 ;
- une lutte régulière contre la censure, à coups de nouveaux noms de domaine.

Un tracker privé comme YGG ne stocke pas les fichiers : il indexe des torrents, met en relation les membres qui partagent (les « seeders ») et ceux qui téléchargent, et impose des règles de ratio pour encourager le partage. C'est ce modèle communautaire qui va être progressivement trahi.

## Chronologie de la chute de YGG

Neuf ans après son lancement, un événement va précipiter la fin de cet empire. Dans la nuit du **3 au 4 mars 2026**, la plateforme est compromise par l'acteur connu sous le pseudonyme de **Gr0lum**. Le point de rupture est définitif, non seulement par la **destruction des données**, mais surtout par l'exfiltration d'un dossier documentaire sans précédent révélant les coulisses techniques et financières de l'organisation.

Tout est dehors : le code source, les bases de données et leurs 6,6 millions d'utilisateurs, les secrets financiers. La fermeture définitive est annoncée le 4 mars. Les administrateurs ne peuvent plus nier la faille.

## La dérive mercantile : le point de rupture

L'abonnement **« Turbo »**, lancé en décembre 2025 à **14,99 € par mois**, marque le tournant financier. Vente de crédits d'upload, suppression des règles de ratio, moins de restrictions : l'idéal du partage gratuit est officiellement mort, et le tracker n'a plus rien à voir avec l'état d'esprit du P2P.

Le dossier exfiltré révèle d'autres pratiques :

- **Une discrimination technique codée en dur** : l'API (Express.js) ciblait les identifiants supérieurs à 1 000 000, c'est-à-dire les nouveaux inscrits, avec une limite de 5 téléchargements par jour et un timer de 30 secondes avant l'affichage du lien.
- **L'élite épargnée** : les rangs « Staff » (1, 2, 3) étaient totalement exemptés de ces bridages.

Une structure de classes qui cassait l'idéologie même du P2P. La goutte de trop, et probablement l'une des motivations de l'attaquant.

## Autopsie technique : le hack du port 9306

Le hack s'avère étonnamment simple comparé à l'image de forteresse que l'on pourrait avoir. Il a réussi grâce à l'accumulation de mauvaises pratiques de sécurité : pas d'ingénierie sociale, pas de zero-day, juste une énorme porte laissée ouverte.

**Sphinx** est un moteur de recherche performant, utilisé par YGG pour indexer plus de **280 000 torrents**. Il communique avec MySQL sur un port bien particulier, le **9306**, via le protocole SphinxQL. Ce port était **public**, accessible par tout le monde depuis Internet, **sans authentification**.

{{< admonition failure "La chaîne d'exploitation" >}}
1. **Scan réseau** : le port 9306 (Sphinx) répond depuis Internet.
2. **SphinxQL, la porte ouverte** : aucune authentification, l'attaquant dialogue librement avec le moteur.
3. **Lecture de fichiers** : une fonction de lecture permet d'extraire le fichier contenant les identifiants de la base de données, les fichiers de configuration décrivant l'infrastructure, et les clés d'API des services de paiement.
4. **Accès à l'intégralité des 6,6 millions de comptes**, puis destruction.
{{< /admonition >}}

Le bilan côté mots de passe est lui aussi préoccupant : des millions de hachés en SHA-512, mais aussi une partie en **MD5 sans sel**, un format obsolète et vulnérable aux attaques par dictionnaire. Un service exposé sans authentification est exactement le type d'actif qu'un [test d'intrusion externe](https://trackflaw.com/services) ou une surveillance continue de la surface d'attaque détecte en quelques minutes.

## L'empire financier et le blanchiment

Le chiffre d'affaires est colossal : entre **5 et 8,5 millions d'euros** générés sur la durée de vie du site. Pour dissimuler ces flux, une véritable infrastructure de blanchiment avait été mise en place :

- **Un commerce électronique fictif** : une architecture de **36 sites « façades »** pour encaisser les cartes bancaires via PayPal et Stripe sans se faire bannir.
- **Le plugin « CardsShield »** : sur son relevé de compte, le client voyait le nom d'une entreprise « légitime », et non YGG.

Une fois récupéré, l'argent était converti en cryptomonnaie pour limiter la traçabilité. Mais la blockchain conserve des traces, d'où l'utilisation d'un pot commun et du mixage via **Tornado Cash**, pour couper les liens entre les paiements et les portefeuilles des administrateurs. Preuve irréfutable : des notes de dépôt Tornado Cash ont été retrouvées sur les serveurs de pré-production de l'administrateur « Destroy ». Les fonds servaient ensuite aux dépenses opérationnelles, serveurs et noms de domaine.

{{< admonition warning "Soupçons de vol de cartes bancaires" >}}
Le hacker fait aussi remonter des suspicions de vol de cartes bancaires : les informations de la carte étaient relayées lors du paiement vers le prestataire **à travers des serveurs internes**, sans aucune logique technique. Combiné aux témoignages d'utilisateurs victimes de fraudes bancaires, le tableau est préoccupant.
{{< /admonition >}}

## Surveillance des utilisateurs et coulisses du pouvoir

YGG avait mis en place un système de **surveillance des portefeuilles crypto** de ses visiteurs : un script `sci.js` présent sur le site frontal, dissimulé sous le nom `ImageCarouselManager`. Il scannait la présence de portefeuilles **MetaMask** ou **Phantom** dans le navigateur, puis exfiltrait l'adresse IP et le type de wallet dans un dossier `divers/web3_stats`. Objectif : profiler les utilisateurs pour du phishing, ou adapter les tarifs à la personne. Un mépris total de la vie privée des membres.

L'organigramme, lui, est bien identifiable :

- **Oracle** : le cerveau technique, invisible et déconnecté du staff.
- **YggFlop (Vlad)** : l'exécuteur, qui gère l'argent, le recrutement et les directives techniques via Telegram.

Le paradoxe de la plateforme tient dans l'exploitation des bénévoles : cinq modérateurs (dont Bar666 et Macha64) ont réalisé **73 % du travail**, soit 1,3 million d'actions, sans toucher un centime des profits. Et quiconque posait trop de questions était exclu.

## Les vrais risques du torrent illégal pour les utilisateurs

Pourquoi le hack de YGG est-il une excellente raison de ne plus utiliser de plateformes P2P obscures ?

1. **L'anonymat est illusoire.** La fuite montre que la majorité du staff n'était pas précautionneuse : pas de VPN, tous localisés en France via des fournisseurs comme Free et Orange. Les membres, eux, figurent dans une base de 6,6 millions de comptes avec emails et adresses IP. Seul Oracle, l'administrateur, affichait une opsec parfaite, 100 % VPN, ce qui empêche de confirmer sa localisation présumée au Maroc.
2. **Vos données bancaires transitent par des mains inconnues.** Les soupçons de vol de cartes et les témoignages de fraudes en attestent.
3. **Vous êtes profilé.** Le script de détection de wallets montre que les administrateurs n'hésitaient pas à espionner leurs propres membres.
4. **Vos données finissent sur le dark web.** Emails, mots de passe faiblement hachés et historiques de téléchargement deviennent des munitions pour le phishing et l'usurpation d'identité.

Bref, tout à perdre.

## Quel futur pour YGG ?

Le futur semble compromis. Les administrateurs ont répondu en tentant de doxer Gr0lum, sans être très convaincants. Les autorités se chargeront du reste, et il n'est pas envisagé de remonter la plateforme.

{{< admonition info "La leçon" >}}
La centralisation d'un tracker privé crée une cible trop juteuse, pour la cupidité comme pour les hackers. Des projets décentralisés comme U2P ou ygg.gratis proposent un partage sans administrateur central tout-puissant. Mais on ne le répètera jamais assez : la meilleure protection est de ne jamais avoir recours à ces plateformes, et de favoriser une voie légale et éthique.
{{< /admonition >}}

## Questions fréquentes sur le hack de YGG

### YGG est-il définitivement fermé ?

Oui. La fermeture définitive a été annoncée le 4 mars 2026, au lendemain de la compromission. Les administrateurs n'envisagent pas de remonter la plateforme.

### Mes données sont-elles dans la fuite YGG ?

Si vous possédiez un compte YggTorrent ou YGG, vos informations (email, mot de passe haché, adresse IP, historique) font partie des 6,6 millions d'enregistrements exfiltrés. Changez immédiatement tout mot de passe réutilisé ailleurs et activez la double authentification sur vos comptes sensibles.

### Comment YGG a-t-il été piraté ?

Par un port Sphinx (9306) exposé sur Internet sans authentification. L'attaquant a pu lire les fichiers de configuration, récupérer les identifiants de base de données et les clés d'API de paiement, puis accéder à l'ensemble des comptes.

### Utiliser un VPN suffit-il pour télécharger des torrents en sécurité ?

Un VPN masque votre adresse IP auprès des autres pairs, mais ne protège ni vos données de compte stockées par la plateforme, ni votre carte bancaire, ni votre navigateur contre des scripts de profilage. Le hack de YGG montre que le risque principal vient de la plateforme elle-même.

## À retenir

La chute de YGG n'est pas seulement la fin d'un site de téléchargement. C'est la démonstration qu'une plateforme illégale, par nature, ne répond à aucune obligation de sécurité ni de protection des données : ses utilisateurs sont à la fois sa ressource et ses victimes. Pour comprendre comment ce type d'exposition se détecte, découvrez notre approche de [surveillance continue de la surface d'attaque](https://flawfence.com).

## Sources

- YggLeak, [Le dossier Ygg](https://yggleak.top/fr/home/ygg-dossier)
- YggLeak, [À propos](https://yggleak.top/fr/a-propos)