YGGTorrent… c'est fini. Un des plus gros trackers francophones vient de fermer ses portes, ou plutôt de se faire démonter de l'intérieur. Le 4 mars 2026 marque la fin des téléchargements depuis ce site, et contrairement à ce que l'on pourrait penser, ce n'est pas le F.B.I. ou son équivalent français qui a eu raison de la plateforme, mais une offensive ciblée menée par un unique « hacker », sous le pseudonyme de Gr0lum. Et vous verrez que ce Gr0lum ressemble plus à un Balrog qu'à un hobbit qui aurait passé trop d'années au fond d'une mine humide. Ce dernier a d'ailleurs publié un dossier exhaustif (et complet AF), intitulé « YGGtorrent – Fin de partie », exposant les dérives structurelles et financières du site.
🕹️ Ce qu'il faut retenir :
• YGGTorrent, le plus grand tracker torrent francophone avec 6,6 millions de comptes, a été définitivement fermé le 4 mars 2026 suite à une intrusion menée par un unique hacker sous le pseudonyme Gr0lum.
• Derrière la façade communautaire se cachait une machine à cash générant jusqu'à 490 000 €/mois, avec des pratiques de surveillance des utilisateurs, de manipulation du protocole BitTorrent et de blanchiment via des cryptomonnaies.
• Les données de 6,6 millions d'utilisateurs (emails, adresses IP, historiques de téléchargement) sont désormais dans la nature : changez immédiatement vos mots de passe sur tous les services où vous utilisez les mêmes identifiants.
Genèse et Nature de l'Infrastructure
Un empire bâti sur les cendres de T411
Fondé sur les cendres de T411, YGGtorrent s'était imposé comme un tracker BitTorrent communautaire regroupant plus de 6,6 millions de comptes et un catalogue dépassant le million de fichiers. Derrière cette façade de « communauté solidaire », le dossier YGGLeak révèle une infrastructure centralisée et lucrative, dont les revenus mensuels ont atteint près de 490 000 euros au début de l'année 2026. Ne frottez pas vos yeux, vous avez bien lu.
« Près de 10 millions d'euros de recettes pour 2024-2025 ne vous ont pas suffi. Vous avez imposé votre mode Turbo de merde pour racketter quiconque voulait télécharger plus de cinq fichiers par jour. » — Gr0lum
Le Processus de l'Effondrement
Une intrusion d'une simplicité consternante
La chute de la plateforme s'est articulée autour d'une intrusion technique d'une simplicité critique, découpée en plusieurs étapes :
- Identification par empreinte numérique : Gr0lum a utilisé le favicon (l'icône du site) pour identifier, via le moteur de recherche Shodan, un serveur de pré-production Windows non sécurisé.
- Failles de sécurité élémentaires : Ce serveur de test présentait un pare-feu désactivé et l'absence totale d'antivirus. Le mot de passe administrateur était stocké en clair dans un fichier d'installation non supprimé.
- Accès centralisé : En accédant au navigateur Chrome de l'administrateur principal, le hacker a récupéré l'intégralité des identifiants permettant de contrôler les serveurs de production.
- Destruction finale : Après avoir exfiltré 19 Go de données internes, l'attaquant a procédé à l'effacement complet et irréversible des quatre serveurs principaux.
💾 Pour un site générant des centaines de milliers d'euros par mois, la sécurité ressemblait davantage à un projet scolaire de première année qu'à une infrastructure professionnelle. Comme le résume Gr0lum avec un flegme dévastateur : « D'ailleurs Oracle, la moitié des hash sont encore en md5, c'est pas sérieux l'ami. Contrôles de sécurité sur les serveurs : 0. Un simple favicon m'a ouvert les portes de votre empire de carton. »
Révélations sur la Gestion et le Staff
L'hypocrisie du "Partage"
Le dossier révèle qu'Oracle (l'admin principal) méprisait ouvertement la communauté qu'il prétendait servir. Gr0lum expose des conversations et des logs montrant un système de « Shadowban » (bannissement invisible) : le site continuait de faire croire à certains utilisateurs qu'ils étaient actifs pour qu'ils continuent de seeder (partager), mais leurs statistiques de téléchargement étaient bloquées pour les forcer à acheter du ratio. C'était une manipulation pure et simple du protocole BitTorrent à des fins mercantiles.
Mais c'est loin, très loin d'être tout, car le résumé de Gr0lum met aussi en lumière une fracture nette entre les bénévoles et la direction :
- Exploitation du bénévolat : L'intégralité de l'équipe de modération travaillait gratuitement, sans aucun droit de regard sur les décisions stratégiques ou financières.
- Opacité de la direction : L'administrateur principal, localisé au Maroc par des données historiques, gérait seul les flux financiers derrière des dispositifs d'anonymisation (VPN).
- Racket communautaire : L'introduction fin 2025 du « Turbo Mode », imposant un paiement pour dépasser cinq téléchargements quotidiens, est citée comme le déclencheur moral du piratage.
« Vous avez fait travailler des dizaines de bénévoles pendant des années, sans leur donner un centime, pendant que vous brassiez des millions sur leur dos et leur temps libre. » — Gr0lum
Un Système de Surveillance digne d'une Agence d'État
Vos données, leur marchandise
Mais alors JAMY ? C'est tout ? Et non ! Car selon Gr0lum, un système de surveillance digne d'une agence d'état était aussi en place. Le dossier technique montre que le site ne se contentait pas de logs classiques :
- Fingerprinting de masse : Un script détectait les extensions de navigateur installées, les polices de caractères et la configuration matérielle pour identifier les utilisateurs même via un VPN ou en cas de changement d'IP.
- Tracking Crypto : Un script analysait si un utilisateur avait des portefeuilles crypto (MetaMask, etc.) installés, probablement pour cibler les profils « rentables » pour les futures campagnes de dons ou d'abonnements.
« Vous traquiez vos propres membres comme du bétail publicitaire. Fingerprinting, tracking de wallets, analyse comportementale... La police n'en demandait pas tant. » — Gr0lum
⚠️ La sécurité : un château de cartes. Le serveur de pré-production tournait sous Windows sans mises à jour de sécurité depuis des mois. De nombreux mots de passe de comptes « staff » étaient stockés en clair dans des fichiers de configuration .env ou .json accessibles via une simple erreur de manipulation. Le dossier suggère même qu'Oracle utilisait sa propre connexion internet domestique à certains moments, laissant des traces IP remontant directement à son identité réelle.
Pratiques Illicites et Blanchiment
Le circuit de l'argent sale
L'exfiltration des données a permis de reconstituer un circuit de blanchiment sophistiqué :
- Façades e-commerce : Les fonds transitaient par 36 boutiques de t-shirts factices via le plugin CardsShield pour tromper les processeurs de paiement comme Stripe ou PayPal.
- Cryptomonnaies et mixage : L'argent était converti en USDT et Monero, puis mélangé via Tornado Cash pour rompre la traçabilité.
- Données bancaires aspirées : Plus grave, le code source contenait des scripts récupérant en clair les numéros de cartes bancaires et CVV des utilisateurs lors des transactions.
- Surveillance de masse : Un fichier de 259 Mo a révélé le traçage systématique des habitudes de navigation de plus de 500 000 membres.
Ça calme, n'est-ce pas ?
État Actuel et Conséquences
Le sort des données utilisateurs
Le site n'existe plus. Si le collectif Utopeer a pu sauvegarder une partie des torrents, l'infrastructure de confiance est anéantie. Bien que Gr0lum affirme ne pas vouloir publier les adresses IP et mots de passe des utilisateurs, il souligne la vulnérabilité historique du site, où une partie des mots de passe était encore protégée par l'algorithme obsolète MD5.
C'est le point le plus brûlant. Gr0lum a récupéré l'intégralité de la base de données SQL. Bien qu'il dise ne pas vouloir « dénoncer » les utilisateurs à l'ARCOM (il explique d'ailleurs qu'il méprise autant les autorités que les admins d'YGG), il détient désormais une liste de 6,6 millions d'e-mails, d'adresses IP et d'historiques de téléchargement. En d'autres termes, vos données sont (encore une fois) dans la nature, et ceux qui les ont en feront ce qu'ils veulent.
« YGGtorrent n'est pas tombé sous les coups de l'ARCOM ou de la justice. Il a été dévoré par sa propre cupidité. » — Gr0lum
Mise à Jour du 05/03/2026 : Oracle Répond
Le communiqué officiel
Une mise à jour de l'adresse du tracker dévoile un message audio et textuel, venant à priori d'Oracle lui-même. Il y insulte copieusement Gr0lum et annonce un « YGG » qui renaîtrait de ses cendres. Voici un copié-collé de son communiqué :
🕹️ Communiqué du 4 mars 2026 — Oracle
Sur les données bancaires : Aucune donnée bancaire n'a jamais été collectée, stockée ni traitée par nos systèmes. En neuf années d'exploitation, notre architecture n'a à aucun moment intégré de module de stockage d'informations de cartes de paiement. Les allégations contraires sont factuellement fausses.
Sur le chiffrement des mots de passe : Le recours au hachage MD5 évoqué concerne exclusivement moins de 3 % des comptes utilisateurs, correspondant à des comptes inactifs antérieurs à 2017 et n'ayant jamais fait l'objet d'une reconnexion depuis cette date. L'intégralité des comptes actifs bénéficie depuis plusieurs années d'un hachage sécurisé avec salage cryptographique individuel.
Sur la nature des données exfiltrées : Les éléments présentés comme « données sensibles » correspondent en réalité à des journaux de systèmes de sécurisation des transactions, mis en place pour la détection de fraudes et la prévention des signalements abusifs de comptes de paiement. Ces journaux ne contiennent aucune information bancaire exploitable.
Sur l'origine de la faille : L'intrusion n'a pas exploité une vulnérabilité de notre code applicatif. Le point d'entrée a été rendu possible par une négligence au niveau de l'hébergeur, qui lors du provisionnement d'une machine de préproduction a omis la suppression d'un fichier de configuration sensible. Cette erreur opérationnelle a constitué le vecteur initial de l'attaque.
Les allégations diffusées par les auteurs de cette intrusion sont abusives, déformées et ne reflètent en rien la réalité technique de notre infrastructure. Elles émanent d'un individu ou groupe qui, insatisfait d'un service qu'il utilisait librement et gratuitement, a délibérément choisi la voie de la destruction. Les faits parlent d'eux-mêmes.
⚠️ Risque en cours : Que vous croyiez Oracle ou Gr0lum, le danger est identique : modifiez sans délai vos mots de passe et adresses email sur l'ensemble des services où vous utilisez des identifiants similaires.
🚨 Mise en garde : Méfiez-vous fortement de tout site torrent prétendant être un « successeur » ou une « alternative » à YGGTorrent. Ces plateformes opportunistes présentent des risques majeurs : logiciels malveillants, virus, collecte de données personnelles et tentatives d'hameçonnage. Restez vigilants.
Conclusion : La Fin d'un Mythe
Ce n'est pas l'histoire d'un hacker contre un site de pirates, c'est l'histoire d'un individu qui a décidé de briser un système de racket organisé. Gr0lum termine son dossier par une phrase lourde de sens :
« Le partage était votre façade, le profit était votre seule religion. » — Gr0lum
Vous savez tout. Si vous voulez lire le feedback complet de Gr0lum, rendez-vous ici : FEEDBACK.
Nous terminerons simplement en reprenant les derniers mots de ce communiqué : dans tous les cas, quoi que vous fassiez, « restez vigilants », et s'il vous plaît, vraiment, ne donnez pas vos numéros de carte bancaire n'importe où.
💡 Rejoignez la communauté !
Envie de discuter de cet événement, de l'actualité tech ou de partager vos pépites pop culture ? Rejoignez-nous sur le Discord Little Big Campus 👾
