Ledger piégés : un implant espion a permis de voler des cryptomonnaies.

Acheter un portefeuille matériel pour protéger ses cryptomonnaies, puis découvrir que ses fonds ont disparu : c’est la situation vécue par des utilisateurs dans l’affaire CryptoBilis. Un implant dissimulé dans des appareils Ledger est au cœur de l’enquête. L’incident rappelle que la sécurité d’un portefeuille dépend aussi de ce qui lui arrive avant sa livraison.

Dans sa vidéo « Ledger piégés : que se passe-t-il ? », publiée le 11 octobre, Hasheur revient sur les premières alertes concernant ces vols. Depuis sa publication, de nouveaux éléments ont précisé le fonctionnement de l’attaque. Voici les informations disponibles au 13 octobre 2026, en distinguant les constatations techniques des estimations encore évolutives.

Des portefeuilles vidés le 9 octobre

L’affaire commence par des signalements de détenteurs de Ledger ayant acheté leur appareil auprès de CryptoBilis, un revendeur présent en Asie du Sud-Est. Le 9 octobre, des utilisateurs constatent des transferts qu’ils n’ont pas autorisés.

Ledger ouvre une enquête et confirme ensuite la découverte d’un implant matériel non autorisé dans l’appareil d’une victime. CryptoBilis suspend ses ventes de portefeuilles matériels pendant les investigations. thehackernews.com

L’analyse de Bitquery, actualisée au 13 octobre, évalue les sommes dérobées à 102 millions de dollars américains provenant de 324 portefeuilles sur six blockchains. Ce décompte dépasse les premières estimations évoquées au moment de la vidéo. Il s’agit toutefois d’une estimation issue du suivi des transactions, et non d’un bilan définitif validé par Ledger. Un nombre de portefeuilles numériques ne correspond pas nécessairement au même nombre de victimes ou d’appareils physiques.

Une attaque qui vise les mots affichés à l’écran

Pour comprendre le danger, il faut revenir à la phrase de récupération. Cette suite de mots permet de restaurer l’accès à un portefeuille. Une personne qui en obtient une copie peut retrouver les clés nécessaires pour déplacer les fonds, sans posséder l’appareil original.

Selon les explications publiées par Ledger le 13 octobre, l’implant interceptait les informations affichées à l’écran pendant la configuration. Il récupérait les 24 mots, puis les transmettait par le réseau mobile grâce à une connexion LTE et une eSIM.

Ledger présente donc l’incident comme une modification physique des appareils dans la chaîne de distribution. Selon l’entreprise, le mécanisme analysé ne nécessitait pas de modifier sa puce sécurisée, son système d’exploitation ou les signatures des transactions. L’endroit précis où les appareils ont été altérés reste à déterminer.

Pourquoi le contrôle d’authenticité ne suffit pas

Un appareil peut-il être authentique tout en contenant un composant espion ? La documentation de Ledger reconnaît cette possibilité.

Son contrôle Genuine Check vérifie l’authenticité de la puce sécurisée au moyen d’un mécanisme cryptographique. Il ne constitue pas une inspection de tous les composants présents dans le boîtier.

Ledger précise ainsi qu’une modification physique peut échapper à ce contrôle lorsque la puce sécurisée originale demeure intacte. Un résultat positif confirme un élément essentiel de l’authenticité, mais ne garantit pas l’absence d’un implant ajouté autour de celui-ci.

Une enquête qui dépasse désormais CryptoBilis

Le 13 octobre, MediaMarkt Saturn a également suspendu les ventes de Ledger en magasin et en ligne, en accord avec le fabricant, après le signalement d’un appareil potentiellement modifié en Allemagne. Aucune perte de fonds n’était annoncée pour ce cas.

Ce développement doit être distingué des vols déjà associés à CryptoBilis : il ne démontre pas, à lui seul, que tous les signalements relèvent de la même opération.

À ce stade, Ledger indique que les pertes confirmées dans l’incident du 9 octobre concernent des appareils vendus par CryptoBilis. Le fabricant examine également les signalements provenant d’autres circuits de vente.

Que doivent faire les utilisateurs concernés ?

Pour les clients de CryptoBilis, les consignes communiquées par Ledger sont précises : ne pas initialiser un appareil encore inutilisé et, pour un portefeuille déjà configuré, transférer les actifs vers un nouvel appareil avec une nouvelle phrase de récupération. Réutiliser une phrase potentiellement dérobée ne règle pas le problème.

Plus généralement, Ledger recommande de vérifier le vendeur, d’utiliser uniquement son application officielle et de contacter son assistance si un colis semble avoir été ouvert ou modifié. Un appareil neuf ne doit jamais être livré avec une phrase de récupération ou un code PIN déjà préparés. Ledger

L’entreprise avertit aussi que des escrocs peuvent profiter de l’inquiétude pour se faire passer pour son service technique. Ne communiquez jamais vos 24 mots à une personne qui prétend vous aider.

Cette affaire pose une question essentielle aux fabricants et aux distributeurs : comment garantir qu’un appareil conçu pour protéger des secrets n’a pas été modifié avant même sa première utilisation ?