Ledger : la puce espion lisait l'écran et transmettait la phrase de récupération par LTE

On sait désormais comment fonctionnait l’implant découvert dans des portefeuilles Ledger vendus par le revendeur CryptoBilis. Dans une mise à jour technique publiée le 13 octobre, l’équipe de sécurité de Ledger décrit un dispositif qui ne pirate rien : il observe l’écran et transmet ce qu’il voit. Dans le même temps, MediaMarkt suspend ses ventes, Ledger gèle sept marchés asiatiques et Trezor resserre son réseau de revendeurs.

Une puce qui lit l’écran

Selon Ledger, cité par Unchained et The Block, le composant ajouté « lit les données affichées à l’écran ». Lorsque l’appareil affiche la phrase de récupération pendant sa configuration, son microcontrôleur décode les mots et les transmet par réseau mobile LTE grâce à une eSIM. L’implant « ne modifie ni l’élément sécurisé ni le système d’exploitation de Ledger, et n’altère ni les transactions ni les signatures ».

Pourquoi aucun contrôle logiciel ne pouvait le voir

C’est l’explication de la limite technique évoquée ces derniers jours. Le Genuine Check de Ledger vérifie l’authenticité de la puce sécurisée et du logiciel. Or l’implant ne touche ni à l’une ni à l’autre, et dispose de son propre canal de communication. Aucun contrôle d’intégrité logicielle ne peut détecter un espion qui ne modifie rien et transmet par ses propres moyens.

MediaMarkt suspend ses ventes

Selon Ledger, « MediaMarkt Saturn a cessé, en accord avec Ledger, la vente d’appareils Ledger dans ses magasins et en ligne pendant la durée de l’enquête ». Le périmètre géographique exact n’est pas précisé par le fabricant. Concernant le client allemand qui avait signalé un appareil modifié, Ledger indique qu’« aucune perte de fonds de clients n’a été signalée ».

Un Ledger Flex acheté à Singapour

Mark Karpelès, ancien dirigeant de Mt. Gox, rapporte avoir trouvé un implant dans un Ledger Flex neuf acheté par Ben Yorke auprès de la boutique Metapod, située selon CryptoSlate à l’aéroport de Changi. Ledger n’a pas confirmé ce cas ni établi de lien avec CryptoBilis. Le fabricant maintient que les pertes de fonds vérifiées restent liées à CryptoBilis et que « les incidents confirmés restent limités à l’Asie du Sud-Est ».

Sept marchés asiatiques gelés

Dans une mise à jour du 14 octobre, Ledger a demandé à ses distributeurs et revendeurs de suspendre les ventes, y compris en retirant les produits des rayons, dans sept marchés : Indonésie, Singapour, Thaïlande, Philippines, Vietnam, Malaisie et Hong Kong. L’entreprise affirme que ses systèmes et ses canaux de vente directe ne sont pas compromis.

Les pertes liées à l’affaire restent des estimations de tiers : environ 102 millions de dollars sur 324 portefeuilles selon Bitquery au 12 octobre, dont 10 millions gelés par Tether. Ledger précise que ces chiffres n’ont pas été entièrement vérifiés.

Trezor resserre son réseau à titre préventif

Dans une lettre du 13 octobre, Danny Sanders, directeur commercial de Trezor, annonce que certains partenaires perdront leur statut de revendeur agréé au 1er janvier 2027. La démarche est préventive : Trezor n’a constaté aucun appareil compromis. « Un portefeuille matériel n’est sûr que dans la mesure où le chemin qu’il parcourt jusqu’à son propriétaire l’est », écrit-il. CryptoBilis avait déjà été retiré de sa liste par précaution.

La leçon : la simplicité

Pour Austin Campbell, fondateur de Zero Knowledge Group, les configurations qui ont fait des victimes reposaient sur des fournisseurs et des appareils que l’utilisateur ne pouvait pas vérifier lui-même. Les particuliers devraient selon lui « sur-résoudre pour la simplicité » : moins d’intermédiaires, moins de confiance déléguée.

Concrètement : achetez directement auprès du fabricant, générez vous-même votre phrase de récupération, et si votre appareil provient d’un revendeur concerné, transférez vos fonds vers une nouvelle phrase générée sur un appareil sain.

Sources : Ledger (via Unchained, The Block, crypto.news), The Defiant, CryptoSlate, The Crypto Times, Bitquery.

👉 Vous avez aimé cette analyse ? Recevez notre briefing complet chaque matin à 07h00. Abonnez-vous gratuitement à la newsletter L’Instant Crypto.