Ledger confirme un implant matériel caché : ce que l'on sait de l'attaque visant les acheteurs CryptoBilis

Le scénario que redoutent depuis des années les spécialistes de la sécurité s’est matérialisé. Le 10 octobre 2026, Ledger a confirmé que l’appareil d’un utilisateur victime de vols contenait « un implant matériel non autorisé ». C’est la première fois que le fabricant reconnaît une altération physique d’un portefeuille touché, au cœur d’une vague de vidages de comptes en Asie du Sud-Est.

Ce que Ledger a officiellement confirmé

Dans sa mise à jour, Ledger s’en tient à un constat précis : un implant a été trouvé dans l’un des appareils des utilisateurs concernés. L’entreprise affirme n’avoir « aucune indication » d’une compromission de son infrastructure de sécurité, de ses systèmes ou de ses services. Elle indique contacter les victimes, coopérer avec les autorités compétentes, remercier l’équipe de réponse d’urgence SEAL 911 pour son aide, et travailler à de nouvelles protections contre la falsification physique.

Le périmètre exact reste à établir. Le nombre d’appareils modifiés, la méthode de vidage et la question de savoir si toutes les pertes ont une cause commune sont toujours sous enquête.

CryptoBilis, le maillon de distribution au cœur de l’enquête

Les soupçons se concentrent sur CryptoBilis, un revendeur de portefeuilles Ledger actif en Indonésie, en Malaisie et aux Philippines. À la demande de Ledger, il a cessé la vente de l’ensemble de son stock de portefeuilles matériels jusqu’à la fin de l’enquête.

Mark Karpelès, ancien dirigeant de la plateforme Mt. Gox, a publié des images d’un Nano X modifié acheté en Malaisie. Selon sa description, l’appareil cachait sous l’écran un circuit supplémentaire doté d’un module de communication cellulaire, capable d’observer les mots affichés pendant la configuration et de transmettre la phrase de récupération à distance. La confirmation de Ledger corrobore l’hypothèse d’une manipulation physique, sans valider à ce stade chaque détail de ce rapport.

Plus de 86 millions de dollars de pertes estimées

Aucun bilan officiel n’a été publié. Les estimations disponibles proviennent d’analystes indépendants :

• Bitquery : environ 92,9 millions de dollars répartis sur 311 adresses et cinq blockchains ;
• Yfarmx : environ 93,4 millions de dollars sur 471 adresses.

Ces chiffres, qui portent sur du bitcoin, de l’ether et des stablecoins, n’ont pas été vérifiés par Ledger. Un nombre d’adresses ne correspond pas non plus à un nombre de victimes.

Une partie des fonds prend la route de Tornado Cash

L’analyse on-chain montre déjà les premières tentatives de blanchiment. Selon The Defiant, un portefeuille lié aux vols a envoyé 464 ETH vers le mixeur Tornado Cash, en passant par un intermédiaire et quatre portefeuilles de dépôt. L’adresse source conserve encore environ 700 ETH, ce qui laisse aux enquêteurs une fenêtre de surveillance.

Pourquoi une attaque par la chaîne d’approvisionnement change la donne

La promesse d’un portefeuille matériel repose sur une chaîne de confiance continue, de l’usine jusqu’à la première mise sous tension. La clé privée est générée hors ligne, dans l’appareil, et ne le quitte jamais. Un implant posé entre le fabricant et le client contourne cette logique sans attaquer la cryptographie : il intercepte le secret au moment où il apparaît à l’écran.

C’est la leçon centrale de l’affaire. L’attaque ne vise pas une faille logicielle, mais un maillon logistique. La robustesse d’un appareil ne vaut que si son parcours de distribution est lui-même sûr.

Les bons réflexes à adopter dès maintenant

Les consignes publiées par Ledger concernent les clients de CryptoBilis :

• Appareil acheté via CryptoBilis dans les 90 jours précédant l’alerte et pas encore configuré : ne lancez pas la configuration.
• Appareil déjà configuré : envisagez de transférer vos actifs vers un nouvel appareil Ledger doté d’une nouvelle phrase de récupération, en suivant les instructions officielles.
• Phrase de récupération : Ledger ne vous la demandera jamais. Ne la communiquez à aucun prétendu service d’assistance, d’enquête ou de récupération de fonds, une arnaque classique après ce type d’incident.

Au-delà de ce cas, la rédaction recommande, quelle que soit la marque, d’acheter un portefeuille matériel directement auprès du fabricant ou d’un revendeur officiellement agréé, et de se méfier d’un appareil livré avec une phrase de récupération pré-remplie.

Sources : déclaration de Ledger du 10 octobre 2026 (via Bitcoin.com et The Crypto Times), Bitquery, Yfarmx, The Defiant.

👉 Vous avez aimé cette analyse ? Recevez notre briefing complet chaque matin à 07h00. Abonnez-vous gratuitement à la newsletter L’Instant Crypto.