Ledger : un implant matériel dans des portefeuilles d'un revendeur

Le fabricant français de portefeuilles matériels Ledger a confirmé le 10 octobre qu'au moins un de ses appareils contenait un implant matériel non autorisé, après des signalements de vols de cryptomonnaies. L'appareil avait été vendu par CryptoBilis, un revendeur basé en Malaisie (Asie du Sud-Est). Ledger a ouvert une enquête. Les faits s'appuient sur le reportage de Next.ink et sur les déclarations de Ledger (alerte de support).

Ce que Ledger confirme

Des utilisateurs ayant acheté leur Ledger via CryptoBilis ont rapporté des pertes de fonds. Ledger indique avoir examiné un appareil concerné et y avoir trouvé un implant qu'il n'y avait pas placé. L'entreprise affirme que « le nombre d'appareils concernés est limité » et qu'aucun signalement ne porte sur des produits achetés directement chez Ledger. CryptoBilis a depuis été retiré de la liste des revendeurs agréés, et le vendeur a suspendu ses ventes le temps de l'enquête.

Il s'agit d'une altération dans le canal de distribution, pas d'une faille divulguée dans le produit ou le firmware Ledger. La surface d'attaque est la chaîne physique entre le fabricant et l'acheteur, pas la conception de l'appareil.

Le montant

Les estimations de pertes viennent d'analystes de la blockchain, pas de Ledger. La plateforme Bitquery évoque 93,2 millions de dollars dérobés sur 315 portefeuilles ; le compte pseudonyme Specter avance 86 millions de dollars, répartis sur plusieurs centaines d'adresses. Ces chiffres reposent sur les témoignages des victimes et le suivi des adresses de destination des fonds. Ledger n'a confirmé aucun de ces montants : à traiter comme des estimations.

Signalements non vérifiés

Deux éléments circulent sans confirmation et méritent la prudence :

• Mark Karpelès, ancien dirigeant de Mt. Gox, affirme avoir trouvé mi-septembre un implant plus sophistiqué, doté d'un module LTE qui détecterait selon lui la saisie de la phrase de récupération. Non vérifié.
• Un utilisateur européen dit avoir trouvé un implant dans un Ledger acheté chez Mediamarkt, hors canal CryptoBilis. Non vérifié.

Les fondateurs de CryptoBilis déclarent par ailleurs avoir cédé la société en mars 2026 et ne plus en avoir le contrôle.

Que faire

1. Si vous avez acheté un Ledger via CryptoBilis et ne l'avez pas encore configuré, ne lancez pas la configuration. Suivez l'avis de Ledger.
2. Si l'appareil est déjà configuré, transférez vos actifs vers un nouvel appareil initialisé avec une nouvelle phrase de récupération. Ne réutilisez jamais l'ancienne.
3. Vérifiez la provenance de tout portefeuille matériel. Achetez directement auprès du fabricant ou d'un canal agréé confirmé, jamais auprès d'un tiers ayant pu accéder physiquement à l'appareil.
4. Contrôlez l'intégrité du matériel via la page d'aide Ledger, qui compare l'appareil à des photos d'un exemplaire légitime, avant tout transfert de valeur.

Contexte

L'interception par un revendeur ou un transporteur est un classique du matériel crypto : l'attaquant n'a pas besoin de casser l'appareil s'il peut l'atteindre avant son propriétaire. La question ouverte que pose CryptoBilis est jusqu'où descend réellement la garantie « revendeur agréé », et quelle preuve d'inviolabilité un acheteur peut vérifier sans outillage spécialisé. Tant que Ledger n'a pas publié d'analyse technique de l'implant, la règle sûre reste la provenance avant le prix.