La confiance n'exclut pas le contrôle
Suite à des signalements d’utilisateurs relatifs à des vols de cryptomonnaies, Ledger a confirmé la présence d’un implant matériel sur au moins l’un de ses portefeuilles matériels, distribué par l’intermédiaire d’un revendeur agréé d’Asie du Sud-Est. L’entreprise française annonce l’ouverture d’une enquête.
Les premiers témoignages sont apparus sur les réseaux sociaux. D’un côté, des utilisateurs se sont alarmés de voir que des transactions avaient été réalisées à leur insu à partir de leur portefeuille matériel Ledger dédié au stockage sécurisé de cryptomonnaies. « Mon portefeuille Ledger vient d’être vidé de près de 100 000 USDT. Ma phrase de récupération était manuscrite et conservée en lieu sûr. Je ne touche jamais à mon Ledger Stax. Ce portefeuille me servait uniquement à stocker des fonds et je n’interagissais avec lui que pour recevoir des paiements », décrit l’un d’eux, capture d’écran à l’appui.
De l’autre, Mark Karpelès, ancien CEO de la plateforme d’échange de bitcoins Mt. Gox arrêté et condamné pour malversations, a signalé mi-septembre la découverte de nouveaux implants matériels suspects sur des portefeuilles Ledger du commerce.
Ledger confirme au moins un cas de piratage matériel
Le lien entre les deux phénomènes semble confirmé. Après une première alerte de sécurité formulée vendredi 9 octobre, Ledger a admis samedi 10 octobre qu’au moins un de ses portefeuilles matériels, vendu par l’intermédiaire de la société asiatique CryptoBilis, contenait un implant matériel qui a pu contribuer au vol de cryptomonnaies stockées sur l’appareil, à l’insu de son propriétaire légitime.
L’entreprise annonce l’ouverture d’une enquête et appelle les clients de ce revendeur à ne pas paramétrer de nouveau portefeuille, ou à transférer leurs actifs vers un autre appareil, avec une autre phrase de sécurité.
« Par mesure de précaution, CryptoBilis a confirmé avoir suspendu la vente de tous ses portefeuilles matériels jusqu’à la fin de l’enquête. Ledger est en contact permanent avec CryptoBilis concernant les prochaines étapes », ajoute Ledger. CryptoBilis affiche désormais un avertissement similaire sur son site Web.
Les fondateurs de CryptoBilis ont dès vendredi pris leurs distances, expliquant avoir vendu leur société en mars 2026, et n’avoir plus ni responsabilité opérationnelle, ni accès aux données de l’entreprise, basée en Malaisie.
L’affaire pourrait cependant connaître de nouvelles répercussions : un utilisateur basé en Europe affirme lui aussi avoir découvert un implant matériel dans son portefeuille Ledger acheté auprès de la chaîne Mediamarkt.
Plusieurs dizaines de millions de dollars détournés ?
Ledger a de son côté pris à nouveau la parole dimanche soir pour tenter de rassurer ses clients :
« L’enquête se poursuit et nous collaborons avec les autorités compétentes. Le nombre d’appareils concernés est limité. Nous comprenons les inquiétudes que cela suscite, notamment chez les personnes directement touchées, et nous contactons les utilisateurs concernés. »
« De plus, nous conseillons vivement aux utilisateurs de ne pas acheter auprès de revendeurs non autorisés, car le risque d’acquérir des appareils suspects, contrefaits ou modifiés est important, aucun de ces appareils ne fonctionnant selon les directives de sécurité de Ledger. », écrit encore l’entreprise. Elle a supprimé lundi matin CryptoBilis de la liste des revendeurs autorisés de ses solutions.
En s’appuyant sur les informations partagées par les victimes et notamment sur les adresses vers lesquelles ont été transférés les fonds volés, certains analystes indépendants ont tenté d’estimer l’ampleur du phénomène. Le compte pseudonyme Specter avance le chiffre de 86 millions de dollars, récupérés à partir de plusieurs centaines de portefeuilles. Bitquery, qui édite une plateforme d’analyse et d’indexation de données blockchain, évoque pour sa part une enveloppe de 93,2 millions de dollars, volée sur un ensemble de 315 portefeuilles individuels.
Compromission de la chaîne d’approvisionnement
Le phénomène des wallets « piégés » n’est pas nouveau (voir par exemple ce témoignage daté de 2025, à partir d’un exemplaire acheté en Thaïlande), c’est d’ailleurs la raison pour laquelle Ledger appelle à ne se fournir que chez des revendeurs agréés. En cas de doute, l’entreprise propose d’ailleurs une page d’aide permettant à ses clients de vérifier l’intégrité de leur matériel, en comparant leur Ledger avec les photos d’un exemplaire légitime.
Reste à savoir à quel niveau la chaîne d’approvisionnement a été compromise. Mark Karpelès affirme, photo à l’appui, avoir constaté la présence d’un implant espion dans un Ledger Nano acheté auprès de CryptoBilis. D’après lui, l’implant en question a nettement gagné en sophistication. Plus discret, il intègre un module LTE, de quoi gérer une carte SIM virtuelle (e-SIM) et un microcontrôleur connecté au bus SPI du Ledger, « qui analyse les caractères affichés à l’utilisateur et envoie les données dès que votre phrase de récupération est configurée ».
Si ses constatations sont justes, l’implant serait donc capable de détecter le moment où l’utilisateur paramètre sa phrase de récupération, la séquence de 24 mots qui constitue la clé pour déclencher une transaction à partir du portefeuille. Une fois l’information reçue, l’attaquant serait alors en mesure de vider le portefeuille à distance, sans y avoir jamais eu accès physiquement.
Contactée par nos soins lundi matin pour de plus amples informations, Ledger n’a pour l’instant pas répondu à nos questions.
