Ledger enquête sur une affaire particulièrement inquiétante touchant certains de ses portefeuilles physiques vendus en Asie du Sud-Est. Le fabricant français confirme avoir découvert un composant matériel non autorisé à l’intérieur du wallet d’un utilisateur, alors que plusieurs détenteurs de cryptomonnaies signalent la disparition de leurs fonds.
Les pertes associées à cette affaire pourraient dépasser 86 millions de dollars en Bitcoin, Ethereum et Tron selon les estimations de chercheurs spécialisés dans l’analyse des transactions sur les blockchains. Ce montant n’est toutefois pas confirmé par Ledger, qui n’a pas encore communiqué le nombre exact de victimes ni le montant total dérobé.
Ledger confirme la découverte d’un implant matériel
L’affaire a commencé à prendre de l’ampleur le 9 octobre 2026, lorsque Ledger a indiqué enquêter sur des pertes de cryptomonnaies signalées par des utilisateurs ayant acheté leur appareil auprès de CryptoBilis, un revendeur présent en Indonésie, en Malaisie et aux Philippines.
Deux jours plus tard, l’enquête a pris une autre dimension : Ledger a confirmé qu’un appareil appartenant à l’un des utilisateurs concernés contenait un implant matériel qui ne devait pas se trouver dans le wallet.
À ce stade, cette découverte est confirmée sur au moins un appareil examiné. Il serait donc prématuré d’affirmer que tous les wallets vendus par le revendeur ont été modifiés de cette manière.
Le wallet aurait été modifié avant d’arriver chez son propriétaire
Le scénario étudié est particulièrement sensible puisqu’il ne s’agit pas d’une attaque classique contre un ordinateur ou d’un simple email de phishing. Le matériel lui-même aurait été physiquement modifié avant son utilisation par le client.
Selon les éléments techniques rapportés dans le cadre de l’enquête, un petit circuit électronique supplémentaire aurait été installé dans l’appareil. Ce type de modification pourrait permettre d’intercepter des informations saisies ou affichées pendant l’initialisation du wallet, notamment la phrase de récupération utilisée pour contrôler les cryptomonnaies.
Cette phrase, généralement composée de 24 mots, constitue la véritable clé du portefeuille. Une personne qui parvient à la récupérer n’a plus besoin de posséder physiquement le Ledger : elle peut recréer le portefeuille sur un autre appareil et transférer les fonds.
Une attaque de la chaîne d’approvisionnement
Si ce scénario est confirmé sur plusieurs appareils, il s’agirait d’une attaque de la chaîne d’approvisionnement. Le principe est de compromettre un produit entre sa fabrication et son arrivée chez le client, par exemple pendant son stockage, sa distribution ou sa revente.
C’est précisément ce qui rend l’affaire inhabituelle : l’utilisateur peut recevoir un appareil qui semble parfaitement normal, l’initialiser lui-même et générer une nouvelle phrase de récupération, tout en utilisant en réalité un matériel ayant déjà été altéré.
Une telle attaque contourne une partie des précautions habituelles prises par les détenteurs de cryptomonnaies, puisque la faiblesse n’est plus nécessairement le comportement de l’utilisateur mais l’intégrité physique du produit qu’il vient d’acheter.
Le revendeur CryptoBilis au centre de l’enquête
Pour l’instant, les investigations se concentrent sur les appareils commercialisés par CryptoBilis. Ce revendeur était référencé pour plusieurs marchés d’Asie du Sud-Est.
Ledger indique que l’incident semble actuellement circonscrit à ce revendeur et à cette zone géographique. CryptoBilis a suspendu la vente de ses portefeuilles physiques pendant la durée de l’enquête.
Il n’existe à ce stade aucun élément permettant d’affirmer que les appareils achetés directement auprès de Ledger ou auprès d’autres revendeurs sont concernés par la même modification.
Plus de 86 millions de dollars auraient été dérobés
En parallèle de l’analyse des appareils, plusieurs chercheurs suivent les mouvements de cryptomonnaies susceptibles d’être liés aux vols.
Un premier travail avait identifié plus de 72 millions de dollars de transferts suspects. Le chercheur Specter a ensuite évalué les pertes potentielles à plus de 86 millions de dollars sur plusieurs blockchains, notamment Bitcoin, Ethereum et Tron.
Ces chiffres doivent cependant être distingués des conclusions de Ledger. Le fabricant n’a pour l’instant confirmé ni le montant total des pertes, ni le nombre de victimes, ni que l’intégralité des transferts identifiés provient d’appareils physiquement modifiés.
Ledger affirme que ses propres systèmes n’ont pas été piratés
Ledger insiste sur un point important : son infrastructure, ses systèmes et ses services n’ont pas été compromis dans le cadre de cette affaire.
L’enquête porte donc pour le moment sur la distribution physique de certains appareils et non sur une intrusion dans les serveurs de l’entreprise française ou sur une vulnérabilité générale permettant de vider à distance tous les wallets Ledger.
Les clients du revendeur invités à changer complètement de wallet
Ledger recommande aux personnes ayant récemment acheté un appareil auprès de CryptoBilis de ne pas procéder à son initialisation s’il n’a pas encore été utilisé.
Pour celles qui ont déjà configuré leur appareil, la recommandation est plus radicale : utiliser un autre wallet avec une nouvelle phrase de récupération et y transférer les actifs. Réinitialiser simplement l’ancien appareil ne suffit pas si la phrase générée précédemment a potentiellement été interceptée.
L’étendue réelle de la compromission reste inconnue
L’existence d’un implant matériel non autorisé est désormais confirmée, mais de nombreuses questions restent ouvertes. On ignore encore combien d’appareils ont pu être modifiés, à quel moment de la chaîne de distribution l’altération aurait eu lieu et si tous les vols actuellement étudiés reposent sur le même mécanisme.
Ledger poursuit son enquête avec CryptoBilis et contacte les utilisateurs susceptibles d’être concernés. L’affaire illustre surtout un risque particulièrement difficile à détecter : celui d’un wallet censé protéger les clés privées mais compromis physiquement avant même sa première utilisation.