Des portefeuilles Ledger trafiqués vendus par le revendeur CryptoBilis siphonnent des cryptomonnaies via des implants cachés

Le 10 octobre 2026, Ledger a confirmé qu'au moins un portefeuille matériel vendu par son revendeur sud-est asiatique CryptoBilis contenait un implant matériel non autorisé, reconnaissant une compromission de la chaîne d'approvisionnement que des analystes on-chain ont reliée au vol de dizaines de millions de dollars en cryptomonnaies. Ledger avait pris acte des signalements la veille, le 9 octobre, alors que l'essentiel des vidages enregistrés a eu lieu entre le 9 et le 10 octobre.

CryptoBilis se présentait comme le revendeur Ledger agréé pour la Malaisie et écoulait les appareils en Malaisie, en Indonésie et aux Philippines. Ledger a demandé au revendeur de suspendre toutes ses ventes et expéditions, et CryptoBilis a interrompu la vente de son stock de portefeuilles matériels dans l'attente de l'enquête. Ledger a indiqué que la compromission semblait limitée aux appareils vendus par ce revendeur et qu'elle n'avait aucun indice d'une atteinte à sa propre infrastructure de sécurité, à ses systèmes ou à ses services ; l'entreprise a précisé collaborer avec les forces de l'ordre et le collectif de sécurité crypto SEAL 911, et développer de nouvelles mesures anti-altération.

L'implant

Le mécanisme reste rapporté et non confirmé par Ledger. Mark Karpelès, ancien dirigeant de Mt. Gox, a publié des photographies d'un Ledger encore sous blister qu'il disait avoir acheté en Malaisie, montrant une seconde carte de circuit imprimé au niveau de l'écran. Il a décrit un microcontrôleur, une antenne et un module cellulaire doté d'une eSIM de données, et affirmé que la puce surveille l'affichage, reconnaît l'écran de configuration de l'appareil et transmet la phrase de récupération de 24 mots de l'utilisateur sur le réseau mobile — une victime pouvant ainsi perdre ses fonds simplement en configurant un appareil paraissant scellé en usine. Ledger n'a pas validé cette description, et Karpelès n'a pas affirmé que son exemplaire provenait de CryptoBilis.

Pertes

Les estimations des fonds dérobés varient. Des analystes on-chain évaluent le total à plus de 86 millions de dollars répartis sur des centaines de portefeuilles sur Bitcoin, Ethereum et d'autres chaînes, tandis que la société d'analyse Bitquery l'estime à environ 92,9 millions de dollars sur 311 portefeuilles ; la fourchette globale rapportée allait d'environ 72 millions à plus de 90 millions de dollars. Aucun de ces chiffres n'a été confirmé par Ledger. L'entreprise a exhorté toute personne ayant acheté un Ledger via CryptoBilis au cours des 90 derniers jours à ne pas utiliser l'appareil s'il n'est pas encore configuré, et sinon à transférer ses fonds vers un nouveau Ledger doté d'une phrase de récupération fraîchement générée, en rappelant qu'un portefeuille authentique n'est jamais livré avec une phrase de récupération déjà inscrite et que Ledger ne demandera jamais la phrase de 24 mots.