Ledger a confirmé samedi 10 octobre que le portefeuille matériel d'un client concerné contenait un implant matériel non autorisé. L'entreprise a indiqué que cette découverte est survenue alors qu'elle enquêtait sur des signalements de vols de cryptomonnaies liés à CryptoBilis, un revendeur sud-est asiatique de ses appareils. C'est la première fois que Ledger confirme une altération physique d'un appareil concerné. L'affaire implique des appareils distribués via un canal de revendeurs tiers.

L'entreprise a déclaré que « l'un des appareils des utilisateurs touchés contenait un implant matériel non autorisé ». Elle a ajouté n'avoir « aucune indication que l'infrastructure de sécurité, les systèmes ou les services de Ledger aient été compromis ». Le compte d'assistance de Ledger a indiqué contacter les utilisateurs touchés et coopérer avec les autorités. Cette confirmation est significative car la protection essentielle d'un portefeuille matériel est sa phrase de récupération — la séquence de mots générée lors de la configuration qui, à elle seule, peut restaurer l'accès aux fonds d'un utilisateur sans l'appareil.

Les estimations compilées par des analystes et enquêteurs on-chain indépendants situent les pertes suspectées entre environ 72 et 93,4 millions de dollars.

Cette révélation fait suite à un avertissement public du fondateur de Binance, Changpeng « CZ » Zhao, qui a mis en garde les acheteurs de portefeuilles matériels un jour plus tôt :

⚠️ Beware if you use a Ledger hardware wallet, especially if you bought one recently. Based on information so far, it seems to be localized to a supply chain attack with one vendor. A small number of people probably bought fake (or tampered) Ledgers. Ledger is one of the most…

— CZ 🔶 BNB (@cz_binance) October 9, 2026

Ce que les enquêteurs ont découvert

L'analyste on-chain Yfarmx estime les pertes suspectées à 93,4 millions de dollars répartis sur 471 adresses. Bitquery a estimé environ 92,9 millions de dollars sur 311 adresses, et le chercheur Specter a indiqué que les pertes dépassaient 86 millions de dollars. L'enquêteur on-chain tanuki42 a identifié plus de 72 millions de dollars envoyés vers des adresses censées être liées aux vols. Ledger n'a confirmé aucun de ces chiffres, et les enquêteurs n'ont pas établi de décompte final des portefeuilles touchés.

L'ancien PDG de Mt. Gox, Mark Karpelès, a publié ses conclusions sur un Ledger Nano X modifié. Il y décrit une carte électronique cachée et un équipement cellulaire capables d'intercepter les phrases de récupération. Selon ces conclusions, l'équipement surveillait les données envoyées à l'écran de l'appareil pendant la configuration et pouvait ensuite transmettre les mots de récupération via une liaison cellulaire. Ce mécanisme frappait au moment précis que les portefeuilles matériels sont censés protéger : la configuration, lorsque la phrase secrète est créée et que l'appareil est le seul endroit où elle existe. Les enquêteurs n'ont pas démontré que chaque portefeuille touché contenait des composants similaires, et aucun décompte final des appareils altérés n'existe.

Le revendeur suspend ses ventes et ses expéditions

CryptoBilis, qui opère en Indonésie, en Malaisie et aux Philippines, a cessé de vendre des portefeuilles matériels jusqu'à la conclusion de l'enquête. Ledger a demandé au revende de suspendre ses ventes et ses expéditions le 9 octobre. Cette suspension a attiré l'attention sur la couche des revendeurs du marché des portefeuilles matériels, où les appareils passent par une distribution tierce avant d'atteindre les acheteurs.

L'entreprise a demandé aux clients ayant acheté un appareil auprès du revendeur au cours des 90 derniers jours de ne pas le configurer. Ceux qui l'avaient déjà fait ont été invités à transférer leurs actifs vers un nouveau signeur Ledger avec un nouveau seed. Un nouveau seed remplace la phrase de récupération générée lors de la configuration d'origine.

Ledger a déclaré travailler sur des outils anti-altération plus robustes et a remercié le collectif bénévole de sécurité SEAL 911 pour son aide aux enquêteurs.

Sur X, certains utilisateurs ont demandé si Ledger rembourserait les victimes. D'autres ont estimé que l'entreprise devrait assumer ses responsabilités, CryptoBilis étant un revendeur agréé. Ledger n'a annoncé aucune compensation.

Un faux site Ledger apparaît dans la recherche Google

Parallèlement, le chercheur Cyber Scrilla a averti qu'un faux site et une fausse application Ledger apparaissaient en tête des résultats de recherche Google, comme souligné dans un rapport de Bitcoin News. Les opérateurs auraient tenté d'amener les visiteurs à saisir leur phrase de récupération de 24 mots.

FAKE LEDGER WEBSITE APPEARS AT TOP OF GOOGLE SEARCH AMID $86M WALLET THEFT INVESTIGATION

Security researcher @cyberscrilla has flagged a fraudulent Ledger website and app appearing prominently in Google Search, designed to trick users into revealing their 24-word recovery…

— Bitcoin News (@BitcoinNewsCom) October 10, 2026

Selon les rapports, le site aurait affiché plus d'un million de visites sur 30 jours, un chiffre qui n'a pas été confirmé. Aucun nombre de victimes ni montant volé n'a été établi pour ce site, et le nombre d'utilisateurs potentiellement exposés reste inconnu.

Un rapport de septembre de la société de sécurité Zscaler décrivait un schéma similaire utilisant de fausses publicités Google. La société a constaté que la revendication d'un million de visites semblait renvoyer à google.com, et non à la page de phishing, ce qui suggère que le chiffre de trafic a pu être attribué à tort.

Les chercheurs n'ont pas démontré que les sites de phishing ont causé les pertes liées à CryptoBilis. Les deux affaires sont distinctes, bien qu'elles concernent toutes deux les utilisateurs de Ledger.

Conseils pour les utilisateurs de Ledger

Ledger indique que les utilisateurs ne doivent jamais saisir une phrase de récupération sur un site web, une application ou un formulaire en ligne, et qu'elle ne demandera jamais à ses clients leur phrase de récupération de 24 mots. Elle conseille de télécharger ses logiciels uniquement depuis le site officiel de Ledger et de vérifier attentivement les adresses web.

La mise à jour la plus récente date du 10 octobre, lorsque Ledger a indiqué qu'un appareil confirmé contenait un implant. Le nombre d'autres appareils altérés et l'identité des responsables restent inconnus. Que les enquêteurs établissent ou non un décompte final des appareils altérés, que Ledger annonce ou non une compensation, et quand CryptoBilis reprendra ses ventes sont les questions à suivre à mesure que l'enquête se poursuit.

Source : CoinCentral