Ledger a déclaré que tous les cas confirmés de l'incident de vidage de portefeuilles de la semaine dernière impliquent des portefeuilles matériels vendus par le revendeur sud-est-asiatique CryptoBilis, et que ses propres systèmes et canaux de vente directs restent inchangés, selon une mise à jour de 72 heures publiée dimanche.

« Le volume d'appareils touchés est limité », a indiqué le fabricant parisien de portefeuilles matériels, ajoutant qu'il coopère avec les autorités compétentes et qu'il contacte les utilisateurs concernés. Il a précisé que CryptoBilis a confirmé avoir cessé toutes ses ventes de portefeuilles matériels.

72 hour update on reseller CryptoBilis incident 🔽 As the investigation continues, we are working with relevant authorities. The volume of impacted devices is limited. We know this is concerning, especially for those directly affected, and we are reaching out to impacted users.Emphasis added

— Ledger (@Ledger) October 11, 2026

Ledger a lancé son enquête vendredi après que des utilisateurs d'Asie du Sud-Est ayant acheté des appareils auprès de CryptoBilis ont signalé la perte de leurs fonds. L'enquêteur on-chain Specter a tracé plus de 86 millions de dollars de vols suspectés sur Ethereum, Tron et Bitcoin. Ledger n'a pas confirmé ce chiffre ni expliqué la cause des pertes.

Les portefeuilles matériels, comme ceux fabriqués par Ledger, sont conçus pour conserver les clés privées des utilisateurs hors ligne, mais les chercheurs en sécurité avertissent depuis longtemps que les appareils obtenus en dehors des canaux officiels peuvent être falsifiés avant d'atteindre les acheteurs. Un appareil modifié peut exposer la phrase de récupération générée par l'acheteur lors de la configuration — la séquence de 24 mots qui contrôle l'accès aux fonds du portefeuille.

Les enquêteurs on-chain YFarmX ont déclaré avoir envoyé à Ledger une liste de plus de 450 portefeuilles vidés. Selon leur analyse, le voleur a fait passer 2 810 ETH par le mixeur de cryptomonnaies Tornado Cash en trois opérations, a acheminé les retraits via le pool shielded de Zcash, une fonction de confidentialité qui masque les détails des transactions, et a retiré environ 3,28 millions d'USDC vers trois portefeu neufs, que Circle pourrait geler.

Le voleur a également converti 15 millions des USDT volés en USDD, un stablecoin que Tether ne peut pas geler, avant de reconvertir 51 millions en USDT et d'envoyer environ 4,23 millions d'USDT vers des adresses de dépôt Binance, a indiqué YFarmX. Tether a gelé 10 millions d'USDT dès le premier jour, tandis que 15 475 ETH, 203 BTC et 10 millions d'USDD restent hors de portée, selon l'entreprise. Ses conclusions n'ont pas été vérifiées de manière indépendante.

Un utilisateur X nommé Johannes a affirmé avoir découvert des appareils Ledger falsifiés en Europe après avoir acheté deux appareils en magasin. Il a déclaré que les deux présentaient des « modifications identiques (telles que des câbles supplémentaires et un module LTE) » et a demandé à Ledger de procéder à un rappel de produit.

Ces affirmations n'ont pas été vérifiées de manière indépendante, et la mise à jour de Ledger précise que tous les cas confirmés à ce jour impliquent des appareils CryptoBilis. Johannes a déclaré envoyer le deuxième appareil à Ledger pour analyse. Decrypt a contacté Ledger pour obtenir des commentaires sur les signalements européens.

Contrôles des revendeurs

Dans sa mise à jour, Ledger a indiqué rappeler aux revendeurs et distributeurs agréés de s'approvisionner exclusivement via les canaux autorisés et de « ne jamais réapprovisionner les produits retournés ».

L'entreprise a également mis en garde les utilisateurs contre l'achat auprès de revendeurs non autorisés, où « le risque d'acheter des appareils suspects, contrefaits ou modifiés est important ».

Ledger a déclaré réexaminer ses contrôles des revendeurs et renforcer les protections matérielles, et a invité les autres acteurs du secteur à collaborer avec elle sur les pratiques de chaîne d'approvisionnement et d'anti-falsification.

Ledger a réitéré son conseil selon lequel les acheteurs d'appareils CryptoBilis ne doivent pas initialiser les appareils inutilisés, et que toute personne qui l'a déjà fait doit transférer ses fonds vers une nouvelle phrase seed sur un appareil acheté auprès de Ledger. Cette recommandation reflète le fonctionnement du risque suspecté : si un appareil a été modifié avant la vente, une phrase seed créée sur celui-ci pourrait déjà être connue de l'attaquant, laissant les fonds exposés jusqu'à leur transfert vers une phrase nouvellement générée.

Elle a également averti que des escrocs pourraient tenter d'exploiter l'incident, affirmant qu'elle « ne vous appellera jamais, ne vous enverra jamais de message privé et ne vous demandera jamais votre phrase de récupération de 24 mots ».