Ledger enquête sur un vaste ensemble de vidages de portefeuilles touchant des clients d'Asie du Sud-Est ayant acheté des portefeuilles matériels auprès du revendeur CryptoBilis, la dernière estimation onchain faisant état de pertes suspectées de 92,9 millions de dollars.

La sécurité d'un portefeuille matériel repose sur une prémisse unique : la phrase de récupération — l'expression qui contrôle l'accès aux fonds onchain — est générée sur l'appareil lui-même et ne le quitte jamais. C'est pourquoi le canal de vente par lequel un appareil parvient à son acheteur se trouve au cœur de cette affaire.

L'entreprise a demandé à CryptoBilis d'interrompre toutes les ventes et expéditions de produits Ledger le 9 octobre, dans l'attente de la suite de l'enquête. Toute personne ayant acheté un appareil auprès du revendeur au cours des 90 derniers jours et ne l'ayant pas encore initialisé ne doit pas commencer la configuration. Les clients utilisant déjà l'un de ces appareils ont été invités à envisager de transférer leurs actifs vers un nouveau signataire Ledger généré avec une phrase de récupération entièrement nouvelle.

Dans des mises à jour publiées par son compte d'assistance sur X, Ledger a indiqué que les cas signalés à ce jour se limitaient aux appareils distribués via CryptoBilis et qu'il n'avait aucune indication d'une compromission de son infrastructure de sécurité, de ses systèmes ou de ses services. L'entreprise n'a pas confirmé le montant volé, le nombre de victimes ni le mécanisme utilisé pour accéder aux portefeuilles.

CryptoBilis a changé de propriétaire quelques mois avant les vidages

CryptoBilis a été acquis début 2026, a confirmé l'ancien cofondateur Arravind Prabu après le début de l'enquête sur les vidages de portefeuilles. Prabu a déclaré que les anciens propriétaires s'étaient entièrement retirés des opérations, de l'accès aux systèmes et de la direction après l'acquisition et n'exploitent plus CryptoBilis. La transaction a été finalisée en mars, tandis que les registres d'entreprises malaisiens publiés dans le cadre de l'enquête montrent qu'un individu identifié comme Jiaming, avec une adresse enregistrée dans le Heilongjiang, en Chine, détenait 100 % des parts de CryptoBilis au 3 août.

Le chercheur en sécurité Quit a déclaré que l'acquisition incluait un accord de confidentialité empêchant les anciens propriétaires de révéler publiquement la vente, la restriction devant expirer le 19 octobre — dix jours après la demande d'arrêt de Ledger. Il a soulevé la possibilité que l'achat ait pu être réalisé par un acteur de menace sophistiqué cherchant à accéder à unendeur agréé établi, plutôt que l'incident provenant d'un employé indélicat. Cette théorie reflète la position de confiance qu'occupent les revendeurs entre fabricant et client.

Cela demeure une hypothèse d'enquête. Aucune preuve publique n'a établi que le nouveau propriétaire ait acquis CryptoBilis pour compromettre les appareils Ledger, ait participé aux vidages de portefeuilles ou ait eu un quelconque lien avec les adresses contrôlées par l'attaquant. Le calendrier place néanmoins le changement de propriétaire quelques mois avant la vente des appareils concernés et avant le début des vidages coordonnés.

L'estimation onchain atteint 92,9 millions de dollars

Les pertes suspectées ont dépassé les estimations initiales de 72 à 86 millions de dollars à mesure que les enquêteurs identifiaient des adresses et des réseaux supplémentaires touchés.

Une reconstruction détaillée du vidage par Bitquery a identifié 92,9 millions de dollars prélevés sur 311 portefeuilles sur Tron, Bitcoin, Ethereum, BNB Chain et Polygon. Les plus lourdes pertes se sont concentrées sur Tron, où environ 70,5 millions de dollars ont été retirés. Les portefeuilles Bitcoin ont perdu environ 203,8 BTC d'une valeur de 16,8 millions de dollars, tandis qu'Ethereum, BNB Chain et Polygon représentaient les fonds restants.

Le calendrier des transactions pointe vers un contrôle centralisé des clés privées concernées. Vingt-cinq portefeuilles Tron ont autorisé le même dépensier en l'espace de trois secondes, et 111 portefeuilles Bitcoin ont été vidés dans un seul bloc, selon des rapports partagés sur X. Bitquery a également retracé 41 petites transactions de test sur Tron et Ethereum au cours des deux semaines précédant le vidage principal. Ce schéma n'établit pas comment les clés privées ont été obtenues, mais il diffère de victimes individuelles approuvant indépendamment des transactions malveillantes sur une longue période.

Tether a ensuite gelé environ 10 millions de dollars en USDT sur 20 adresses liées à l'activité — une mesure à la disposition de l'émetteur car les soldes de stablecoins peuvent être gelés à des adresses désignées. 15,1 millions d'USDD supplémentaires demeuraient dans des portefeuilles contrôlés par l'attaquant, tandis que 1 254 ETH ont été envoyés via Tornado Cash, un protocole de mixage conçu pour brouiller le lien entre les adresses de dépôt et de retrait, plus tard le 9 octobre. Environ 79 millions de dollars restaient traçables lors de la dernière analyse.

Un implant physique soulève des questions sur la chaîne d'approvisionnement

Une voie d'attaque matérielle possible est également à l'étude. L'ancien PDG de Mt. Gox, Mark Karpelès, a ouvert un appareil Ledger obtenu en Malaisie et a signalé la découverte d'un implant électronique dissimulé à l'emplacement où se trouverait normalement le rembourrage de l'écran.

Karpelès a indiqué que l'appareil modifié conservait un emballage convaincant et que l'implant était difficile à repérer même après l'ouverture du boîtier. Son analyse a montré que le matériel supplémentaire pouvait surveiller les informations affichées pendant la configuration et transmettre les données de la phrase de récupération vers l'extérieur. Une modification de ce type ciblerait la configuration elle-même — le moment où une phrase de récupération est générée et affichée pour la première fois.

Aucune preuve publique n'a encore établi que l'appareil examiné par Karpelès provenait de CryptoBilis ni que la même modification a causé le vidage de 92,9 millions de dollars. Ledger n'a pas non plus confirmé une attaque de la chaîne d'approvisionnement.

La technique ressemble aux risques révélés plus tôt cette année, lorsqu'un Ledger contrefait contenant du matériel caché s'est révélé capable de cibler les phrases de récupération et les informations code PIN. L'affaire actuelle se distingue également des vidages de portefeuilles Coldcard plus tôt en 2026, où les enquêteurs ont attribué les pertes à une génération de graine défaillante dans le firmware concerné plutôt qu'à une modification matérielle au niveau du revendeur.

L'avertissement de Ledger s'applique actuellement spécifiquement aux clients ayant acheté des appareils auprès de CryptoBilis au cours des 90 derniers jours. Les utilisateurs ayant déjà initialisé l'un de ces appareils ont besoin d'un nouveau signataire et d'une graine nouvellement générée, plutôt que de simplement transférer la phrase de récupération existante sur un autre portefeuille matériel — une phrase exposée pendant la configuration reste valide sur tout appareil sur lequel elle est chargée ultérieurement. Le mécanisme n'étant pas encore confirmé, le total définitif des pertes comme la voie d'attaque restent susceptibles de révision à mesure que l'enquête se poursuit.

Source : Crypto Adventure