Le fabricant de portefeuilles matériels Ledger a confirmé que l'un des appareils compromis au centre d'une récente affaire de vol de cryptomonnaies contenait un implant matériel non autorisé. Cette révélation ajoute une dimension importante à une enquête en cours sur des pertes suspectées de plus de 86 millions de dollars sur des portefeuilles Bitcoin, Ethereum et Tron. Les portefeuilles matériels conservent hors ligne les clés privées qui contrôlent les avoirs en cryptomonnaies, et leur modèle de sécurité repose sur le fait que l'appareil parvienne à son propriétaire sans modification.

Selon une publication sur X le dimanche 10 octobre 2026 de Ledger Support, l'appareil appartenait à l'un des utilisateurs touchés et avait été acheté chez CryptoBilis, un revendeur de portefeuilles matériels basé en Asie du Sud-Est.

Situation Update : Ledger peut confirmer que l'appareil de l'un des utilisateurs touchés contenait un implant matériel non autorisé. Ledger contacte les utilisateurs concernés dans le cadre de l'enquête en cours. Si vous disposez d'informations concernant cette enquête, veuillez contacter…
— Ledger Support (@Ledger_Support) October 10, 2026

Ledger a indiqué communiquer avec les victimes de ce vol au fur et à mesure de l'enquête et contacte les utilisateurs concernés. Un enquêteur blockchain qui a examiné l'incident de piratage a estimé les pertes totales à plus de 86 millions de dollars. L'entreprise n'a toutefois pas encore confirmé le nombre de clients touchés.

La découverte de l'implant soulève des inquiétudes sur la sécurité des revendeurs

L'implant a été découvert dans l'un des appareils utilisés par des détenteurs de cryptomonnaies ayant perdu des fonds lors de l'incident. La confirmation qu'un portefeuille matériel contenait un composant installé sans autorisation a renforcé les inquiétudes concernant la sécurité des appareils revendus par des tiers, en particulier lorsque l'acheteur pense que le produit provient d'une source agréée.

De nombreuses questions autour de l'incident demeurent sans réponse. Ledger n'a pas précisé comment l'implant a été installé dans l'appareil ni quel impact il a pu avoir. L'entreprise a toutefois déclaré qu'aucune vulnérabilité de ses propres systèmes ne représentait une menace et que l'incident semble s'être limité à CryptoBilis et au marché desservi par ce revendeur.

Ledger a demandé à toute personne disposant d'informations sur cette affaire de se manifester via son programme de bug bounty, dans la mesure où l'enquête se poursuit. Les programmes de bug bounty constituent un mécanisme courant utilisé par les entreprises technologiques pour recueillir des informations auprès des chercheurs et du public lors d'enquêtes de sécurité.

CryptoBilis suspend la vente de portefeuilles matériels

CryptoBilis a suspendu la vente de tous les portefeuilles matériels pendant que l'enquête se poursuit. Ledger a confirmé être en dialogue actif avec le revendeur concernant les mesures à prendre, même si aucune mesure spécifique n'a été annoncée.

Cette suspension vise à garantir qu'aucun client supplémentaire n'acquière des appareils potentiellement compromis jusqu'à la résolution de l'affaire. ignore encore si le problème se limite à un seul lot ou affecte une plus grande partie du stock du revendeur.

Cette découverte a également attiré l'attention sur la réputation antérieure de CryptoBilis en tant que revendeur agréé de produits Ledger en Indonésie, en Malaisie et aux Philippines. Les consommateurs qui achètent via un revendeur agréé peuvent normalement supposer que leur produit n'a pas été altéré avant la livraison.

Aucune des deux parties n'a encore expliqué comment ce composant non autorisé a pu être introduit dans l'appareil. Déterminer à quel stade de la chaîne d'approvisionnement le produit a été altéré reste une question centrale sans réponse.

Ledger publie des consignes de sécurité pour les clients concernés

Ledger recommande aux consommateurs ayant acheté des portefeuilles matériels chez CryptoBilis de ne pas configurer les appareils non utilisés jusqu'à la fin de l'enquête. Cette consigne s'applique à tout appareil acheté auprès du revendeur qui n'a pas encore été initialisé. Les clients ayant déjà configuré leur appareil peuvent souhaiter transférer leurs fonds vers un autre portefeuille Ledger à l'aide d'une nouvelle seed de récupération. Une seed de récupération est la suite de mots générée lors de l'initialisation d'un portefeuille, et elle permet de restaurer l'accès complet aux fonds du portefeuille.

Cette affaire souligne l'importance du respect des recommandations de sécurité. Les utilisateurs doivent éviter de divulguer leur phrase de récupération et utiliser des appareils de confiance avec de nouvelles seeds de récupération.

Des pertes estimées à plus de 86 millions de dollars

Des rapports publiés les 9 et 10 octobre 2026, citant des experts blockchain, indiquaient que les pertes liées à une activité cryptos suspecte dans les portefeuilles concernés pourraient dépasser 86 millions de dollars. Ces pertes impliquent des portefeuilles Bitcoin, Ethereum et Tron.

Le chiffre de 86 millions de dollars est une estimation publiée par l'enquêteur blockchain Specter et n'a pas été confirmée par Ledger. Les enquêtes se poursuivent concernant le nombre de clients touchés et la manière dont l'implant matériel aurait pu causer les pertes.

L'incident est notable tant par l'ampleur potentielle des conséquences financières que parce que les appareils touchés provenaient d'un revendeur auparavant considéré comme agréé. Les portefeuilles matériels peuvent être exposés à des modifications effectuées avant la livraison, et cette affaire souligne la nécessité d'acheter les appareils auprès de sources fiables et de suivre les consignes officielles. Pour les acheteurs, cet épisode démontre que le canal d'achat lui-même peut constituer un élément essentiel de la sécurité de l'appareil.

Les clients de CryptoBilis sont invités à ne pas configurer leurs appareils jusqu'à nouvel ordre. L'enquête entre Ledger et CryptoBilis est toujours en cours, sans information confirmée pour l'instant sur l'ampleur réelle des pertes ni sur le nombre d'appareils touchés.