Ledger a indiqué que son équipe de recherche en sécurité Donjon a découvert un implant matériel non autorisé dissimulé dans des portefeuilles matériels vendus par CryptoBilis, un revendeur opérant en Asie du Sud-Est. Ce composant clandestin lit la phrase de récupération de 24 mots d'un appareil sur l'écran pendant la configuration du portefeuille et transmet les mots via une connexion cellulaire au moyen d'une eSIM provisionnée.

Le fabricant parisien de portefeuilles matériels a annoncé cette découverte dans une publication sur X mardi. Ledger Donjon, l'équipe de recherche en sécurité interne de la société, a confirmé l'implant samedi 10 octobre dans l'appareil d'un utilisateur concerné. Toutes les pertes confirmées liées à cet incident, que Ledger avait divulgué pour la première fois vendredi, concernent des appareils vendus via CryptoBilis, et la société a déclaré n'avoir vérifié aucun drain lié à un appareil acheté ailleurs.

Update from Ledger Donjon on the CryptoBilis investigation 🔽 @DonjonLedger is investigating Ledger signers sold by CryptoBilis, a reseller in Southeast Asia, that contained an unauthorized hardware implant. Ledger confirmed this on October 10th for one affected user's signer.…

— (@Ledger) October 13, 2026

Les portefeuilles matériels sont un pilier de l'auto-conservation, conçus pour garder les clés privées hors ligne. Un appareil Ledger, que la société appelle un signer, affiche sa phrase de récupération de 24 mots à l'écran lors de la configuration initiale. Quiconque obtient cette phrase peut restaurer le portefeuille sur un autre appare et prendre le contrôle total de ses fonds. L'écran de configuration est donc le seul moment où la phrase est visible à l'extérieur de l'appareil, ce qui explique pourquoi un implant lisant l'écran peut contourner les protections d'un portefeuille sans les modifier.

Selon l'analyse de Ledger Donjon, l'implant se trouve à l'intérieur du boîtier de l'appareil et lit ce qui est affiché à l'écran. Lorsqu'il détecte les écrans de la phrase de récupération, son microcontrôleur décode les mots et les transmet via LTE en utilisant l'eSIM provisionnée.

Ledger a précisé que l'implant est un composant séparé, ajoutant qu'il ne modifie ni le Secure Element de l'appareil ni le système d'exploitation Ledger, et qu'il n'altère ni les transactions ni les signatures. CryptoBilis a confirmé avoir cessé de vendre des appareils Ledger pendant que l'enquête se poursuit, selon Ledger. Cette affaire met également en lumière la couche des revendeurs tiers de la chaîne d'approvisionnement matérielle, où les appareils échappent au contrôle direct du fabricant avant d'atteindre les acheteurs.

La société n'a pas confirmé le nombre total d'utilisateurs concernés ni le montant des pertes, et a indiqué que les chiffres circulant en ligne proviennent de tiers qu'elle n'a pas entièrement vérifiés. L'enquêteur onchain Specter a retracé plus de 86 millions de dollars de vols présumés sur Ethereum, Tron et Bitcoin, comme l'a rapporté Decrypt vendredi.

Ledger examine des signalements au-delà de CryptoBilis

Ledger a déclaré examiner également des signalements d'implants dans d'autres signers et d'autres lieux. Un utilisateur de X a affirmé avoir trouvé deux appareils Ledger falsifiés achetés dans des magasins de détail en Europe, une affirmation qui n'a pas été vérifiée de manière indépendante.

La société a demandé aux acheteurs d'appareils CryptoBilis qui ne les ont pas encore configurés de ne pas le faire et de contacter le support Ledger. Ceux qui l'ont fait doivent rapidement transférer leurs actifs vers un nouvel appareil avec une nouvelle phrase de récupération, et ne doivent saisir ou restaurer aucune phrase de récupération sur un appareil acheté chez CryptoBilis.

Les utilisateurs ayant perdu des fonds ou détenant un appareil falsifié doivent également déposer plainte auprès des autorités locales, a indiqué Ledger, et ne doivent envoyer l'appareil à personne ni l'ouvrir avant d'avoir parlé au support Ledger ou à la police.

Les acheteurs n'ayant pas acheté chez CryptoBilis peuvent inspecter l'intérieur de leur appareil à l'aide d'un guide Ledger, bien que la société ait averti que l'ouverture d'un signer peut l'endommager et a recommandé aux utilisateurs de sauvegarder d'abord leur phrase de récupération.

Ledger a réitéré qu'elle n'appellera jamais les utilisateurs, ne leur enverra jamais de message direct et ne leur demandera jamais leur phrase de récupération. Le Donjon analysera les appareils qu'il reçoit et partagera davantage d'informations au fur et à mesure l'enquête, a déclaré la société.