Le PDG de Ledger Pascal Gauthier et Mark Karpelès, l'ancien dirigeant de la plateforme d'échange Mt. Gox aujourd'hui effondrée, ont échangé des critiques publiques sur X le 17 octobre. Le différend porte sur la clarté avec laquelle le fabricant de portefeuilles matériels a averti ses clients au sujet d'appareils falsifiés liés à environ 90 millions de dollars de vols de cryptomonnaies, alors que les conséquences continuent de se faire sentir suite à des unités Ledger compromises distribuées par un revendeur tiers en Asie du Sud-Est.

Karpelès a demandé si Ledger avait suffisamment averti les acheteurs des composants espions découverts dans des portefeuilles modifiés. Gauthier a défendu le bilan de sécurité de l'entreprise et a demandé aux critiques de distinguer les faits prouvés des spéculations. Les portefeuilles matériels sont conçus pour conserver les clés privées hors ligne, ce qui rend l'intégrité de la chaîne d'approvisionnement cruciale. Cet épisode illustre le risque spécifique de falsification au stade de la revente : l'acheteur reçoit un appareil authentique, mais qui a été altéré après sa sortie d'usine.

Correction: I said @Ledger didn't talk about the implant situation at despite knowing about it – they did publish an academy topic in March 2026 that talks about it and recommends buying direct or from Authorized Resellers. pic.twitter.com/UNrxyLnsmd

— Mark Karpelès (@MagicalTux) October 17, 2026

Karpelès a soutenu qu'un avertissement plus fort aurait pu éviter aux utilisateurs plus de 90 millions de dollars de pertes. Il a également déclaré que Ledger avait reçu des signalements de composants matériels espions dès décembre 2025.

Gauthier a répondu par une pique personnelle faisant référence au passé de Karpelès. « Coming from Mt Gox CEO… Come on man. You are no white knight. Get real », a-t-il écrit.

Mt. Gox, alors première plateforme d'échange de Bitcoin au monde, s'est effondrée en 2014 après d'importantes pertes de Bitcoin. Karpelès a déclaré que cette expérience est précisément la raison pour laquelle il attend une communication de sécurité plus rigoureuse de la part des entreprises détenant des actifs de clients.

Ce que Ledger a publié et quand

Karpelès a cité un guide de sécurité de Ledger intitulé « Best Practices To Securely Buy Your Ledger Signer ». Le site de Ledger indique le 6 mars 2026 comme date de première publication. Le guide recommande d'acheter les appareils directement auprès de Ledger ou via des revendeurs agréés.

Le guide traite des appareils contrefaits, des portefeuilles livrés avec des phrases de récupération préconfigurées et des appareils authentiques altérés après leur sortie d'usine. Il comprend des photographies de cartes électroniques modifiées. La page a été mise à jour pour la dernière fois le 18 septembre. Sans copie archivée de la version de mars, il est impossible de savoir quand chaque photo ou avertissement a été ajouté.

Ledger n'a pas indiqué quand elle a appris pour la première fois l'existence des appareils CryptoBilis concernés. Cette chronologie non divulguée est au cœur du différend. L'échange public entre les deux dirigeants ne démontre pas que l'entreprise a délibérément dissimulé des informations.

Comment l'attaque a fonctionné

Des enquêteurs ont découvert des composants électroniques supplémentaires dissimulés dans un appareil Ledger authentique vendu via CryptoBilis, un revendeur en Asie du Sud-Est. Le matériel implanté pouvait capturer une phrase de récupération de 24 mots pendant la configuration du portefeuille, puis transmettre les mots via une connexion cellulaire. La phrase de récupération sert de sauvegarde maîtresse pour un portefeuille matériel : quiconque détient la phrase complète peut accéder aux fonds associés sans jamais toucher l'appareil.

Ledger indique que son Genuine Check, une fonctionnalité de vérification que les acheteurs peuvent exécuter avant d'utiliser un appareil, confirme uniquement que la puce Secure Element est authentique. Il ne peut pas détecter des composants ajoutés si puce d'origine reste en place. La société a affirmé que le Secure Element, le système d'exploitation et le processus de signature n'avaient pas été compromis. Le 9 octobre, elle a demandé à CryptoBilis de suspendre les ventes et les expéditions.

Galaxy Research a estimé environ 91 millions de dollars de pertes suspectées le 16 octobre. Ledger n'a pas confirmé un montant définitif, et un autre rapport évalue les pertes à plus de 100 millions de dollars.

Ledger a conseillé aux clients ayant acheté auprès du revendeur au cours des 90 derniers jours de ne pas configurer les portefeuilles inutilisés. Ceux qui l'avaient déjà fait ont été invités à transférer leurs fonds vers un nouveau portefeuille sur un appareil de confiance.

Karpelès affirme que des implants similaires sont apparus dans d'autres régions et qu'il a aidé des utilisateurs à inspecter leurs appareils. Ledger a contesté les signalements d'exposition en Europe après avoir examiné un cas en Allemagne. Trezor et OneKey ont supprimé les revendeurs tiers et renforcé leurs contrôles de distribution. Ces mesures ciblent la même faiblesse que l'attaque a exposée : une fois que la puce d'origine d'un appareil est vérifiée comme authentique, les contrôles standards ne peuvent pas détecter le matériel ajouté autour, ce qui reporte la garantie sur le canal de vente lui-même. Ledger maintient que la compromission est limitée à l'Asie du Sud-Est, tandis que d'autres affirment qu'elle s'est étendue plus loin. Le montant confirmé des pertes et l'ampleur géographique complète de la falsification restent non établis.