La promesse fondamentale d'un hardware wallet est que les clés privées d'un utilisateur ne touchent jamais un système en dehors de son contrôle. Le 10 octobre 2026, Ledger a confirmé que, pour certains acheteurs d'un revendeur d'Asie du Sud-Est, cette promesse avait été rompue avant même l'ouverture de la boîte.

Ledger a déclaré qu'au moins un de ses appareils vendus par le revendeur CryptoBilis contenait un implant matériel non autorisé donnant aux attaquants accès aux phrases de récupération des utilisateurs. Une phrase de récupération est la clé maîtresse à partir de laquelle les clés privées d'un wallet sont dérivées, de sorte que quiconque la obtient peut reconstituer les wallets et déplacer les fonds sans jamais avoir besoin de l'appareil physique. Les estimations chiffrent les dommages entre 72 millions et 93,2 millions de dollars, prélevés sur 311 à 315 wallets sur plusieurs blockchains.

Ce que Ledger a découvert

Les appareils concernés ont été achetés auprès de CryptoBilis au cours des trois derniers mois. Selon les conclusions de la recherche, il s'agit du premier cas confirmé d'implant physique dans un appareil Ledger lié à un revendeur.

La majorité des pertes s'est concentrée sur un seul actif. Environ 70 millions de dollars des fonds volés étaient détenus en USDT sur la blockchain Tron. Le reste était réparti sur d'autres réseaux : des pertes ont également été signalées sur Bitcoin, Ethereum, BNB Chain, Polygon et Solana, ce qui suggère que les attaquants ont simplement tout emporté sur ce que les phrases seed compromises déverrouillaient.

Ledger a souligné que ses propres systèmes et ses canaux de vente directs n'étaient pas touchés. L'entreprise a également profité de l'occasion pour rappeler aux revendeurs que les produits retournés ne doivent jamais être remis en stock.

La réponse à ce jour

Les conseils de Ledger aux acheteurs de CryptoBilis sont sans ambiguïté. Les clients ne doivent pas initialiser les appareils qu'ils n'ont pas encore utilisés, et ils ne doivent pas déplacer d'actifs sans avoir d'abord généré une nouvelle phrase seed.

CryptoBilis a cessé ses activités dans l'attente d'une enquête. Le revendeur aurait également pu changer de propriétaire, un détail qui sera probablement très important alors que les enquêteurs tentent d'établir quand et comment les unités altérées sont entrées dans son stock.

Tether, quant à lui, a gelé environ 10 millions de dollars liés à l'incident. Étant donné que l'essentiel des pertes était en USDT, la capacité de l'émetteur à mettre des adresses sur liste noire au niveau du token — rendant le solde gelé intranférable — a offert aux victimes au moins un filet de sécurité partiel. Ce filet de sécurité a ses limites. Face à des pertes estimées en dizaines de millions, la somme gelée ne couvre qu'une fraction, et les actifs prélevés sur des chaînes comme Bitcoin ne comportent pas de partie centrale capable de mettre un terme aux mouvements.

Pourquoi la chaîne d'approvisionnement est le maillon faible

CryptoBilis opérait en tant que revendeur agréé vendant des appareils scellés et authentiques en Indonésie, en Malaisie et aux Philippines. Chaque paire de mains supplémentaire dans une chaîne de distribution est un point supplémentaire où une boîte peut être ouverte, modifiée et rescellée. L'affaire CryptoBilis transforme ce risque théorique en risque confirmé, et elle marque la limite de ce que la sécurité embarquée peut promettre : les protections cryptographiques d'un wallet ne peuvent rien si le matériel lui-même est altéré avant d'atteindre l'acheteur.

Ce que cela signifie pour les acheteurs et l'industrie

Pour toute personne détenant un appareil acheté via un revendeur, la conclusion pratique est de vérifier sa provenance. Les acheteurs d'appareils CryptoBilis en particulier doivent suivre les instructions de Ledger et considérer les phrases seed existantes comme exposées.

Ledger soutient que ses produits et services de base restent intacts, et les faits établis à ce jour appuient la distinction entre ses propres canaux et un distributeur unique indélicat.

Les points clés à surveiller incluent l'issue de l'enquête sur CryptoBilis, toute clarification concernant l'éventuel changement de propriétaire, et savoir si le nombre de wallets confirmés ou les estimations de pertes évoluent davantage. D'autres gelures de la part de Tether, ou la traçabilité des fonds sur d'autres chaînes, détermineraient également le montant que les victimes finiront par récupérer.