16 octobre 2026 — L'opérateur d'arnaques aux tâches crypto connu sous le nom de CryptoBilis a perdu environ 60 BTC, d'une valeur d'environ 4,9 millions de dollars, après la découverte d'une puce espion cachée dans un hardware wallet Ledger, selon un rapport publié par COINOTAG.

Dans une mise à jour publiée à 12h59 UTC le même jour, Ledger a accompagné ses recommandations de remédiation d'une clarification concernant la chaîne d'approvisionnement. L'entreprise a déclaré n'avoir trouvé aucune indication que son infrastructure, ses systèmes ou ses canaux de vente directe officiels aient été compromis — une conclusion qui situe la manipulation dans le maillon distribution de la chaîne d'approvisionnement, après la sortie d'usine des appareils. Ce cadrage restreint l'examen au maillon de la chaîne situé en dehors des canaux de vente directe de l'entreprise, où un appareil transite entre l'usine et son acheteur final.

Les hardware wallets, comme ceux fabriqués par Ledger, un fabricant français et l'une des marques les plus utilisées du secteur, sont conçus pour conserver les clés privées des utilisateurs hors ligne et pour exiger une confirmation physique sur l'appareil avant la signature des transactions. La manipulation de la chaîne d'approvisionnement — c'est-à-dire une interférence intervenant entre la fabrication d'un appareil et sa livraison — est une préoccupation récurrente dans le secteur, précisément parce qu'elle remet en cause le postulat selon lequel l'appareil lui-même est fiable. Dans des cas documentés antérieurement, des attaquants avaient installé des composants dissimulés ou modifié le firmware afin que l'appareil enregistre secrètement sa phrase de récupération et la transmette à l'attaquant, lequel pouvait ensuite reconstituer le wallet et vider ses fonds. La seule phrase de récupération suffisant à reconstituer un wallet sur un autre appareil, ce type d'exposition contourne entièrement l'exigence de confirmation sur l'appareil : les fonds peuvent être déplacés sans que le matériel du propriétaire n'affiche jamais d'invite de transaction.

La victime en l'espèce a été identifiée comme l'opérateur d'une arnaque aux tâches, un format de fraude qui attire les participants avec la promesse de paiements en échange de simples tâches en ligne.

Le rapport a été publié pour la première fois par COINOTAG : https://en.coinotag.com/ledger-spy-chip-breach-drains-60-btc-task-scammer