Ledger fait face à des interrogations sur sa gestion des signalements de hardware wallets altérés, après que l'ancien PDG de Mt. Gox, Mark Karpelès, a déclaré que la société française avait été alertée de la présence d'appareils compromis plusieurs mois avant que sa crise de sécurité actuelle ne devienne publique. Selon la société d'analyse crypto Santiment, environ 90 millions de dollars auraient été dérobés via des wallets Ledger altérés vendus par CryptoBilis, un revendeur autorisé en Asie du Sud-Est, bien que Ledger n'ait pas vérifié ce total. Des implants LTE cachés à l'intérieur des appareils ont copié les phrases de récupération de 24 mots des utilisateurs lors de la configuration et les ont transmises via une eSIM.

Former Mt. Gox CEO: Ledger Received Hardware Wallet Tampering Reports Since December 2025 but Issued No Public Warning

Former Mt. Gox CEO Mark Karpelès said Ledger had received reports of hardware wallets tampered with and fitted with malicious components since at least December… pic.twitter.com/Vmv4zXChEk

— Wu Blockchain (@WuBlockchain) October 16, 2026

Karpelès a déclaré à Cointelegraph qu'il connaissait au moins deux personnes ayant contacté Ledger au sujet d'appareils altérés à partir de décembre 2025, et qu'il n'a vu aucun avertissement public de la part de la société en réponse.

Le chercheur en sécurité Joe Grand affirme avoir signalé à Ledger, le 4 mars 2026, la présence d'un implant malveillant dans un Nano X qu'il avait acheté via Lazada Thaïlande en août 2025. Ledger a indiqué mener une enquête, mais Grand a critiqué la société pour ne pas avoir averti ses clients. Ledger a refusé de commenter la manière dont elle a traité le signalement de Grand et a renvoyé Cointelegraph à ses déclarations publiques sur X.

Comment l'implant a volé les phrases de récupération

La crise est devenue publique le 9 octobre, lorsque des pertes en crypto ont été signalées concernant des wallets vendus via CryptoBilis. Le 13 octobre, l'équipe de sécurité Donjon de Ledger a confirmé que les appareils contenaient des implants LTE cachés.

Une phrase de récupération est une liste de 24 mots permettant de restaurer un wallet sur n'importe quel appareil. Selon Ledger, l'implant se trouve dans une partie séparée à l'intérieur du boîtier et lit les mots à l'écran lors de la configuration. Il envoie ensuite la phrase via un réseau 4G à l'aide d'une eSIM intégrée. La société affirme que l'attaque ne touche pas sa puce Secure Element et ne modifie aucune transaction. Les voleurs peuvent plutôt restaurer le wallet sur leur propre appareil et transférer les fonds — ce qui signifie que la phrase seule suffit à prendre le contrôle d'un wallet, sans accès à l'appareil d'origine.

La société de sécurité Tibane Labs a découvert trois versions de l'implant. Elle a acheté la troisième version sur une place de marché en ligne japonaise, et l'envoi provenait de Malaisie. Pris ensemble, les appareils connus avec implants sont apparus via plusieurs canaux différents — Lazada Thaïlande, une place de marchéaise et le stock de détail de CryptoBilis — laissant ouverte la question de l'endroit où l'altération s'est produite dans la chaîne d'approvisionnement.

Pertes et conséquences pour les revendeurs

Santiment estime qu'environ 90 millions de dollars ont été dérobés, tandis que l'enquêteur blockchain Specter évalue les pertes à plus de 86 millions de dollars sur Bitcoin, Ethereum et Tron. Ledger indique que ces chiffres proviennent de tiers et qu'elle ne les a pas entièrement vérifiés.

La société affirme que chaque cas confirmé est lié à CryptoBilis. Le revendeur a suspendu la vente de hardware wallets jusqu'à la fin de l'enquête, et Ledger a également demandé aux revendeurs d'Asie du Sud-Est et de Hong Kong de cesser leurs ventes.

Trezor a déclaré n'avoir trouvé aucun appareil altéré provenant de CryptoBilis mais a tout de même rompu ses liens avec le revendeur. OneKey a révoqué l'autorisation de CryptoBilis, remplacera gratuitement les appareils achetés entre le 1er mars et le 13 octobre, et a retiré les annonces du revendeur dans l'attente de contrôles plus stricts.

Grand a également alerté Trezor en août 2026 au sujet de wallets Trezor One et Model T altérés vendus par des vendeurs non autorisés sur TikTok et Facebook. Trezor a indiqué traiter ces signalements comme des alertes précoces.

Certaines affirmations restent non vérifiées. Karpelès a déclaré qu'un Ledger Flex acheté à l'aéroport de Singapour pourrait contenir un implant. En Allemagne, MediaMarkt Saturn a suspendu la vente de Ledger après le signalement d'un client, mais aucun fonds n'a été perdu.

Ce que les propriétaires de Ledger doivent faire

La Genuine Check de Ledger ne peut pas détecter de modifications physiques si le Secure Element est intact, ce qui signifie qu'un résultat positif n'exclut pas la présence d'un implant. Ledger conseille aux utilisateurs ayant configuré un appareil CryptoBilis au cours des 90 derniers jours de transférer leurs fonds vers un nouvel appareil avec une nouvelle phrase de récupération.

L'inspection par la société du stock de détail européen n'a révélé aucun signe d'altération. Ledger n'a pas indiqué combien d'utilisateurs sont touchés ni comment les appareils sont entrés dans le stock de CryptoBilis. Ces questions en suspens, ainsi que l'issue de l'enquête qui a conduit à la suspension des ventes de CryptoBilis, sont les évolutions à surveiller à mesure que la situation évolue.

Au cours de la semaine s'achevant le 16 octobre, Bitcoin a reculé de 0,4 % et Ethereum de 1,8 %.

Cet article est basé sur les informations rapportées par CoinCentral.