Le fondateur et PDG de OneKey, Yishi Wang, a annoncé que le fabricant de wallets matériels « réduira considérablement son réseau de revendeurs » après une revue complète des revendeurs précédemment certifiés, ceux ayant « des entités exploitantes invérifiables ou des bénéficiaires finaux peu clairs » voyant leur agrément révoqué et étant retirés du site officiel. Wang a également confirmé que OneKey a révoqué l'agrément de CryptoBilis en tant que revendeur de ses appareils.

Cette annonce fait suite à des signalements selon lesquels l'un des wallets Ledger vendus par le revendeur d'Asie du Sud-Est CryptoBilis contenait un implant matériel non autorisé, tandis que l'enquête se poursuit sur un vol de cryptomonnaies dont les pertes sont désormais estimées entre 86 et 93 millions de dollars. Cet épisode met en lumière la couche de revente du secteur des wallets matériels, dans laquelle les appareils transitent par des intermédiaires entre le fabricant et l'utilisateur final.

Que dit Ledger à propos du piratage des wallets CryptoBilis ?

Une mise à jour du 10 octobre partagée sur la page d'assistance de Ledger a confirmé que, dans l'attente de la conclusion de son enquête, CryptoBilis ne vendra aucun produit du fabricant de wallets matériels. Cette déclaration est intervenue après que Ledger, dans une déclaration publique sur X, a indiqué qu'au moins « l'un des appareils des utilisateurs touchés contenait un implant matériel non autorisé ».

Ledger a souligné que ses propres systèmes et canaux de vente directs n'avaient pas été touchés, précisant que tous les appareils concernés remontaient à CryptoBilis. La distinction entre les unités issues de revendeurs et les appareils expédiés directement par le fabricant constitue le fondement des recommandations adressées aux clients.

Ledger conseille à toute personne ayant acheté des wallets auprès du revendeur d'Asie du Sud-Est de ne pas initialiser les appareils qu'elle n'a pas encore configurés. Les clients ayant déjà configuré des appareils achetés auprès de CryptoBilis sont invités à transférer leurs fonds vers des wallets délivrés directement par Ledger plutôt que par l'intermédiaire de revendeurs.

À ce jour, les analystes en sécurité estiment qu'environ 300 wallets Ledger ont été vidés d'environ 86 à 93 millions de dollars.

Pourquoi les acheteurs OneKey et SafePal sont inquiets

Bien que les wallets Ledger soient les seuls à avoir signalé des vols à ce jour, l'inquiétude sécuritaire s'est propagée aux clients d'autres fabricants de wallets. CryptoBilis se présente comme revendeur agréé de wallets Ledger, Trezor, OneKey, Tangem, SafePal, imKey et autres en Malaisie, et opère également en Indonésie et aux Philippines.

Dans une publication sur X, Yishi Wang a tenu à apaiser la panique, écrivant : « Nous avons mis fin à l'agrément de CryptoBilis ; il n'est plus un revendeur OneKey agréé. »

Wang a également détaillé réponse en trois étapes de OneKey pour atténuer l'exposition actuelle et prévenir toute escalade.

Étape un : OneKey a cessé d'ajouter de nouveaux revendeurs, avec effet immédiat à compter de la déclaration du 12 octobre.

Étape deux : tous les revendeurs existants, y compris ceux précédemment certifiés, feront l'objet d'un nouveau processus de revue. Les revendeurs ayant « des entités exploitantes invérifiables ou des bénéficiaires finaux peu clairs » perdront leur agrément, et OneKey publiera la liste complète des revendeurs agréés sur son site officiel.

Étape trois : les utilisateurs ayant acheté des appareils OneKey auprès de CryptoBilis entre le 1er mars 2026 et le 12 octobre ont droit à un remplacement gratuit. Même les utilisateurs ayant déjà activé ou utilisé leurs appareils peuvent en bénéficier.

Selon Wang, OneKey a choisi la date limite du 1er mars parce que le cofondateur d'origine de CryptoBilis a publiquement déclaré que la société avait achevé la passation de sa direction opérationnelle en mars, après son acquisition plus tôt dans l'année. Une fois la liste complète des revendeurs en ligne sur le site officiel, elle servira de référence permettant aux acheteurs de vérifier si un vendeur est actuellement agréé.

Le seul défaut matériel précédemment signalé de OneKey remonte à 2023, lorsque la société de sécurité Unciphered avait extrait la graine d'un appareil lors d'une attaque en laboratoire. OneKey avait corrigé la vulnérabilité, versé une prime et indiqué qu'aucun utilisateur n'avait été affecté.

Qui possède désormais CryptoBilis ?

De récents registres d'entreprises indiquent un changement de contrôle du revendeur malaisien avant la suspicion d'attaque via la chaîne d'approvisionnement. Les anciens cofondateurs de CryptoBilis ont déclaré sur LinkedIn avoir cédé la société à de nouveaux propriétaires en mars, des informations affirmant que la propriété est passée à un individu identifié comme Jiaming, un ressortissant chinois.

Aucun rapport confirmé ne lie la nouvelle propriété à l'incident de sécurité.

Depuis le début de l'année 2026, six marques de wallets matériels ont signalé des problèmes de sécurité. Galaxy Research a chiffré les pertes à plus de 115 millions de dollars dans l'affaire Coldcard, et la divulgation de Ledger début octobre constitue le deuxième incident ayant entraîné des pertes de fonds. Cryptopolitan a également rapporté la fuite chez BasedApp qui a exposé des enregistrements KYC de clients la semaine dernière.