Des utilisateurs de cryptoactifs à Singapour ont perdu environ 3,5 millions de dollars singapouriens après avoir acheté des portefeuilles matériels Ledger altérés dans des magasins locaux, a indiqué la police singapourienne dans un avis publié le 28 octobre. La police a précisé que deux cas impliquant des appareils fabriqués par cette entreprise basée à Paris ont été signalés depuis le 10 septembre, et que les appareils concernés contenaient des composants matériels dissimulés capables de capter les phrases de récupération ou les clés privées des utilisateurs.

Un portefeuille matériel est un appareil physique qui stocke les clés privées hors ligne, et il est généralement considéré comme plus sûr que la conservation des clés en ligne, où elles peuvent être vulnérables au piratage. Les cas à Singapour mettent en évidence une autre surface d'attaque : les appareils ayant été altérés avant la vente, la compromission ne dépendait pas du stockage des clés en ligne, et ce qui comptait dans ces affaires était le lieu d'achat de chaque appareil.

Du matériel dissimulé découvert dans les appareils

Les premières enquêtes ont révélé que certains portefeuilles Ledger vendus dans des magasins de détail singapouriens contenaient du matériel malveillant. Selon la police, ces composants dissimulés pouvaient capter les phrases de récupération ou les clés privées des utilisateurs. Fortes de ces informations, les personnes malveillantes pouvaient accéder aux portefeuilles de cryptoactifs des victimes et déplacer les fonds à leur insu ou sans leur consentement.

La police a déclaré être en contact avec Ledger, qui examine les cas concernés. Selon The Straits Times, un appareil compromis a été vendu au Metapod de l'aéroport de Changi, tandis qu'un autre aurait été acheté dans un magasin Challenger à VivoCity.

Ces cas font suite à une enquête antérieure de Ledger sur des appareils vendus via CryptoBilis, un revendeur présent en Asie du Sud-Est. Le 10 octobre, Ledger a confirmé la présence d'un implant matériel dissimulé dans un portefeuille. L'équipe de sécurité Donjon de l'entreprise a constaté que l'implant pouvait capter la phrase de récupération de 24 mots affichée lors de la configuration de l'appareil et transmettre les données à un attaquant via une connexion cellulaire LTE.

Ledger a indiqué que le composant malveillant fonctionnait indépendamment du Secure Element, la puce qui protège les clés privées, et que les systèmes de l'entreprise ainsi que ses circuits de vente directe n'étaient pas impliqués. Les appareils altérés décrits par la police et par Ledger avaient tous été achetés via des circuits de vente au détail ou de revente tiers.

Singapore Police Say Ledger crypto Wallets Sold at Local Retailers Contained Malicious Hardware Implants Singapore police said on October 28 that some Ledger cryptocurrency hardware wallets purchased from local retailers contained malicious hardware implants capable of stealing… pic.twitter.com/RckYdTzFMq

— Wu Blockchain (@WuBlockchain) October 29, 2026

Ledger suspend ses ventes sur sept marchés

Le 13 octobre, Ledger a demandé à ses revendeurs et distributeurs de cesser de vendre et d'expédier ses portefeuilles à Singapour, en Malaisie, en Indonésie, en Thaïlande, aux Philippines, au Vietnam et à Hong Kong. L'entreprise a conseillé aux clients ayant acheté des appareils auprès de CryptoBilis au cours des 90 jours précédents de ne pas configurer les portefeuilles inutilisés, et a encouragé ceux qui avaient déjà activé leur appareil à transférer leurs fonds vers un nouveau portefeuille avec une nouvelle phrase de récupération.

Les analystes blockchain estiment que les pertes totales liées aux portefeuilles compromis dépassent 86 millions de dollars américains, un chiffre que Ledger n'a pas confirmé. L'entreprise a déclaré ne pas être en mesure de vérifier le montant total ni le nombre de personnes touchées. Les 3,5 millions de dollars singapouriens cités par la police de Singapour ne couvrent que les cas locaux.

Le problème a également émergé en Europe. Le 13 octobre, le distributeur allemand MediaMarktSaturn a suspendu la vente des produits Ledger après qu'un client a découvert un composant non autorisé dans un appareil. Ledger a indiqué qu'aucun fonds n'avait été perdu dans ce cas.

Dans un incident distinct, le fabricant de portefeuilles concurrent Keystone a divulgué le 26 octobre une violation de données ayant exposé les informations de 25 964 clients. Keystone a affirmé que les phrases de récupération et les clés privées restaient en sécurité, mais l'entreprise a détruit 18 835 portefeuilles et suspendu ses expéditions.

La police singapourienne a indiqué que les enquêtes sont en cours. Elle a exhorté les utilisateurs de cryptoactifs à suivre les avis officiels des fabricants de portefeuilles et à ne jamais partager leurs clés privées, phrases de récupération ou phrases seed. Toute personne disposant d'informations peut appeler la hotline de la police au 1800-255-0000 ou soumettre des informations en ligne sur www.police.gov.sg/i-witness. Alors que l'enquête policière et l'examen mené par Ledger se poursuivent, les avis officiels de l'entreprise et des autorités singapouriennes restent la source de référence pour les recommandations actualisées dans la région.