Tether a gelé 10 millions de dollars de son stablecoin USDT en lien avec un vol ayant drainé jusqu'à 93 millions de dollars d'actifs depuis des portefeuilles matériels Ledger vendus par le revendeur CryptoBilis. Ce gel intervient alors que les enquêteurs continuent de tracer le flux des fonds volés et que Ledger maintient que l'incident se limite aux appareils vendus par un seul vendeur tiers.

Ce que Ledger a confirmé à ce jour

Ledger, le fabricant français de portefeuilles de cryptomonnaies, ne s'est pas encore exprimé sur l'ampleur des pertes. L'entreprise a indiqué que tous les cas identifiés impliquent des appareils vendus par CryptoBilis, un vendeur tiers opérant en Malaisie, en Indonésie et aux Philippines. Elle a également souligné qu'aucun signe de compromission de ses propres systèmes, services ou ventes directes n'a été détecté. Cette distinction est importante, car le modèle de sécurité d'un portefeuille matériel repose sur le fait que l'appareil parvienne à son propriétaire intact, avec des clés privées qui n'en sortent jamais.

L'affaire a également pris une dimension de falsification physique au-delà des vulnérabilités logicielles. Le 10 octobre, l'entreprise a déclaré qu'un des utilisateurs concernés détenait un appareil équipé d'un implant physique non autorisé — première preuve de compromission physique de portefeuilles Ledger dans cette affaire.

Le message de l'entreprise aux acheteurs est clair : toute personne ayant acheté un appareil CryptoBilis au cours des 90 derniers jours et ne l'ayant pas encore configuré doit ne pas l'utiliser. Ceux qui utilisent actuellement un tel appareil doivent transférer leurs cryptomonnaies vers un autre appareil avec une nouvelle phrase de récupération. L'insistance sur une phrase inédite est le cœur du conseil : les mots de récupération constituent la sauvegarde principale d'un portefeuille matériel, et un portefeuille peut être restauré sur n'importe quel appareil compatible à partir de la seule phrase. N'acheter que par les canaux officiels et vérifier l'authenticité de l'appareil lors de la configuration constituent les défenses standard contre ce type de falsification avant la vente.

Comment les enquêteurs ont chiffré les pertes

Les chiffres des pertes sont attribués aux analystes on-chain plutôt qu'à Ledger. Bitquery a estimé que l'attaque avait siphonné 93,2 millions de dollars depuis 315 portefeuilles sur six blockchains distinctes, principalement en USDT et en pièces TRON. La plateforme de sécurité YFarmX avance un chiffre plus élevé, affirmant que l'attaque a emporté 94,5 millions de dollars depuis 521 portefeuilles sur sept blockchains différentes. Les deux estimations reposent sur des données publiques des blockchains.

Selon l'analyse de Bitquery, la majeure partie de l'argent volé se trouvait sur TRON, à hauteur d'environ 70,5 millions de dollars, avec 16,8 millions de dollars supplémentaires en Bitcoin et 3,7 millions de dollars en Ethereum, ainsi que des montants bien plus faibles sur BNB Chain, et Solana.

L'opération aurait été planifiée pendant des mois : les adresses impliquées dans le vol ont été créées le 25 septembre et ont effectué des dizaines de transferts d'essai jusqu'à début octobre. Le mouvement principal a eu lieu le 9 octobre, quand Bitquery indique que les attaquants ont réécrit les permissions de 30 portefeuilles TRON avant de transférer environ 203,8 BTC depuis 111 portefeuilles Bitcoin au sein d'un même bloc une heure plus tard. Une telle opération ne peut être réalisée que si l'attaquant possède les clés nécessaires.

C'est un point important, car les émetteurs de stablecoins peuvent mettre en liste noire les jetons utilisés pour des activités illégales. Bitquery, qui a vérifié le gel de Tether, a rapporté qu'environ 81 millions de dollars en jetons traçables restaient on-chain au 11 octobre, bien que certains fonds aient déjà transité par les services de mixage Tornado Cash et Zcash. Tornado Cash regroupe les transactions pour brouiller leur trace, tandis que Zcash propose des transferts blindés conçus pour masquer l'expéditeur, le destinataire et le montant — d'où la question naturelle dans cette affaire : quelle part du solde traçable finira gelée, et s'il sera encore possible de suivre certains des fonds mixés.

Réactions autour d'un revendeur agréé

La caractérisation par Ledger de la situation comme un problème lié à CryptoBilis n'est pas passée sans contestation. Le revendeur affichait un badge officiel Ledger sur son site web, ce qui, selon les critiques, rend Ledger responsable de la situation. « Ce n'est pas un incident CryptoBilis, c'est un incident Ledger », a déclaré l'utilisateur X MyCryptoParadise, qui a demandé à l'entreprise de « prendre la mesure de ce chaos ». Le différend touche à une caractéristique structurelle du secteur des portefeuilles matériels : les fabricants s'appuient sur des revendeurs pour élargir leur distribution, mais chaque intermédiaire ajouté est un maillon de la chaîne que le fabricant ne contrôle pas directement.

Il y a également une histoire derrière la propriété du revendeur. Selon le cofondateur Arravind Prabu, CryptoBilis a été acquis en mars 2026, et toute l'équipe a transféré tous les accès système lors de l'acquisition, comme cité par Learning Crypto. Les registres rapportés de l'entreprise montrent que le seul nouvel investisseur était enregistré en Chine. À ce jour, aucun lien n'a été établi entre les vols et le changement de propriétaire, et l'enquête n'a trouvé aucune falsification liée aux nouveaux investisseurs.

CryptoBilis a suspendu les ventes et livraisons de toutes les marques qu'il distribue et a fermé ses boutiques physiques dans les trois pays.

L'implant démonté par Mark Karpelès

L'examen le plus probant du matériel altéré vient sans doute de Mark Karpelès, fondateur de Mt. Gox. Karpelès a démonté un Ledger Nano X acheté en Malaisie et, comme rapporté par Learning Crypto, a découvert des composants supplémentaires cachés sous l'écran : un modem cellulaire, une eSIM et une minuscule puce capable d'intercepter ce qui est affiché à l'écran.

Lors de la configuration d'un portefeuille, les mots de récupération s'affichent sur cet écran. Un composant capable d'intercepter les données de l'écran pourrait transmettre ces mots via le réseau mobile, permettant ainsi de recréer le portefeuille ailleurs et de voler ses fonds. Un implant de ce type est un exemple d'attaque de la chaîne d'approvisionnement, dans laquelle un appareil est altéré entre sa fabrication et sa livraison plutôt que compromis à distance — et comme les composants se trouvaient sous l'écran d'un appareil fonctionnant normalement, ils auraient été difficiles à repérer pour un acheteur ordinaire. Il reste à prouver si tous les appareils contenaient de tels composants, et la question de savoir si d'autres unités implantées verront le jour demeure ouverte dans l'enquête.

Il convient de noter que cette affaire est distincte d'un autre vol signalé en, survenu en avril, lorsque des hameçonneurs ont utilisé l'application Ledger Live sur l'App Store d'Apple pour voler au moins 9,5 millions de dollars.