Ledger : enquête sur des portefeuilles vidés en Asie

Ledger, le fabricant français de portefeuilles matériels pour cryptomonnaies, enquête sur des pertes de fonds signalées par des clients d'Asie du Sud-Est. Tous avaient acheté leur appareil auprès de CryptoBilis, revendeur officiel de la marque en Indonésie, en Malaisie et aux Philippines. Le 10 octobre 2026, Ledger a confirmé avoir trouvé un implant matériel non autorisé dans l'appareil de l'un des utilisateurs touchés. L'affaire rappelle qu'un portefeuille matériel n'est sûr que si sa chaîne d'approvisionnement l'est aussi.

Ce que Ledger a annoncé

Le 9 octobre, le compte d'assistance de Ledger sur X a indiqué que l'entreprise examinait des signalements de pertes de fonds chez des utilisateurs ayant acheté leurs produits auprès de CryptoBilis. Ledger a demandé au revendeur de suspendre toutes ses ventes et ses expéditions pendant l'enquête.

Le lendemain, l'entreprise a franchi une étape : elle a confirmé que l'appareil d'un utilisateur concerné contenait un implant matériel non autorisé. Elle dit être en contact avec les clients touchés et travailler avec les autorités. Selon elle, rien n'indique que ses propres systèmes, son infrastructure de sécurité ou ses services aient été compromis. Ledger n'a en revanche pas établi que cet implant est à l'origine des pertes signalées, ni précisé combien d'appareils pourraient être modifiés de la même façon.

Des pertes estimées, mais non confirmées

Les montants qui circulent viennent d'analystes qui suivent les transactions sur les blockchains, pas de Ledger. Le chercheur tanuki42 a d'abord évoqué plus de 72 millions de dollars envoyés vers des adresses suspectes. Un autre analyste, Specter, a avancé plus de 86 millions de dollars après avoir suivi des fonds sur Bitcoin, Ethereum et Tron. La société d'analyse Bitquery a ensuite publié une estimation d'environ 92,9 millions de dollars répartis sur 311 portefeuilles, dont près de 10 millions de dollars en USDT gelés.

Ces chiffres n'ont pas été vérifiés de façon indépendante, et rien ne garantit qu'ils portent sur les mêmes transactions. Ledger n'a confirmé ni le montant total ni le nombre de victimes.

Les consignes pour les acheteurs

Ledger a donné deux recommandations aux clients de CryptoBilis :

• les personnes qui ont acheté un appareil auprès de ce revendeur au cours des 90 derniers jours et ne l'ont pas encore configuré ne doivent pas commencer la configuration ;
• celles qui l'ont déjà configuré devraient envisager de transférer leurs actifs vers un nouvel appareil Ledger, avec une nouvelle phrase de récupération.

Changer de phrase de récupération est essentiel : si un appareil a été modifié pour capturer ou imposer une phrase de récupération, déplacer les fonds vers une adresse dérivée de la même phrase ne protège de rien.

Une attaque sur la chaîne d'approvisionnement

Plusieurs hypothèses ont circulé dès les premiers jours : des appareils livrés avec une phrase de récupération connue de l'attaquant, une campagne d'hameçonnage visant les clients du revendeur, ou des appareils physiquement modifiés. La découverte d'un implant donne du poids à la dernière, sans pour autant clore l'enquête.

Pour les utilisateurs, la leçon est connue mais souvent négligée : acheter un portefeuille matériel directement auprès du fabricant ou d'un canal dont on maîtrise la provenance, vérifier l'intégrité de l'emballage, et ne jamais utiliser une phrase de récupération fournie avec l'appareil. Dans un secteur où la réglementation MiCA encadre désormais les prestataires européens, la conservation en propre reste, elle, sous la seule responsabilité de son détenteur. Pour revenir aux bases, voir aussi notre explication de la blockchain et de ses limites.