Ledger : une puce cachée dans des appareils CryptoBilis a permis de voler 93 M$
Le 9 octobre, 315 portefeuilles Ledger ont été vidés sur six blockchains en 47 minutes environ. Bitquery estime le butin à 93,2 M$, dont 70,5 M$ sur Tron, surtout en USDT. Tether en a gelé environ 10 M$, et les voleurs ont converti environ 14,9 M$ en USDD, un stablecoin que Tether ne contrôle pas.
Ledger a confirmé la cause le 13 octobre. Un implant avait été glissé dans le boîtier d'appareils vendus par CryptoBilis, son revendeur officiel en Malaisie, en Indonésie et aux Philippines. Il lisait la phrase de récupération à l'écran pendant l'installation et l'envoyait par eSIM sur le réseau mobile. Le Secure Element, le système et la signature des transactions sont intacts, mais le Genuine Check, le contrôle d'authenticité de Ledger, ne voit pas ces ajouts.
Au 1er novembre, Ledger n'a donné aucun total et les estimations vont de 86 à 103 M$. Son PDG, Pascal Gauthier, dit mener lui-même l'enquête pour savoir qui a modifié les appareils, et à quelle étape. Aucun remboursement ni arrestation n'est annoncé. MediaMarkt a retiré les Ledger de ses rayons après un signalement en Allemagne, où Ledger juge pourtant sain le stock vérifié. Trezor a lancé la même alerte chez ce revendeur le 30 octobre.
Ledger : une puce cachée dans des appareils revendus a vidé 315 portefeuilles
Ledger, une entreprise française, fabrique des portefeuilles physiques, de petits appareils qui gardent vos cryptos hors d'internet. Le 9 octobre, 315 de ces portefeuilles ont été vidés en moins d'une heure, pour environ 93 millions de dollars. Le Ledger lui-même n'a pas été piraté. Les appareils en cause venaient de CryptoBilis, un revendeur d'Asie du Sud-Est, et avaient été ouverts avant la vente. Une petite puce cachée dedans lisait les 24 mots secrets affichés à l'écran pendant l'installation, puis les envoyait aux voleurs par le réseau mobile. Or ces 24 mots suffisent pour vider le portefeuille.
Ledger dit n'avoir confirmé aucun vol sur un appareil acheté ailleurs que chez CryptoBilis. Si vous avez acheté le vôtre chez ce revendeur, Ledger recommande de transférer vos cryptos sur un nouvel appareil, avec de nouveaux mots secrets. Au 1er novembre, l'enquête menée par le patron de Ledger continue, et aucun remboursement n'a été annoncé.
Lire la version expert
Ledger : l'implant LTE des appareils CryptoBilis a vidé 315 portefeuilles en 47 minutes
Les victimes avaient reçu de petits montants de test environ deux semaines avant. Le 9 octobre, 315 portefeuilles ont été vidés sur six chaînes en 47 minutes environ, dont 111 adresses Bitcoin dans un seul bloc et 25 portefeuilles Tron signés en trois secondes. Bitquery compte environ 93,2 M$, dont 70,5 M$ sur Tron. Tether en a gelé 10 M$ environ, mais 14,9 M$ sont partis en USDD, impossible à geler. Un escroc y a même laissé 4,9 M$ en BTC.
C'est une attaque physique sur la chaîne d'approvisionnement. Un microcontrôleur logé dans le boîtier décodait l'écran pendant l'affichage de la seed de 24 mots et l'envoyait en LTE par eSIM. Le Secure Element, l'OS et le chemin de signature sont sains, mais la seed suffit à dériver toutes les clés. Le Genuine Check atteste la puce d'origine, pas l'absence d'ajout. Ledger a fait suspendre les ventes de CryptoBilis le 9 octobre et confirmé l'implant les 12 et 13 octobre. Les fondateurs de CryptoBilis disent avoir cédé la société en mars 2026.
Au 1er novembre, Ledger n'a confirmé aucun total (Galaxy Research avance 91 M$ environ). Pascal Gauthier pilote l'enquête, et aucune indemnisation ni arrestation n'est annoncée. Des cas remontent du Japon, de Thaïlande et de l'aéroport de Singapour, où Mark Karpelès a signalé un Ledger Flex, sans confirmation de Ledger. MediaMarkt a suspendu ses ventes et Trezor a demandé le 30 octobre la même migration aux acheteurs CryptoBilis.
