Des Ledger piégés par une puce espion : ce qu'il faut savoir
Ledger est une entreprise française qui fabrique des portefeuilles physiques : de petits appareils qui gardent vos cryptos hors d'internet. Le 9 octobre, 315 de ces portefeuilles ont été vidés en moins d'une heure. Montant estimé : environ 93 millions de dollars.
Le Ledger lui-même n'a pas été piraté. Des appareils vendus par CryptoBilis, un revendeur d'Asie du Sud-Est, avaient été ouverts avant la vente. Une petite puce cachée dedans lisait les 24 mots secrets affichés à l'écran au moment de l'installation, puis les envoyait aux voleurs par le réseau mobile. Avec ces 24 mots, on peut vider le portefeuille.
Où en est-on au 1er novembre ? L'enquête continue, menée par le patron de Ledger. Aucun remboursement n'a été annoncé. Ledger dit n'avoir aucun vol confirmé sur un appareil acheté ailleurs que chez ce revendeur. Les acheteurs de CryptoBilis sont invités à transférer leurs cryptos sur un nouvel appareil, avec de nouveaux mots secrets.
Ledger : une puce cachée a volé les phrases de récupération, 93 M$ dérobés
Le 9 octobre, 315 portefeuilles protégés par un Ledger ont été vidés sur six blockchains en environ 47 minutes. Bitquery estime le butin à 93,2 M$, dont 70,5 M$ sur Tron, surtout en USDT. Tether a gelé environ 10 M$. Les voleurs ont converti environ 14,9 M$ en USDD, un stablecoin que Tether ne contrôle pas.
Ledger a confirmé le 13 octobre la cause : un implant ajouté dans le boîtier d'appareils vendus par CryptoBilis, revendeur officiel en Malaisie, en Indonésie et aux Philippines. Pendant l'installation, il lisait la phrase de récupération à l'écran et l'envoyait par une eSIM sur le réseau mobile. Le Secure Element, le système et la signature des transactions n'étaient pas touchés. Le Genuine Check, le contrôle d'authenticité de Ledger, ne voit pas ces composants ajoutés.
L'avancée au 1er novembre : Ledger n'a toujours pas confirmé de total, les estimations vont de 86 à 103 M$. Pascal Gauthier, son PDG, dit mener lui-même l'enquête, qui cherche qui a modifié les appareils et à quelle étape. Aucun remboursement ni arrestation n'est annoncé. MediaMarkt a retiré les Ledger de ses rayons après un signalement en Allemagne, mais Ledger dit que le stock vérifié là-bas était sain. Le 30 octobre, Trezor a lancé la même alerte chez le même revendeur.
Lire la version expert
Ledger x CryptoBilis : implant LTE, 315 portefeuilles vidés en 47 minutes, enquête toujours ouverte
Chronologie : tests de petits montants envoyés aux victimes environ deux semaines avant, puis le 9/10 drain coordonné de 315 portefeuilles sur six chaînes en environ 47 minutes, dont 111 adresses Bitcoin dans un seul bloc et 25 portefeuilles Tron signés en trois secondes. Bitquery chiffre le total à environ 93,2 M$, dont 70,5 M$ sur Tron. Tether gèle environ 10 M$, environ 14,9 M$ partent en USDD, non gelable. Parmi les victimes, un escroc qui a perdu 4,9 M$ en BTC.
Vecteur : attaque physique sur la chaîne d'approvisionnement. Un microcontrôleur logé dans le boîtier décode l'écran pendant l'affichage de la seed de 24 mots et l'exfiltre en LTE via eSIM. Ni le Secure Element ni l'OS ni le chemin de signature ne sont compromis, mais la seed suffit à dériver toutes les clés. Le Genuine Check atteste la puce d'origine, pas l'absence de composants ajoutés. Ledger a fait suspendre les ventes de CryptoBilis le 9/10 et confirmé l'implant les 12 et 13/10. Les fondateurs de CryptoBilis disent avoir cédé la société en mars 2026.
État au 1er novembre : pas de total confirmé par Ledger (Galaxy Research estime environ 91 M$), enquête pilotée par Pascal Gauthier, aucune indemnisation ni arrestation annoncée. Des cas sont signalés au Japon, en Thaïlande et à l'aéroport de Singapour (Ledger Flex, signalé par Mark Karpelès), sans confirmation de Ledger. MediaMarkt a suspendu ses ventes. Trezor a demandé le 30/10 la même migration aux acheteurs CryptoBilis.
