Ledger confirme un implant matériel dans un portefeuille vendu par CryptoBilis

Le 10 octobre 2026, Ledger a confirmé qu'un appareil appartenant à un utilisateur victime contenait un implant matériel non autorisé. Le fabricant de portefeuilles matériels de cryptomonnaies enquêtait depuis le 9 octobre sur des vols de fonds signalés par des clients. Le 11 octobre, il a précisé que tous les cas confirmés concernaient des appareils vendus par CryptoBilis, un revendeur présent en Malaisie, en Indonésie et aux Philippines. Le 12 octobre au matin, d'après Next, Ledger a retiré CryptoBilis de sa liste de revendeurs agréés.

Ce que Ledger confirme, et ce qui reste à établir

Ledger affirme que ses systèmes internes et ses canaux de vente directe n'ont pas été compromis. Il qualifie de « limité » le nombre d'appareils touchés et dit contacter les victimes et coopérer avec les autorités. L'entreprise n'a précisé ni le modèle concerné ni le montant des pertes.

Les chiffres qui circulent viennent de chercheurs qui analysent les transactions sur les chaînes de blocs. Le compte Specter avance 86 millions de dollars. Bitquery estime le préjudice à 93,2 millions de dollars, répartis sur 315 portefeuilles. Selon CoinDesk, ces vols touchent les réseaux Bitcoin, Ethereum et Tron. Ledger n'a pas confirmé que ces pertes proviennent toutes de l'implant.

De son côté, CryptoBilis a suspendu la vente de tous ses portefeuilles matériels jusqu'à la fin de l'enquête. Selon Next, ses fondateurs expliquent sur LinkedIn avoir vendu l'entreprise en mars 2026.

Comment fonctionnerait l'implant

Mark Karpelès, ancien patron de la plateforme Mt. Gox, a alerté dès la mi-septembre sur des appareils modifiés. D'après sa description, que Ledger n'a pas reprise, l'implant comprend un microcontrôleur, une carte eSIM et un module de téléphonie LTE. Il lirait les données envoyées à l'écran et les appuis sur les boutons pour récupérer la phrase de récupération de 24 mots au moment où l'utilisateur la génère. Il l'enverrait ensuite au pirate par le réseau mobile.

Citée par BleepingComputer, Tibane Labs a décrit deux variantes. La première remplace la batterie d'origine par une plus petite pour faire de la place au circuit. La seconde se loge sous l'écran, et ses composants ont des références effacées.

Il y a un point important. La vérification d'authenticité de Ledger (Genuine Check) contrôle la puce sécurisée. Elle ne peut pas détecter un circuit ajouté si cette puce est restée intacte.

Que faire ?

• Si vous avez acheté un appareil chez CryptoBilis et ne l'avez pas encore configuré, ne le configurez pas.
• Si vous l'avez déjà configuré, transférez vos actifs vers un nouvel appareil acheté directement chez Ledger, avec une nouvelle phrase de récupération.
• N'achetez un portefeuille matériel que chez le fabricant ou chez un revendeur agréé. Méfiez-vous des places de marché et des prix cassés : selon des chercheurs, des appareils modifiés étaient vendus près de moitié prix.
• Ledger rappelle qu'il ne demande jamais votre phrase de 24 mots, ni par téléphone ni par message.
• Si vous êtes victime, contactez le support officiel de Ledger et portez plainte.

Un utilisateur européen affirme avoir trouvé un implant dans un Ledger acheté chez Mediamarkt. Next rapporte ce témoignage, qui n'est pas vérifié à ce stade.