Ledger confirme un implant espion dans un portefeuille vendu en Asie

Le 10 octobre 2026, Ledger, fabricant français de portefeuilles matériels pour cryptomonnaies, a confirmé qu'un de ses appareils vendus par le revendeur CryptoBilis contenait un implant matériel non autorisé, un composant espion ajouté avant la livraison. Le média 01net rapporte, d'après des enquêteurs indépendants, plus de 86 millions de dollars dérobés à des centaines d'utilisateurs ; Ledger parle pour sa part d'un volume limité et ne publie aucun montant.

Que sait-on de l'implant découvert dans le portefeuille Ledger ?

Ledger a ouvert une enquête le 9 octobre après des signalements de vidages de fonds en Asie du Sud-Est, tous liés à des appareils achetés chez CryptoBilis, revendeur présent en Indonésie, en Malaisie et aux Philippines. Le lendemain, le fabricant a indiqué qu'un des appareils des victimes contenait un implant matériel. Le modèle n'est pas nommé officiellement, mais les analyses publiques visent le Ledger Nano X.

Selon l'analyse du développeur Mark Karpelès et du laboratoire Tibane Labs, relayée par BleepingComputer, le circuit capte ce qui s'affiche à l'écran et les pressions sur les boutons, afin de récupérer la phrase de récupération (la suite de 24 mots qui donne accès aux fonds). Les données repartent vers l'attaquant par réseau mobile LTE, grâce à une eSIM de 2 × 2 mm. Deux variantes ont été observées : l'une remplace la batterie d'origine par une plus petite qui alimente aussi l'implant, l'autre se loge à l'emplacement de la mousse sous l'écran OLED.

Tibane Labs note que le circuit imprimé souple est de fabrication industrielle, pas artisanale. Ce n'est donc pas un bricolage isolé, mais un montage reproductible.

Quels appareils et quels revendeurs sont concernés ?

Ledger affirme que tous les signalements de vidage concernent des appareils vendus par CryptoBilis, que rien n'indique que ses systèmes ou les appareils achetés sur Ledger.com aient été modifiés, et qu'aucun autre revendeur n'est pour l'instant soupçonné. Toujours selon 01net, CryptoBilis a changé de propriétaire en mars 2026 et appartient depuis le 3 août à une personne domiciliée dans la province chinoise du Heilongjiang ; les deux cofondateurs disent avoir quitté l'entreprise en mars.

Un utilisateur de X affirme avoir acheté en magasin en Europe un appareil à l'apparence trafiquée. Cette allégation n'est pas confirmée à ce stade, et Ledger n'a pas signalé de cas en Europe.

Que faire si l'on possède un Ledger acheté chez CryptoBilis ?

Ledger recommande de ne pas lancer la configuration d'un appareil acheté chez ce revendeur s'il n'est pas encore initialisé. Si l'appareil a déjà servi, il faut transférer les actifs vers un nouveau signataire Ledger avec une nouvelle phrase de récupération. L'outil « Genuine Check » ne suffit pas : Ledger reconnaît qu'il ne détecte pas un implant ajouté quand le Secure Element d'origine reste intact.

Le fabricant rappelle aussi qu'il ne demande jamais les 24 mots, une précision utile alors que les arnaques exploitent ce type d'incident.

Ce qui reste à établir

On ignore encore à quel moment de la chaîne l'appareil a été modifié, combien d'unités sont piégées et quel est le montant exact volé : le chiffre de 86 millions de dollars vient d'enquêteurs cités par la presse, pas de Ledger. Ledger dit travailler avec les autorités et la plateforme de réponse aux incidents SEAL 911, et préparer de nouvelles protections anti-falsification sans en donner le détail.

Source

• BleepingComputer : Ledger confirms hardware wallet spy implant behind crypto thefts

• 01net : Crypto, des portefeuilles Ledger ont été piégés

• Frandroid : Ledger confirme un implant espion

• The Hacker News : Ledger Finds Unauthorized Hardware Implant