Scandale de la puce espion de Ledger : les hardware wallets restent-ils sûrs ?

​Ledger a confirmé la présence d’une implantation matérielle non autorisée dans l’appareil d’un client, liée à plus de 86 millions $ de pertes en cryptomonnaies. Cela révèle une grave vulnérabilité dans la chaîne d’approvisionnement des hardware wallets. Une enquête plus approfondie sur le revendeur d’Asie du Sud-Est CryptoBilis permettra d’évaluer les risques de falsification physique et les moyens de rétablir le statut des cold wallets comme méthode la plus sûre de stockage des cryptomonnaies.

Implant confirmé et ampleur des pertes

La confirmation par Ledger d’une implantation matérielle non autorisée a mis au jour de nombreux problèmes cachés concernant ses wallets. Les principaux risques concernent les acheteurs ayant acquis des appareils auprès du revendeur d’Asie du Sud-Est CryptoBilis. Ledger affirme que ses systèmes ne présentent aucune vulnérabilité. Les analystes blockchain de Bitquery ont recensé environ 93,2 millions $ dérobés dans 315 wallets sur Tron, Bitcoin, Ethereum, BNB Chain, Polygon et Solana. Tether a gelé environ 10 millions $ d’USDT liés à l’affaire. Ledger n’a pas encore confirmé ces chiffres. 

Voir la publication sur X Chargement…

Le tweet a été supprimé par son auteur.

Mais nous avons tout sauvegardé 🙂.

Le 10 octobre, Ledger Support a publié une mise à jour de la situation indiquant : 

« Ledger peut confirmer que l’appareil de l’un des utilisateurs touchés contenait une implantation matérielle non autorisée. » 

L’entreprise coopère avec les autorités et le collectif de sécurité SEAL 911. Elle a demandé à CryptoBilis de suspendre toutes les ventes de hardware wallets. 

« Nous n’avons aucune indication que l’infrastructure de sécurité, les systèmes ou les services de Ledger aient été compromis », ajoute le communiqué. 

Anatomie du module espion

Les chercheurs décrivent une modification physique sophistiquée qui n’a nécessité ni exploit logiciel ni compromission d’un secure element. L’ancien directeur général de Mt. Gox, Mark Karpelès, a examiné un Ledger Nano X acheté en Malaisie et y a découvert une petite carte de circuit imprimé. 

« Mon Ledger doté d’un implant espion provenait de Malaisie et son film plastique était impeccable », a-t-il écrit. « Même en l’ouvrant, on ne voit pas l’implant au premier abord, car il est habilement dissimulé à l’endroit où devrait se trouver le rembourrage de l’écran. »

Voir la publication sur X Chargement…

Le tweet a été supprimé par son auteur.

Mais nous avons tout sauvegardé 🙂.

L’implant comprend généralement un microcontrôleur, un module cellulaire ou LTE, une eSIM et une antenne. Lorsque l’appareil génère sa phrase de récupération de 24 mots lors de la configuration initiale, le module peut reconstituer les mots à partir du flux de pixels et les transmettre via le réseau cellulaire. Comme le secure element reste authentique, le « Genuine Check » de Ledger est toujours validé. Un utilisateur classique n’a donc pratiquement aucune chance de détecter le problème.

Un problème de canal de distribution, pas une défaillance d’usine

Ledger a indiqué que l’incident se limite aux appareils vendus par CryptoBilis, un revendeur agréé opérant en Indonésie, en Malaisie et aux Philippines. À ce jour, aucun cas ne fait état de problèmes avec des appareils achetés directement sur la boutique de Ledger. L’entreprise souligne qu’aucune chaîne d’approvisionnement mondiale n’est à l’abri d’une interception une fois les produits sortis de l’usine. Les anciens cofondateurs de CryptoBilis ont déclaré que l’entreprise avait changé de propriétaire plus tôt en 2026, affirmant ainsi ne pas être responsables de ces détournements.

Voir la publication sur X Chargement…

Le tweet a été supprimé par son auteur.

Mais nous avons tout sauvegardé 🙂.

Le schéma d’activité on-chain montre que plusieurs wallets ont autorisé le même spenders en quelques secondes. Cela prouve que ces cas relèvent d’un accès coordonné aux clés privées plutôt que de tentatives de phishing individuelles. Toutefois, Ledger n’a pas associé chaque adresse vidée à un implant confirmé, tandis que l’enquête interne se poursuit.

Examen par les experts et alertes antérieures

Les analystes hardware ont déterminé que le module surveille passivement le trafic non chiffré de l’écran sans attaquer le secure element. Selon Karpelès et Tibane Labs, les versions ultérieures ont réduit le câblage visible. Cela a permis de conserver la batterie d’origine afin de résister à une inspection sommaire. Les experts ont présenté de nouveaux tutoriels vidéo permettant aux utilisateurs de vérifier leurs appareils.

Voir la publication sur X Chargement…

Le tweet a été supprimé par son auteur.

Mais nous avons tout sauvegardé 🙂.

Le directeur de la sécurité des systèmes d’information de SlowMist a indiqué qu’un tel module pouvait enregistrer les phrases de récupération. Toutefois, une enquête est nécessaire pour comprendre pleinement les principales causes sous-jacentes. Le scandale a également entraîné de nouvelles tentatives de phishing : de faux sites web et de fausses applications Ledger sont apparus dans les résultats de recherche. Les représentants de Ledger ont rappelé que l’entreprise ne demandera jamais la phrase de 24 mots d’un utilisateur.

Conséquences pour le cold storage

Les hardware wallets sont traditionnellement considérés comme la référence en matière d’auto-conservation, car les clés privées ne quittent pas l’appareil. Cependant, ce scandale révèle un nouveau type de risque susceptible de survenir au niveau de la distribution. Ledger affirme « travailler sur des solutions anti-falsification supplémentaires et renforcées » et conseille aux utilisateurs d’acheter uniquement via les canaux officiels et d’inspecter visuellement les wallets avant leur configuration. 

Voir la publication sur X Chargement…

Le tweet a été supprimé par son auteur.

Mais nous avons tout sauvegardé 🙂.

L’enquête forensique permettra d’évaluer l’ampleur totale des pertes, car il est fort probable que de nombreux cas ne soient pas encore documentés. Nous recommandons donc de considérer tout appareil issu du canal concerné comme potentiellement compromis. Si des fonds peuvent être menacés, générez une nouvelle phrase de récupération sur un wallet fiable (neuf).