Cybersécurité : un implant matériel met à l’épreuve la sécurité de sa chaîne de distribution
Ledger a confirmé, samedi 10 octobre, la présence d’un implant matériel non autorisé dans l’appareil d’un utilisateur concerné par son enquête sur des vols de cryptomonnaies. Les signalements portent sur des produits achetés auprès de CryptoBilis, un revendeur présent en Asie du Sud-Est. Le rôle de cette altération dans l’ensemble des pertes reste à déterminer.
Un bilan encore provisoire
Le 9 octobre, Ledger a annoncé l’ouverture d’une enquête et demandé à CryptoBilis de suspendre les ventes et expéditions de ses appareils. Le fabricant recommande aux clients ayant acheté auprès de ce revendeur au cours des 90 jours précédents de ne surtout pas commencer leur configuration.
L’analyste pseudonyme Specter évoque plus de 86 millions de dollars de pertes potentielles sur plusieurs centaines de portefeuilles. CoinDesk précise que ce montant n’a pas été confirmé indépendamment. Dans une enquête actualisée le 11 octobre, Bitquery estime pour sa part les fonds détournés à 93,2 millions de dollars sur 315 portefeuilles, répartis sur six blockchains.
Ce chiffre repose sur une analyse des transactions et des adresses que Bitquery rattache à l’incident. Ledger ne confirme pas ce bilan, et le nombre de portefeuilles recensés ne permet pas de déduire directement le nombre de personnes touchées.
Un implant confirmé, un contrôle d’authenticité aux limites précises
Dans sa mise à jour du 10 octobre, Ledger confirme l’implant, sans publier de démonstration complète de son fonctionnement ni établir qu’il explique tous les vols signalés. L’entreprise indique n’avoir aucun indice de compromission de ses infrastructures de sécurité, de ses systèmes ou de ses services.
Ledger is investigating reports of loss of funds from users in South East Asia who purchased products from a reseller named CryptoBillis. As a precaution, and pending the results of our investigation, we have asked CryptoBilis to pause all sales and shipments of Ledger devices.…
— Ledger Support (@Ledger_Support) October 9, 2026
Les premières descriptions publiques évoquent un composant ajouté près de l’écran, susceptible d’intercepter les informations affichées pendant la configuration. La phrase de récupération apparaît justement à l’écran lorsque l’utilisateur initialise son portefeuille. Un portefeuille matériel permettant de reconstruire les clés à partir de cette phrase, son interception pourrait donner à un tiers la capacité de déplacer les fonds sans posséder l’appareil d’origine.
Ledger rappelle dans sa documentation que son outil « Genuine Check » vérifie cryptographiquement l’authenticité du composant sécurisé. Il ne peut toutefois pas détecter certaines modifications physiques, dont des implants espions, lorsque la puce d’origine reste intacte. L’authenticité et l’intégrité répondent donc à deux questions distinctes : le produit contient-il une puce légitime, et ne contient-il que les éléments prévus par sa conception ?
Des précédents et une question de distribution
Le risque a déjà été documenté. En juin 2021, Kraken Security Labs décrit un Ledger Nano X modifié, reçu par un utilisateur dans un colis non sollicité, accompagné d’une fausse lettre du dirigeant de Ledger. Une petite mémoire USB contenait une application frauduleuse destinée à obtenir la phrase de récupération en demandant à son propriétaire de la saisir sur son ordinateur. En mai 2022, Trezor signale des appareils altérés vendus sur des places de marché russes non autorisées. Enfin, dans une expertise publiée en mai 2023, Kaspersky décrit un Model T dont le microcontrôleur avait été remplacé.
CryptoBilis figure dans les listes officielles de revendeurs de Ledger. Ses ventes de produits Ledger sont suspendues, sans que le revendeur soit tenu pour responsable de l’altération ni soupçonné d’en avoir eu connaissance. L’enquête doit établir où les appareils ont pu être modifiés, lors de leur transport, de leur stockage ou d’une autre étape, ainsi que les lots concernés et les éventuels intermédiaires. Ledger indique que ses accords de distribution interdisent aux partenaires de remettre en vente des appareils retournés.
Pour les acheteurs ayant déjà configuré leur appareil, Ledger recommande de transférer leurs actifs vers un nouveau dispositif initialisé avec une nouvelle phrase de récupération. Restaurer une phrase potentiellement exposée sur un appareil neuf conserverait le risque associé à sa compromission. Le fabricant rappelle également que cette phrase ne doit jamais être communiquée à un interlocuteur se présentant comme son support.
