Ledger : si votre portefeuille vient de CryptoBilis, ne l'initialisez surtout pas

Le 9 octobre 2026, des utilisateurs de portefeuilles matériels Ledger achetés auprès du revendeur sud-est asiatique CryptoBilis ont vu leurs comptes vidés. Le 10 octobre, Ledger a confirmé que « un des appareils des utilisateurs touchés contenait un implant matériel non autorisé » (traduction), rapporte The Verge. La confirmation ne porte donc que sur un appareil. Les montants volés restent des estimations externes : Ledger n'en a validé aucune.

Un composant caché sous l'écran

D'après The Verge, des photos et vidéos publiées sur X et Threads montrent une petite carte électronique glissée sous l'écran. Elle intercepterait ce qui s'affiche, dont la phrase de récupération montrée à l'initialisation. Une carte SIM intégrée renverrait ensuite ces données à l'attaquant. Cette mécanique reste une hypothèse : selon crypto.news, Ledger n'a pas établi que l'implant ait causé les vols, ni précisé le modèle ou le mode d'installation.

Le chercheur Mark Karpelès, ancien dirigeant de Mt. Gox, a décrit le 9 octobre un composant caché derrière l'écran d'un Nano X reçu de Malaisie, dans un emballage apparemment intact. Une analyse de Tibane Labs évoque un microcontrôleur, du matériel de communication cellulaire et des connexions aux lignes de données de l'écran.

Des pertes estimées de 72 à 93 millions de dollars

Les chiffres divergent. Selon crypto.news, des enquêteurs on-chain ont d'abord avancé plus de 72 millions de dollars, puis plus de 86 millions. Bitquery évalue environ 92,9 millions sur 311 portefeuilles, dont près de 70,5 millions issus de TRON et 16,8 millions en bitcoins. Le cabinet indique que 10 millions de dollars d'USDT ont été gelés et que des fonds ont transité par Tornado Cash. Bitcoin News cite pour sa part 93,4 millions.

Ledger affirme : « Nous n'avons aucune indication que l'infrastructure, les systèmes ou les services de sécurité de Ledger aient été compromis » (traduction), cite crypto.news. Aucun appareil acheté directement chez lui n'est signalé.

Un cas européen non confirmé

Le 12 octobre, The Crypto Times rapporte que le chercheur Johannes (@0xJohannes_) dit avoir acheté chez MediaMarkt, environ deux semaines plus tôt, un appareil contenant un implant ressemblant à une version antérieure. Selon Bitcoin News, cette version ne dissimule pas le composant derrière l'écran. Mark Karpelès a relevé une antenne marquée « Eurasian version », ce qui suggère des variantes selon les fréquences mobiles locales.

L'appareil n'a pas transféré de fonds. Johannes avance deux explications : « Soit l'appareil ne fonctionnait pas, soit ils attendaient une utilisation plus large des appareils compromis » (traduction), rapporte Bitcoin News. Ce sont des hypothèses, non des constats vérifiés. Il recommande aussi de ne pas se fier aux contrôles logiciels de Ledger, car tous les appareils piégés les auraient passés.

Ledger maintient que tous les cas confirmés liés aux vols du 9 octobre concernent CryptoBilis. Il n'a pas confirmé que l'appareil européen relève du même incident. Selon The Crypto Times, un tel achat ne prouve pas à lui seul une attaque contre son réseau de distribution agréé.

Une cession du revendeur, sans lien établi

Changpeng Zhao, cofondateur de Binance, a écrit que les pirates avaient « apparemment racheté le revendeur » et lui avaient fait signer un accord de confidentialité. The Crypto Times souligne que cette formulation est la sienne et qu'aucune preuve ne relie l'acheteur au piégeage. Les anciens dirigeants de CryptoBilis, Arravind Prabu et Vimalatheethan, disent avoir cédé le contrôle opérationnel en mars 2026 et ne plus maîtriser les systèmes ni les bases clients. Leur déclaration n'établit pas qui a modifié les appareils.

Les consignes de Ledger

Ledger demande aux clients de CryptoBilis qui n'ont pas initialisé leur appareil de ne pas le faire. Ceux qui l'ont déjà configuré devraient envisager de transférer leurs actifs vers un nouvel appareil avec une nouvelle phrase de récupération : réutiliser l'ancienne ne règle pas le risque d'exposition. L'entreprise rappelle qu'elle ne demande jamais les 24 mots, remercie le collectif SEAL 911 et dit travailler avec les autorités. Elle annonce examiner les contrôles sur ses revendeurs et préparer des protections contre les modifications physiques, sans calendrier.

Ledger n'a toujours pas publié de nombre d'appareils touchés ni de bilan financier. Le 12 octobre, The Crypto Times attendait encore sa réponse.