Ledger annonce la découverte d’un implant non autorisé dans au moins un appareil vendu par CryptoBilis

Le fabricant de portefeuilles cryptographiques Ledger a confirmé qu'un appareil lié aux récentes pertes de fonds des utilisateurs contenait un implant matériel non autorisé. Selon la société, tous les cas confirmés identifiés jusqu'à présent concernent des produits distribués par l'intermédiaire du revendeur sud-est asiatique CryptoBilis.

Dans un communiqué publié le 10 octobre, Le support Ledger a déclaré, « Ledger peut confirmer que l’un des appareils des utilisateurs impactés contenait un implant matériel non autorisé. » La société a ajouté qu’elle contacte activement les utilisateurs concernés dans le cadre d’une enquête en cours, et que CryptoBilis a suspendu la vente de tout son stock de portefeuilles matériels jusqu’à la conclusion de l’enquête.

Dans une mise à jour de suivi le 11 octobre, Ledger a noté que le volume des appareils impactés semble limité. « À ce jour, tous les cas confirmés liés à l’incident de drainage divulgué du 9 octobre 2026 impliquent des appareils vendus par l’intermédiaire du revendeur CryptoBilis en Asie du Sud-Est », a déclaré la société, ajoutant que ses systèmes internes et ses canaux de vente directs restent indemnes.

La confirmation d'un implant physique constitue la première preuve concrète soutenant les spéculations antérieures sur une altération de la chaîne d'approvisionnement.

L'incident a été porté à la connaissance du public pour la première fois vendredi, lorsque Ledger a reconnu enquêter sur les rapports de fonds manquants provenant de clients ayant acheté des appareils via CryptoBilis, qui opère en Indonésie, en Malaisie et aux Philippines.

Bien que Ledger n’ait pas confirmé de perte officielle, des chercheurs tiers spécialisés dans l’analyse on-chain ont estimé la perte à entre 86 millions de dollars et 93 millions de dollars provenant de plus de 300 portefeuilles sur plusieurs blockchains, y compris Bitcoin, Ethereum et Tron. La société a réitéré qu'il n'y a aucune indication que son infrastructure de sécurité interne, ses systèmes ou ses services aient été compromis.

Ledger a déclaré qu'elle coopérait avec les autorités compétentes dimanche. La société a également rappelé à son réseau de distributeurs de s'approvisionner exclusivement par des canaux autorisés et interdit strictement la remise en stock des produits retournés.

La société a réitéré ses précédentes recommandations en matière de sécurité à l’attention des clients ayant acheté des appareils via CryptoBilis : « Ne pas initialiser les appareils non utilisés. Si l’appareil est déjà configuré, passez à une nouvelle phrase de récupération sur un appareil Ledger. » La société a incité les utilisateurs concernés à contacter le support officiel de Ledger et à déposer plainte auprès des autorités locales.

Ledger a également averti que les escrocs tentent souvent d'exploiter ce type d'incidents, rappelant aux utilisateurs que la société ne les appellera jamais, ne leur enverra jamais de message direct, ni ne leur demandera leur phrase de récupération de 24 mots.

Quand les portefeuilles seront-ils SAFU ?

L'incident Ledger a de nouveau soulevé des questions plus larges dans l'industrie questions concernant sécurité des portefeuilles matériels. Suite à l'effondrement de la plateforme FTX en 2022, des millions d'investisseurs ont transféré leurs actifs en auto-gardiennage, s'appuyant fortement sur des portefeuilles matériels physiques fabriqués par des entreprises telles que Ledger et Coinkite (fabricants de Coldcard) pour conserver les clés privées entièrement hors ligne.

En pratique, cependant, le stockage physique n'a pas été à l'abri des vulnérabilités.

En juillet 2026, une faille dans le firmware de génération de seed de Coldcard a permis aux attaquants pour siphonner une estimation de 100 millions à 130 millions de dollars en bitcoin, selon les données des chercheurs en blockchain.

Dans cette exploitation en cours, Ledger affirme que la manipulation physique est strictement limitée au lot distribué par CryptoBilis et prend les mesures nécessaires pour éviter de tels risques.

« La sécurité n’est pas statique et cet incident souligne pourquoi nous révisons et renforçons continuellement nos processus de distribution et de protection contre la falsification », Ledger a déclaré dans son article du 11 octobre.

Elle a ajouté qu'elle examine les contrôles des revendeurs agréés, améliore les protections matérielles et appelle à des améliorations plus larges dans les pratiques de chaîne de possession au sein de l'industrie.

Toutefois, les spéculations concernant la manière dont la chaîne d'approvisionnement a été compromise continuent de circuler.

Dans un post sur X, Changpeng Zhao (CZ), cofondateur de Binance allégué que les attaquants « auraient apparemment acheté le revendeur et l’ont fait signer un accord de non-divulgation afin de garder le silence. »

Ces affirmations n'ont pas été vérifiées de manière indépendante. CryptoBilis n'a pas répondu immédiatement aux demandes de commentaires concernant l'incident ou les allégations spécifiques de Zhao.