Ledger : un implant confirmé chez un client de CryptoBilis

Ledger confirme la présence d’un implant matériel non autorisé dans l’appareil d’un utilisateur touché par l’affaire CryptoBilis. Le revendeur a suspendu ses ventes de hardware wallets. Cette confirmation, publiée le 10 octobre, donne une base concrète à l’enquête, mais ne valide pas toutes les affirmations des messages viraux.

Le chiffre d’environ 81 millions de dollars vient d’une estimation on-chain de Hacken couvrant Bitcoin, Ethereum et Tron. Il ne s’agit pas d’un montant annoncé par Ledger, ni d’une preuve que chaque appareil vendu était piégé. Le point technique est ailleurs : un dispositif peut être authentique tout en ayant été physiquement modifié.

En bref

• Ledger a confirmé un implant dans un appareil, pas dans tous les wallets du revendeur.
• Hacken évoquait environ 81 millions de dollars suivis sur trois réseaux le 9 octobre.
• Le contrôle d’authenticité de la puce sécurisée ne garantit pas l’absence de matériel espion ajouté.

Ledger confirme un implant, pas une compromission générale

Le dossier illustre une limite déjà abordée dans notre analyse des risques des hardware wallets : protéger les clés dans une puce résistante ne résout pas automatiquement tous les problèmes de fabrication, de transport ou de revente. L’intégrité de l’objet livré compte aussi.

Dans sa mise à jour du 10 octobre, Ledger dit avoir trouvé un implant dans l’appareil d’un utilisateur affecté. L’entreprise indique travailler avec les personnes concernées, les autorités et Security Alliance. Elle précise n’avoir aucun indice de compromission de ses infrastructures, systèmes ou services.

Ces constats ne permettent pas de désigner publiquement l’auteur de la modification, ni d’étendre le diagnostic à chaque appareil. Un défaut de la chaîne d’approvisionnement, une attaque contre les services centraux et une compromission générale de tous les wallets seraient trois conclusions différentes.

81 millions de dollars suivis, pas uniquement du Bitcoin

Le point publié par Hacken le 9 octobre évoquait environ 81 millions de dollars retracés sur huit adresses, réparties entre Bitcoin, Ethereum et Tron. L’équipe précisait alors que la cause initiale restait inconnue.

Il faut conserver ces deux dimensions : les flux peuvent être observés tandis que leur origine technique nécessite encore une enquête. La confirmation d’un implant le lendemain ne démontre pas, à elle seule, que cet implant explique l’ensemble des pertes estimées.

Le chiffre décrit une photographie de l’analyse, pas un bilan judiciaire définitif au 12 octobre. Les adresses suivies ne sont pas non plus un décompte de victimes : une personne peut utiliser plusieurs adresses, et un collecteur peut recevoir des fonds de plusieurs propriétaires.

C’est pourquoi vérifier une transaction Bitcoin dans un explorateur permet d’établir un mouvement, mais pas d’identifier automatiquement le mécanisme du vol. Une blockchain montre des transactions ; elle ne filme pas ce qui s’est passé à l’intérieur du wallet.

L’espionnage peut viser les mots affichés à l’écran

Le rapport technique de Tibane Labs décrit des implants ajoutés à des Ledger Nano X authentiques. Leur principe consiste à observer les données envoyées à l’écran lors de l’affichage de la phrase de récupération, puis à transmettre les mots reconnus par une connexion cellulaire.

La distinction avec une extraction directe des clés privées est importante. Dans le mécanisme étudié, l’attaquant contourne la protection en capturant la phrase lorsqu’elle doit être montrée à l’utilisateur. Posséder cette phrase peut ensuite permettre de reconstruire les clés, sans casser le composant sécurisé lui-même.

Ces travaux constituent une analyse de spécimens, pas la preuve matérielle de tous les vols CryptoBilis. Tibane souligne notamment que l’un de ses appareils n’a pas été acheté auprès de ce revendeur et qu’aucun lien entre les deux n’est établi dans son rapport.

Le chercheur Joe Grand présente également une rétro-ingénierie d’un implant Nano X réel, exposée à hardwear.io USA 2026. Cette recherche documente une catégorie d’attaque. Sans retrouver la vidéo virale d’origine, on ne peut pas prétendre que les images relayées montrent précisément les appareils de cette affaire.

Pourquoi le contrôle d’authenticité peut rester vert

La documentation de Ledger Donjon précise que le Genuine Check authentifie le Secure Element. Celui-ci répond à une vérification cryptographique attestant son origine. Le contrôle ne constitue pas une inspection physique de tous les composants autour de lui.

Ledger reconnaît explicitement qu’un implant espion ajouté peut ne pas être détecté si le Secure Element d’origine reste intact. L’appareil peut donc réussir le test parce que sa puce est véritable, tout en comportant un ajout non autorisé.

L’emballage ne suffit pas davantage. La même documentation explique que les sceaux peuvent être reproduits et qu’une boîte peut être ouverte puis refermée. La question ne se limite donc pas à « vrai ou faux Ledger » : elle porte aussi sur ce qui a pu être ajouté à un appareil authentique.

Ce que Ledger recommande aux acheteurs concernés

Dans sa mise à jour du 10 octobre, Ledger recommande aux clients de ce revendeur de ne pas commencer la configuration d’un appareil encore inutilisé. Pour ceux qui l’ont configuré, l’entreprise invite à envisager le déplacement des actifs vers un nouvel appareil doté d’une nouvelle phrase de récupération.

La nouvelle phrase est le point décisif. Restaurer les mêmes mots sur un autre appareil ne change pas les clés contrôlant les fonds. Cette distinction est au cœur du fonctionnement d’un portefeuille crypto.

Ces consignes visent les clients concernés par l’enquête, pas une migration généralisée de tous les utilisateurs Ledger. Les précautions de sécurité contre le phishing restent essentielles : aucun prétendu support ne doit recevoir la phrase de récupération pour « vérifier » ou « réparer » le wallet.

L’agrément du revendeur ne clôt pas l’enquête

Lors de notre vérification, la liste officielle de Ledger pour la Malaisie affichait CryptoBilis avec la mention de ventes temporairement suspendues. L’affiliation au réseau de revendeurs est donc vérifiable ; la durée exacte évoquée dans le message viral ne l’est pas sur cette seule page.

Le statut commercial ne prouve ni l’absence d’altération matérielle, ni la culpabilité d’une personne travaillant chez le distributeur. Les responsabilités, le nombre d’appareils affectés et le lien entre chaque perte et chaque dispositif restent à établir.

Le fait confirmé est suffisamment sérieux sans l’amplifier : un implant a été trouvé et les ventes ont été arrêtées. L’enquête doit désormais relier les appareils examinés aux transactions observées. C’est cette démonstration, et non la seule circulation d’une vidéo spectaculaire, qui permettra de mesurer l’étendue réelle de l’attaque.