Ledger confirme la découverte d'un dispositif espion dans un wallet crypto

L’affaire Ledger prend une nouvelle tournure. Le fabricant de wallets crypto confirme avoir découvert un implant matériel non autorisé dans l’appareil d’un utilisateur touché par les récents vols en Asie du Sud-Est. La piste d’une manipulation physique avant livraison se renforce. Les pertes suspectées approchent désormais 93 millions de dollars, mais ce montant n’a pas été validé par Ledger.

Ledger confirme enfin une manipulation physique

Quelques jours plus tôt, Ledger enquêtait encore sans confirmer la cause. Plus de 86 millions de dollars de pertes étaient alors associés à des wallets achetés chez CryptoBilis, un revendeur présent en Asie du Sud-Est. Samedi 10 octobre, l’entreprise a apporté un élément beaucoup plus concret.

Un appareil appartenant à l’un des utilisateurs touchés contenait un implant matériel non autorisé. Cette découverte renforce sérieusement l’hypothèse d’une attaque de la chaîne d’approvisionnement.

CryptoBilis vendait notamment des appareils Ledger en Indonésie, en Malaisie et aux Philippines. Ledger lui avait déjà demandé d’arrêter temporairement les ventes et expéditions pendant l’enquête. Le revendeur a depuis suspendu la vente de l’ensemble de ses hardware wallets.

Ledger insiste néanmoins sur un point : aucune preuve ne montre actuellement que son infrastructure, ses systèmes ou ses services internes ont été compromis. La distinction est importante. Le problème pourrait se situer après la fabrication, quelque part entre le constructeur et l’utilisateur final.

Un implant capable d’espionner la phrase de récupération

L’ancien patron de Mt. Gox, Mark Karpelès, avait publié des images d’un Ledger Nano X modifié avant même la confirmation officielle de Ledger. À l’intérieur, il affirme avoir découvert une petite carte électronique dissimulée derrière l’écran. Le dispositif comprenait notamment des composants de communication cellulaire.

Son fonctionnement présumé est particulièrement gênant pour la sécurité crypto. L’implant n’aurait pas besoin de casser le Secure Element de Ledger. Il pourrait simplement surveiller les informations envoyées vers l’écran pendant la configuration du wallet.

C’est précisément à ce moment que les 24 mots de récupération apparaissent. Une fois cette phrase interceptée, l’attaquant peut théoriquement recréer le wallet sur un autre appareil et déplacer les actifs sans avoir besoin du Ledger original.

Le dispositif pourrait même laisser intacte la puce sécurisée d’origine. Un appareil modifié de cette manière serait donc susceptible de paraître authentique lors de certains contrôles. L’affaire illustre un autre visage des attaques de supply chain. En 2025 déjà, le CTO de Ledger avait alerté sur une compromission de paquets NPM menaçant les utilisateurs crypto. Cette fois, le problème ne se cache pas dans un logiciel. Il se trouve directement dans le matériel.

Jusqu’à 93 millions $ de crypto sous surveillance

Les chiffres continuent d’évoluer. Yfarmx estime les pertes suspectées à environ 93,4 millions de dollars répartis sur 471 adresses. Bitquery arrive à environ 92,9 millions sur 311 adresses uniques.

Ledger n’a confirmé aucun de ces totaux. Il n’est pas non plus établi que chaque adresse comptabilisée corresponde à un appareil physiquement modifié. Pour l’instant, Ledger n’a publiquement confirmé l’implant que sur un appareil appartenant à un utilisateur concerné.

Bitcoin, ether et plusieurs stablecoins figurent parmi les actifs suivis dans les transactions suspectes. Ledger recommande aux personnes ayant récemment acheté un appareil chez CryptoBilis de ne pas commencer sa configuration. Pour celles qui l’ont déjà utilisé, l’entreprise conseille d’envisager un transfert vers un nouveau signer avec une nouvelle phrase de récupération.

Réutiliser les mêmes 24 mots sur un nouvel appareil ne réglerait évidemment rien si la phrase a déjà été interceptée. Ledger travaille aussi sur de nouvelles protections contre les manipulations physiques. L’épisode intervient alors que les hardware wallets sont justement vendus comme une solution permettant de conserver ses clés crypto loin des plateformes centralisées. Pourtant, aucun système ne protège contre tous les scénarios.

Une fausse application Ledger avait déjà permis de détourner près de 9,5 millions de dollars en crypto plus tôt cette année. Ici, l’attaque est différente. L’utilisateur peut suivre les règles habituelles, conserver sa phrase de récupération hors ligne et ne signer aucune transaction suspecte. Si l’appareil lui-même a été modifié avant son arrivée, la menace commence encore plus tôt. C’est précisément ce que Ledger doit maintenant déterminer : combien d’appareils ont été manipulés, à quel moment et par qui.