L’affaire Ledger CryptoBilis a changé de nature le 10 octobre 2026. Le fabricant français a confirmé qu’un boîtier vendu par ce revendeur d’Asie du Sud-Est cachait un implant matériel non autorisé. Des acheteurs en Indonésie, en Malaisie et aux Philippines voient leurs comptes vidés depuis le 9 octobre. Ces boîtiers conservent hors ligne les clés d’accès aux cryptomonnaies de leur propriétaire.
Ledger circonscrit l’attaque à un seul revendeur
Le 11 octobre, Ledger a précisé dans un message publié sur X que tous les cas confirmés venaient de CryptoBilis. Selon la société, ses systèmes internes et ses ventes directes ne sont pas touchés. Elle annonce un réexamen des contrôles imposés à ses revendeurs agréés. CryptoBilis a suspendu la vente de tous ses portefeuilles matériels.
Ledger ne publie aucun chiffre de pertes. La société d’analyse Bitquery évalue les vols à 93,2 millions de dollars, prélevés sur 315 portefeuilles. Tether, émetteur du stablecoin USDT, a gelé environ 10 millions de dollars de jetons volés. Le voleur a converti une partie du reste en USDD, un stablecoin hors de portée de Tether, selon Crypto Briefing.
Un revendeur racheté en mars
Un cofondateur de CryptoBilis a confirmé la vente de la société en mars. Depuis le 3 août, son capital appartient à un seul particulier, domicilié dans la province chinoise du Heilongjiang, selon les registres cités par Odaily. Aucun lien n’est établi à ce stade entre cette cession et les vols.
La puce de sécurité n’a pas été forcée
Selon le chercheur Mark Karpelès, l’implant ne s’attaque pas à la puce qui protège les clés. Il lit la phrase de récupération au moment où elle s’affiche à l’écran, lors de la mise en service. Il la transmet ensuite par un module cellulaire. Ledger n’a pas confirmé ce mécanisme. Or une phrase de récupération dérobée suffit à vider un portefeuille depuis n’importe quel appareil.
Dimanche, un utilisateur a affirmé avoir trouvé un implant similaire dans un Ledger acheté chez MediaMarkt, en Europe, rapporte Bitcoin.com. Ses fonds n’ont pas bougé, et Ledger n’a pas confirmé ce cas.
Trois marques, trois failles différentes
Ledger est la troisième marque de portefeuilles touchée par des vols depuis juillet. Chez Coldcard, une erreur logicielle remontant à 2021 rendait les clés prévisibles. Chez D’CENT, les clés ont fui par l’application mobile. Le cas Ledger, lui, vise le trajet entre l’usine et l’acheteur. Le 8 octobre, Europol jugeait déjà que la menace quantique pèserait sur les portefeuilles, pas sur le bitcoin.
La responsabilité de Ledger reste ouverte
CryptoBilis figurait sur la liste des revendeurs officiels publiée par Ledger. L’autoconservation écarte le risque lié à la garde des actifs par une plateforme, pas celui d’un boîtier trafiqué avant la vente.
Depuis le 11 septembre 2026, le règlement européen sur la cyberrésilience oblige les fabricants à signaler sous 24 heures tout incident grave touchant un produit. Ce texte ne vise que les produits vendus dans l’Union, ce qui exclut les boîtiers écoulés en Asie du Sud-Est. Le cas MediaMarkt, s’il était confirmé, porterait en revanche sur un appareil vendu en Europe. L’enquête Ledger CryptoBilis devra établir où les boîtiers ont été ouverts.
FAQ
Que conseille Ledger aux acheteurs de CryptoBilis ?
Ledger demande aux personnes qui ont acheté un appareil chez ce revendeur au cours des 90 derniers jours de ne pas le mettre en service. Celles qui l’ont déjà configuré sont invitées à transférer leurs fonds vers un nouvel appareil Ledger, avec une nouvelle phrase de récupération.