Le 13 octobre 2026, MediaMarkt a retiré les Ledger de ses magasins et de ses sites de vente en ligne. Un porte-parole de MediaMarktSaturn, maison mère des enseignes MediaMarkt et Saturn, a confirmé la mesure. Le groupe se dit en contact avec le fabricant français, rapporte CyberInsider.
La décision suit le témoignage d’un client allemand, publié le 12 octobre. Il affirme avoir acheté deux Ledger dans deux magasins MediaMarkt différents. Selon lui, chacun contenait des câbles ajoutés et un module de téléphonie mobile. Ses fonds n’ont pas bougé. Ni Ledger ni l’enseigne n’ont authentifié ces appareils à ce stade. Plusieurs médias évoquent un retrait sur tout le réseau européen du groupe, sans que celui-ci ait précisé ce périmètre.
Ledger confirme le mode opératoire de l’implant
Le même jour, l’équipe de sécurité de Ledger a publié son analyse des boîtiers CryptoBilis. Ce revendeur agréé d’Asie du Sud-Est est au cœur des vols constatés depuis le 9 octobre. Le dispositif, logé dans le boîtier, surveille l’écran. Quand l’appareil affiche les 24 mots de la phrase de récupération, un microcontrôleur les décode. Il les transmet ensuite par le réseau mobile, grâce à une carte SIM virtuelle.
Ledger valide ainsi la description avancée par le chercheur Mark Karpelès. Lors des premières révélations sur les boîtiers CryptoBilis, le fabricant ne l’avait pas encore confirmée.
La puce sécurisée n’est pas en cause
L’implant fonctionne à côté de la puce qui protège les clés, sans modifier les transactions. Il n’en a pas besoin. La phrase de récupération, véritable clé maîtresse, suffit à reconstituer le portefeuille ailleurs et à le vider à distance. Le test d’authenticité de Ledger ne repère d’ailleurs pas ce type d’ajout tant que la puce d’origine reste intacte.
Ledger circonscrit les vols à CryptoBilis
Ledger dit n’avoir relevé aucune compromission de ses propres systèmes. Tous les vols confirmés concernent des appareils CryptoBilis. Le fabricant examine désormais des signalements venus d’autres lieux de vente. En revanche, il n’a confirmé aucun vol lié à un boîtier acheté ailleurs. Il annonce aussi un réexamen des contrôles imposés à ses revendeurs.
Un retrait que le droit européen n’exige pas encore
Le retrait des Ledger par MediaMarkt relève de sa propre initiative. Le règlement européen sur la cyberrésilience n’oblige pour l’heure que les fabricants. Ceux-ci doivent signaler leurs incidents graves depuis le 11 septembre 2026. Les devoirs des distributeurs ne s’appliqueront qu’au 11 décembre 2027. Ils leur interdiront alors de vendre un produit qu’ils ont des raisons de croire non conforme.
La distribution, angle mort du modèle
Ledger, fleuron français du secteur, vend un objet conçu pour garder les clés hors d’internet. L’affaire déplace le risque vers le trajet entre l’usine et l’acheteur. CryptoBilis figurait pourtant sur la liste officielle des revendeurs de Ledger. Le statut de revendeur agréé ne garantit donc plus, à lui seul, qu’un boîtier n’a pas été ouvert en route. L’analyse du second appareil allemand, envoyé à Ledger par son acheteur, dira si la menace a gagné l’Europe.
FAQ
Que conseille Ledger aux acheteurs d’un boîtier suspect ?
Ledger n’a publié aucune consigne propre aux appareils vendus par MediaMarkt. Pour un boîtier suspect, il demande de contacter son support officiel et de conserver l’appareil pour l’enquête. Il rappelle qu’il ne demande jamais la phrase de récupération.