Ledger : un implant détecté chez un revendeur inquiète les clients

La découverte d’un implant espion dans au moins un portefeuille Ledger vendu par CryptoBilis soulève des questions sur la sécurité des appareils avant leur arrivée chez les clients. Le fabricant a demandé la suspension des ventes du revendeur, mais l’enquête n’a pas encore établi combien d’appareils ont été modifiés ni qui en est responsable.

Ledger groupe français soutenu notamment par la Financière Agache liée à la famille Arnault, ainsi que Bpifrance, Samsung ou Korelya Capital, membres du Forum économique mondial a confirmé la présence d’un composant matériel non autorisé dans au moins un portefeuille vendu par CryptoBilis. L’appareil appartenait à un utilisateur concerné par des signalements de pertes de cryptomonnaies. La découverte porte l’attention sur une étape distincte de la conception du portefeuille : son parcours entre la fabrication et la remise à l’acheteur.

Selon CoinDesk, Ledger a ouvert une enquête le 9 octobre 2026 après les premiers signalements et demandé à CryptoBilis de suspendre les ventes et les expéditions de ses appareils. Le fabricant a confirmé le lendemain la découverte d’un implant dans l’un des portefeuilles examinés. Cette confirmation ne signifie pas que le même dispositif explique l’ensemble des vols rapportés.

Un implant capable d’observer la configuration

L’analyse de l’équipe de sécurité de Ledger, Donjon, décrite par LCX, porte sur un composant susceptible de lire les informations affichées à l’écran pendant la configuration du portefeuille. Parmi elles figure la phrase de récupération de 24 mots, qui permet de rétablir l’accès aux actifs associés à l’appareil. L’implant observé pouvait transmettre les données recueillies au moyen d’une connexion LTE et d’une eSIM.

Ce mode opératoire potentiel vise un moment déterminant : la création de la phrase de récupération par l’utilisateur. Si un tiers obtient ces mots, la protection offerte par le portefeuille matériel peut être contournée sans qu’il soit nécessaire d’extraire directement les clés du composant sécurisé. L’analyse technique décrit ce dont l’implant était capable ; l’enquête doit encore déterminer son rôle dans chaque perte signalée.

Ledger affirme, selon LCX, que l’examen de l’appareil n’a révélé ni compromission du composant chargé de protéger les clés privées, ni modification du système d’exploitation, des transactions ou des signatures numériques. La distinction importe : le problème confirmé ne correspond pas, à ce stade, à une défaillance démontrée de ces fonctions internes. Il concerne un appareil physiquement altéré, capable d’observer des informations sensibles au moment où elles apparaissent.

Une enquête centrée sur les appareils vendus par CryptoBilis

D’après CoinDesk, Ledger indique que tous les cas de pertes confirmés dans son enquête sont, pour l’heure, liés à des appareils vendus par CryptoBilis. L’entreprise dit également ne disposer d’aucun indice d’une intrusion dans ses systèmes internes, ses services ou ses canaux de vente directs. Ces constats circonscrivent les éléments dont elle dispose actuellement, sans établir le nombre total de portefeuilles modifiés.

CryptoBilis a suspendu la vente de portefeuilles matériels, puis les ventes et expéditions des marques concernées, rapporte CoinMarketCap. La mesure intervient alors que le point d’entrée de l’altération reste inconnu. Aucun élément public ne permet de dire si l’implant a été installé pendant le transport, lors du stockage ou à une autre étape de la distribution.

FrenchWeb souligne que ni l’auteur de la modification, ni le nombre d’appareils touchés, ni le lieu précis de l’intervention n’ont été rendus publics. Cette incertitude empêche de décrire une méthode unique pour tous les vols signalés. Elle limite aussi la portée des estimations de pertes qui circulent en ligne : en l’absence de bilan officiel consolidé, ces montants ne peuvent être présentés comme établis.

Des consignes différentes selon l’état de l’appareil

Pour les personnes ayant acheté un appareil auprès de CryptoBilis au cours des 90 derniers jours sans encore l’avoir configuré, Ledger recommande de ne pas commencer l’installation, selon CoinMarketCap. L’objectif est d’éviter d’afficher une nouvelle phrase de récupération sur un appareil potentiellement modifié. La recommandation vise cette situation précise et ne constitue pas une preuve que tous les portefeuilles vendus par le revendeur sont altérés.

Les utilisateurs qui ont déjà configuré un appareil suspect sont invités à transférer leurs actifs vers un nouvel appareil, en créant une nouvelle phrase de récupération. Réutiliser la phrase affichée sur le portefeuille suspect ne répondrait pas au risque identifié : si ses mots ont été observés, ils doivent être considérés comme potentiellement connus d’un tiers.

Ledger conseille également de contacter son assistance et, en cas de suspicion de modification, de déposer plainte, rapporte LCX. L’entreprise avertit que l’ouverture du boîtier peut endommager le portefeuille. Ce point prend une importance particulière alors que, selon Numerama, certains détenteurs démontent leurs appareils pour tenter de vérifier eux-mêmes leur intégrité.

La confiance dans la distribution à l’épreuve

Numerama rapporte que la découverte a alimenté des rumeurs sur les réseaux sociaux et des interrogations dépassant les seuls achats effectués auprès de CryptoBilis. La présence confirmée d’un implant dans un appareil ne permet toutefois pas de conclure à une altération généralisée des portefeuilles Ledger. Elle montre qu’un acheteur ne peut pas nécessairement déduire de l’apparence extérieure d’un produit que son parcours de distribution a été exempt d’intervention.

Au-delà des vérifications en cours chez le revendeur, Ledger rappelle, selon les informations relayées par CoinMarketCap, que les distributeurs doivent s’approvisionner par des canaux autorisés et éviter de remettre en vente des appareils retournés. Ces précautions concernent la traçabilité des produits avant leur utilisation. Elles ne répondent pas encore à la question centrale de l’enquête : à quel endroit et dans quelles circonstances l’appareil examiné a-t-il été modifié ?

L’enquête devra déterminer l’étendue des altérations et leur lien avec les pertes déclarées. En attendant ces résultats, les consignes de Ledger portent surtout sur les appareils achetés auprès de CryptoBilis et sur la protection des phrases de récupération déjà affichées.