Après toutes ces années dans le milieu, je n’ai jamais vu de méthode de vol de cryptos aussi cauchemardesque. Les pirates n’ont même pas besoin d’écrire une ligne de code : une carte eSIM est déjà soudée à l’intérieur du portefeuille matériel.

Le témoignage douloureux d’un utilisateur : en juin, il a acheté 80 BTC à 65 000 dollars pour profiter de la baisse, puis les a transférés sur Ledger il y a une semaine. Aujourd’hui, son portefeuille a été vidé. Il avait 1,38 million de dollars de gains latents : tout est parti en fumée, capital compris.

Au cours des dernières 24 heures, les pertes liées à l’incident suivies par MistTrack ont déjà approché les 90 millions de dollars. Tether a commencé à geler les USDT des adresses impliquées. Mark Karpelès, ancien PDG de Mt. Gox, a lui-même démonté un Ledger acheté en Malaisie. Il a découvert, à l’emplacement du coussinet derrière l’écran, un dispositif espion soudé comprenant un module de communication LTE, une antenne, une eSIM et un microcontrôleur. L’autocollant était d’origine, le film thermorétractable intact : impossible de repérer quoi que ce soit sans ouvrir l’appareil.

/

❚ Le principe du vol est plus simple que vous ne le pensez

La sécurité d’un portefeuille matériel tient à un principe essentiel : l’isolation

  • La clé privée reste dans la puce, elle ne sort pas de l’appareil

  • La signature est effectuée dans l’appareil. Seul l’ordinateur hôte est connecté à Internet, pas le portefeuille lui-même.

Cette attaque a fait voler en éclats cette hypothèse. Le microcontrôleur implanté est connecté au bus SPI du Ledger et peut lire les caractères que l’écran doit afficher. Or, pendant l’initialisation de la phrase de récupération, les 24 mots s’affichent justement un à un. Le module transmet ces caractères via LTE. Une fois la phrase de récupération en leur possession, les attaquants n’ont plus besoin de connaître la robustesse de votre mot de passe ni vos habitudes : ils n’ont qu’à attendre le bon moment pour tout vider en un clic.

En clair, vous pensez avoir affaire à un coffre-fort isolé. Mais sous le coffre se cache un téléphone : il reste invisible, mais il voit tout ce qui s’affiche à l’écran.

❚ L’historique de sécurité de Ledger

Les habitués du milieu ne sont pas surpris par les problèmes de sécurité de Ledger. Reprenons les événements dans l’ordre ⬇️

1/ 2018 : une faille révélée lors de recherches sur le matériel

  • Un chercheur a montré qu’un Nano S pouvait être modifié avant sa sortie d’usine et que le bootloader du MCU pouvait être contourné

  • Il s’agissait principalement de problèmes de niveau recherche, corrigés par Ledger ; les pertes réelles ont été rares

2/ 2020 : fuite massive d’une base de données de commerce en ligne

  • Plus d’un million d’adresses e-mail et plus de 270 000 noms, numéros de téléphone et adresses de clients rendus publics

  • Le matériel et les clés privées n’ont pas été touchés, mais cette affaire a déclenché des années de campagnes de phishing et de faux courriers officiels à n’en plus finir

3/ Décembre 2023 : attaque de la chaîne d’approvisionnement de Connect Kit

  • Un ancien employé a été victime de phishing, son compte npm a été compromis et une version malveillante a été injectée dans toutes les DApps dépendant de cette bibliothèque

  • Volés en deux heures : entre 480 000 et 600 000 dollars

  • Le matériel n’a pas été compromis, mais tout le monde a compris pour la première fois que les dépendances front-end pouvaient aussi être une porte d’entrée pour les risques

4/ Janvier 2026 : nouvelle fuite de données de commandes chez le prestataire tiers Global-e

  • Un vieux problème qui continue d’alimenter l’écosystème du phishing

5/ Avril 2026 : arnaque à la fausse appli Ledger Live sur l’App Store

  • En incitant les utilisateurs à saisir leur phrase de récupération de 24 mots, les pirates ont volé plus de 9,5 millions de dollars à plus de 50 personnes en une semaine

  • Avant l’incident actuel, c’était la perte la plus importante en une seule attaque

6/ Août 2026 : faille de signature Ethereum LSB-023

  • La validation claire des transactions (clear-signing) pouvait être contournée, mais cela nécessitait la complicité d’un ordinateur hôte malveillant ; aucune exploitation réelle n’a été constatée

7/ 9 octobre 2026 : attaque de la chaîne d’approvisionnement de CryptoBillis

  • Les pertes suivies approchent les 90 millions de dollars, soit près de 10 fois le précédent record

Un schéma très clair se dégage. Jusqu’ici, les incidents ne faisaient que révéler des métadonnées ou exigeaient que l’utilisateur fasse lui-même une bêtise (installer une fausse appli, saisir sa phrase de récupération). Mais cette fois, votre phrase de récupération n’a jamais quitté vos mains, l’appareil ne s’est jamais connecté à Internet et tout s’est déroulé normalement. Pourtant, votre argent a disparu.

❚ Pourquoi l’Asie du Sud-Est, précisément ?

CryptoBillis est un revendeur agréé de Ledger en Asie du Sud-Est. Par rapport à une commande sur le site officiel, passer par un revendeur coûte un peu moins cher, la livraison est plus rapide et on évite la logistique internationale. Dans le milieu crypto d’Asie du Sud-Est, c’est une façon très courante d’acheter. À Bangkok, plusieurs de mes amis sont passés par ce canal.

Le côté cauchemardesque des attaques de la chaîne d’approvisionnement, c’est que

  • Pas besoin de pirater Ledger lui-même

  • Aucune erreur de l’utilisateur nécessaire

  • Il suffit de compromettre le maillon d’un seul revendeur pour mener des attaques à grande échelle

Ledger a déjà demandé à CryptoBillis de suspendre les ventes et les livraisons, et recommande aux utilisateurs ayant acheté un appareil par ce canal au cours des 90 derniers jours de transférer leurs actifs au plus vite. Mais combien d’appareils ont été écoulés ? Est-ce le seul revendeur touché ? Même Ledger n’est pas en mesure de le confirmer.

❚ Conseils pratiques

Après les explications, quelques conseils pratiques

1/ Achetez vos portefeuilles matériels uniquement sur le site officiel. Ne passez par aucun tiers.

  • Y compris les liens recommandés par de gros influenceurs, les revendeurs, Taobao, Xianyu et les appareils rapportés par des amis

  • Pour économiser trois bouts de chandelle, autant brûler directement l’appareil

2/ À la réception de l’appareil, n’utilisez aucune des cartes de phrase de récupération fournies. Réinitialisez-le.

  • Vérifiez soigneusement l’authenticité de l’appareil à l’aide de la procédure Genuine Check du site officiel de Ledger

  • Si nécessaire, renvoyez l’appareil au fabricant pour un contrôle physique

3/ Répartir les actifs importants entre plusieurs portefeuilles

  • Ne mettez pas tout votre patrimoine dans un seul portefeuille

  • Répartissez vos actifs entre plusieurs signatures ou plusieurs adresses afin d’augmenter le coût d’une défaillance unique

4/ Changez régulièrement de portefeuille

  • Même si tout va bien aujourd’hui, rien ne garantit que ce sera encore le cas dans trois ans

  • C’est comme changer la serrure de votre compte

5/ Suivez de près les alertes en temps réel d’organismes comme MistTrack et SlowMist

  • Il y a un délai entre l’attaque et son suivi. Changer de portefeuille plus tôt peut vous sauver la mise.

/

En un mot : le plus effrayant dans cette affaire, ce ne sont pas les montants perdus, mais le fait qu’elle remet en cause les idées reçues sur la sécurité des portefeuilles matériels

Avant, on pensait que tant qu’on ne faisait pas de bêtises, notre argent était en sécurité. Il faut désormais ajouter une chose : l’objet que vous achetez n’est peut-être pas celui que vous croyez.

Franchement, après avoir écrit cet article, j’ai moi-même envie de ranger mon Ledger et de changer de marque. Le marché est déjà une vraie galère, et voilà qu’on se prend une frayeur pareille.

(Cet article s’appuie sur les informations de MistTrack, les déclarations publiques de Mark Karpelès et les annonces historiques de Ledger. Il ne constitue pas un conseil ; vérifiez les informations par vous-même.)