Comment sauver votre portefeuille matériel ?
Ledger a été frappé par le plus grand incident de sécurité de son histoire : les pertes s’élèvent à environ 90 millions de dollars, et ce montant pourrait encore augmenter.
1⃣ Un revendeur le « prépare » avant de vous le vendre
Des appareils Ledger vendus par CryptoBilis, un revendeur agréé en Asie du Sud-Est, auraient été équipés d’un module espion. Ledger a officiellement demandé à ce revendeur de suspendre ses ventes et conseillé aux utilisateurs ayant acheté un appareil par ce canal au cours des 90 derniers jours de transférer immédiatement leurs actifs.
Acheter un portefeuille matériel sur des plateformes comme JD ou Taobao, c’est encore aujourd’hui payer pour apprendre à ses dépens.
2⃣ Voici la plus grande victime : 80 BTC réduits à zéro
Selon le suivi de Lookonchain, un utilisateur a acheté 80 BTC en juin, au prix de 65 000 dollars l’unité (soit un investissement d’environ 5,2 millions de dollars, qui a un temps affiché 1,38 million de dollars de gains latents). Il y a une semaine, il a acheté un Ledger chez CryptoBilis et y a transféré tous ses bitcoins, avec l’intention de les conserver à long terme. Puis le retournement de situation : il a tout perdu, ses 80 BTC.
Un autre utilisateur, dont l’adresse est TY24Ya, a acheté un appareil Ledger chez CryptoBillis il y a trois semaines et y a déposé 7 millions d’USDT. La totalité de ces fonds a désormais été dérobée.
3⃣ Générer sa phrase de récupération hors ligne ne sert à rien
Mark Karpelès, ancien PDG de Mt. Gox, a démonté un Ledger et expliqué le problème :
L’appareil compromis venait de Malaisie. Son emballage extérieur était encore sous film rétractable et rien ne semblait anormal à l’œil nu.
Le module espion était dissimulé à l’emplacement du coussinet amortisseur de l’écran : un composant de communication LTE, une antenne, une eSIM et un microcontrôleur relié au bus SPI.
Au moment même où vous configurez votre phrase de récupération sur l’écran, le module la lit et l’envoie à l’extérieur. Ensuite, les attaquants n’ont plus qu’à surveiller votre adresse et à transférer immédiatement les fonds dès qu’un montant important y est déposé.
4⃣ Les casseroles de Ledger
En 2020, les adresses e-mail de plus d’un million de clients ont fuité.
En 2023, attaque de la chaîne d’approvisionnement du Connect Kit.
En avril de cette année, une fausse application a escroqué 9,5 millions de dollars.
Cette fois, les 90 millions représentent près de dix fois le montant du plus important cas précédent.
5⃣ Quatre règles d’or
a) Vérifiez immédiatement : si vous avez acheté un Ledger au cours des 90 derniers jours chez CryptoBilis ou par tout autre canal non officiel, n’hésitez pas : transférez sans attendre vos actifs vers un nouveau portefeuille.
b) Achetez uniquement sur le site officiel. Pas de revendeur, pas d’occasion, pas de produit « 200 yuans moins cher ».
c) Vérifiez l’appareil à l’ouverture : le sceau inviolable doit être intact et effectuez la vérification d’authenticité (genuine check) dans Ledger Live.
Le conseil de CZ hier soir : laissez d’abord le nouveau portefeuille « prendre l’air » pendant quelques semaines avant d’y transférer des sommes importantes, et suivez l’actualité de la sécurité pendant ce temps.
d) Ne mettez pas tous vos œufs dans le même panier : placer les 80 BTC sur un seul appareil, voilà exactement ce qu’il ne faut pas faire. Répartissez les grosses sommes entre plusieurs portefeuilles et utilisez des signatures multiples. Notez votre phrase de récupération à la main et conservez-la hors ligne ; ne la photographiez jamais, ne la connectez jamais à Internet et ne la communiquez à personne.
Les hackers ont déjà commencé à blanchir l’argent : 1,07 million de dollars en ETH ont été transférés vers Tornado Cash, et une partie des fonds a abouti dans un portefeuille chaud de Binance.
Au premier semestre 2026, le secteur des cryptomonnaies a connu 182 incidents de sécurité rendus publics, pour des pertes d’environ 956 millions de dollars.
Mais selon les statistiques de SlowMist, les fonds volés n’ont été récupérés ou gelés que dans 18 incidents, pour un total d’environ 118 millions de dollars, soit 12,3 % des pertes totales. Près de 90 % des fonds dérobés se sont volatilisés.
Pourquoi est-il si difficile de les récupérer ?
Le blanchiment d’argent dans le secteur des cryptomonnaies a désormais pris une longueur d’avance : les règles du jeu ont complètement changé.
Au premier semestre, environ 974 millions de dollars ont transité par des protocoles de confidentialité, dont 71 % par Tornado Cash à lui seul. Dès que l’argent entre dans un mélangeur de cryptomonnaies, il est pratiquement impossible de le récupérer.
Tether a déjà gelé une partie des USDT liés à l’affaire. CZ s’est personnellement mobilisé hier soir pour inciter tout le secteur à récupérer les fonds, mais cela n’a guère eu d’effet.
Le portefeuille des hackers contient encore environ 10,9 millions d’USDT. Ils ont déjà transféré 430,2 ETH vers Tornado Cash et converti une partie des USDT en USDD pour échapper au gel.
Il est donc peu probable que les fonds dérobés lors de cette attaque contre Ledger soient récupérés !
Ledger a été frappé par le plus grand incident de sécurité de son histoire : les pertes s’élèvent à environ 90 millions de dollars, et ce montant pourrait encore augmenter.
1⃣ Un revendeur le « prépare » avant de vous le vendre
Des appareils Ledger vendus par CryptoBilis, un revendeur agréé en Asie du Sud-Est, auraient été équipés d’un module espion. Ledger a officiellement demandé à ce revendeur de suspendre ses ventes et conseillé aux utilisateurs ayant acheté un appareil par ce canal au cours des 90 derniers jours de transférer immédiatement leurs actifs.
Acheter un portefeuille matériel sur des plateformes comme JD ou Taobao, c’est encore aujourd’hui payer pour apprendre à ses dépens.
2⃣ Voici la plus grande victime : 80 BTC réduits à zéro
Selon le suivi de Lookonchain, un utilisateur a acheté 80 BTC en juin, au prix de 65 000 dollars l’unité (soit un investissement d’environ 5,2 millions de dollars, qui a un temps affiché 1,38 million de dollars de gains latents). Il y a une semaine, il a acheté un Ledger chez CryptoBilis et y a transféré tous ses bitcoins, avec l’intention de les conserver à long terme. Puis le retournement de situation : il a tout perdu, ses 80 BTC.
Un autre utilisateur, dont l’adresse est TY24Ya, a acheté un appareil Ledger chez CryptoBillis il y a trois semaines et y a déposé 7 millions d’USDT. La totalité de ces fonds a désormais été dérobée.
3⃣ Générer sa phrase de récupération hors ligne ne sert à rien
Mark Karpelès, ancien PDG de Mt. Gox, a démonté un Ledger et expliqué le problème :
L’appareil compromis venait de Malaisie. Son emballage extérieur était encore sous film rétractable et rien ne semblait anormal à l’œil nu.
Le module espion était dissimulé à l’emplacement du coussinet amortisseur de l’écran : un composant de communication LTE, une antenne, une eSIM et un microcontrôleur relié au bus SPI.
Au moment même où vous configurez votre phrase de récupération sur l’écran, le module la lit et l’envoie à l’extérieur. Ensuite, les attaquants n’ont plus qu’à surveiller votre adresse et à transférer immédiatement les fonds dès qu’un montant important y est déposé.
4⃣ Les casseroles de Ledger
En 2020, les adresses e-mail de plus d’un million de clients ont fuité.
En 2023, attaque de la chaîne d’approvisionnement du Connect Kit.
En avril de cette année, une fausse application a escroqué 9,5 millions de dollars.
Cette fois, les 90 millions représentent près de dix fois le montant du plus important cas précédent.
5⃣ Quatre règles d’or
a) Vérifiez immédiatement : si vous avez acheté un Ledger au cours des 90 derniers jours chez CryptoBilis ou par tout autre canal non officiel, n’hésitez pas : transférez sans attendre vos actifs vers un nouveau portefeuille.
b) Achetez uniquement sur le site officiel. Pas de revendeur, pas d’occasion, pas de produit « 200 yuans moins cher ».
c) Vérifiez l’appareil à l’ouverture : le sceau inviolable doit être intact et effectuez la vérification d’authenticité (genuine check) dans Ledger Live.
Le conseil de CZ hier soir : laissez d’abord le nouveau portefeuille « prendre l’air » pendant quelques semaines avant d’y transférer des sommes importantes, et suivez l’actualité de la sécurité pendant ce temps.
d) Ne mettez pas tous vos œufs dans le même panier : placer les 80 BTC sur un seul appareil, voilà exactement ce qu’il ne faut pas faire. Répartissez les grosses sommes entre plusieurs portefeuilles et utilisez des signatures multiples. Notez votre phrase de récupération à la main et conservez-la hors ligne ; ne la photographiez jamais, ne la connectez jamais à Internet et ne la communiquez à personne.
Les hackers ont déjà commencé à blanchir l’argent : 1,07 million de dollars en ETH ont été transférés vers Tornado Cash, et une partie des fonds a abouti dans un portefeuille chaud de Binance.
Au premier semestre 2026, le secteur des cryptomonnaies a connu 182 incidents de sécurité rendus publics, pour des pertes d’environ 956 millions de dollars.
Mais selon les statistiques de SlowMist, les fonds volés n’ont été récupérés ou gelés que dans 18 incidents, pour un total d’environ 118 millions de dollars, soit 12,3 % des pertes totales. Près de 90 % des fonds dérobés se sont volatilisés.
Pourquoi est-il si difficile de les récupérer ?
Le blanchiment d’argent dans le secteur des cryptomonnaies a désormais pris une longueur d’avance : les règles du jeu ont complètement changé.
Au premier semestre, environ 974 millions de dollars ont transité par des protocoles de confidentialité, dont 71 % par Tornado Cash à lui seul. Dès que l’argent entre dans un mélangeur de cryptomonnaies, il est pratiquement impossible de le récupérer.
Tether a déjà gelé une partie des USDT liés à l’affaire. CZ s’est personnellement mobilisé hier soir pour inciter tout le secteur à récupérer les fonds, mais cela n’a guère eu d’effet.
Le portefeuille des hackers contient encore environ 10,9 millions d’USDT. Ils ont déjà transféré 430,2 ETH vers Tornado Cash et converti une partie des USDT en USDD pour échapper au gel.
Il est donc peu probable que les fonds dérobés lors de cette attaque contre Ledger soient récupérés !