Le 9 octobre 2026, un grave incident de sécurité lié à des portefeuilles froids Ledger distribués par CryptoBilis, un revendeur actif en Asie du Sud-Est, a été révélé. L’affaire a suscité des inquiétudes dans l’écosystème Web3 car, selon les enquêtes publiées, certains appareils avaient été physiquement modifiés afin de voler les phrases de récupération de leurs propriétaires. Cet incident montre que conserver ses cryptomonnaies dans un portefeuille déconnecté d’Internet ne garantit pas une protection absolue si l’appareil lui-même a été compromis.
Selon une enquête de Bitquery publiée le 15 octobre, le vol aurait touché environ 324 portefeuilles et les pertes suivies s’élèveraient à quelque 102 millions de dollars sur six réseaux blockchain. Les premières estimations dépassaient 86 millions de dollars, mais elles ont augmenté à mesure que les enquêteurs identifiaient de nouvelles adresses et transactions liées à l’attaque. Ces chiffres proviennent d’analyses indépendantes des mouvements on-chain et ne doivent pas être confondus avec un bilan définitif confirmé par Ledger.
La méthode employée était l’aspect le plus préoccupant de l’incident. Selon les rapports techniques, au moins un des appareils examinés contenait un composant électronique non autorisé, conçu pour capturer les informations affichées à l’écran lors de la configuration initiale du portefeuille. L’implant aurait intégré une connectivité cellulaire via une eSIM et la LTE, ce qui lui aurait permis de transmettre les informations recueillies sans dépendre d’une connexion USB permanente à un ordinateur.
L’objectif principal était d’obtenir les 24 mots de la phrase de récupération, également appelée « seed phrase ». Ces mots permettent de reconstituer les clés privées d’un portefeuille et de récupérer l’accès aux fonds depuis un autre appareil compatible. Ainsi, une fois en possession de la phrase, les attaquants pouvaient contrôler les actifs des victimes sans avoir physiquement besoin du Ledger d’origine. L’utilisateur pouvait continuer à voir son appareil et croire qu’il fonctionnait normalement, alors que ses fonds étaient exposés.
L’enquête a indiqué que le problème était lié à la chaîne de distribution des appareils associés à CryptoBilis. Selon l’hypothèse documentée, certaines unités ont été manipulées avant d’arriver chez leurs acheteurs. Cette situation est particulièrement préoccupante, car un acheteur peut acquérir un appareil d’une marque reconnue sans soupçonner qu’il a été altéré au cours de sa distribution. De plus, les vérifications d’authenticité du logiciel ne permettent pas nécessairement de détecter un composant électronique ajouté physiquement.
La chronologie de l’affaire révèle des signes d’une opération préparée à l’avance. Selon l’analyse de Bitquery, de petites transactions de test ont été repérées pendant environ deux semaines avant les principaux mouvements. Les vols ont commencé à être signalés le 9 octobre, tandis que Ledger enquêtait sur les appareils liés à CryptoBilis et demandait la suspension des ventes et des expéditions. Au cours des jours suivants, de nouveaux détails ont été révélés concernant le composant électronique, la capture des phrases de récupération et le suivi des actifs volés. Le 15 octobre, Bitquery a revu son estimation à la hausse, à environ 102 millions de dollars répartis entre 324 portefeuilles.
Le suivi des fonds a révélé un autre aspect important de l’opération. Les enquêteurs ont observé des mouvements entre différents actifs et réseaux blockchain, notamment des échanges de jetons comme l’USDT et l’USDD contre de l’ETH. Ils ont également identifié environ 7 260 ETH envoyés à Tornado Cash entre le 9 et le 13 octobre, ainsi que des mouvements ultérieurs liés au Zcash. Le recours à des services d’échange inter-chaînes et à des outils qui compliquent la traçabilité peut rendre plus difficile l’identification de la destination finale des fonds, même si les transactions publiques permettent toujours d’analyser certains schémas.
Selon la même analyse, Tether a gelé environ 10 millions de dollars en USDT répartis entre 20 portefeuilles liés à l’incident. Cette mesure peut empêcher le transfert de certains actifs, mais elle ne signifie pas que la totalité des fonds a été récupérée. Le suivi publié indiquait également qu’environ 84 millions de dollars pouvaient encore être localisés sur la blockchain. Il est important de distinguer les fonds suivis, les fonds gelés et l’argent effectivement restitué aux victimes, car il s’agit de catégories différentes.
L’affaire a également soulevé des questions quant à la responsabilité du distributeur. CryptoBilis était lié commercialement aux appareils concernés, et Ledger a demandé l’arrêt des ventes et des expéditions pendant l’enquête. Des déclarations concernant des changements antérieurs dans la propriété de l’entreprise ont également été faites. Toutefois, le lien commercial avec les appareils manipulés ne prouve pas à lui seul que le distributeur a délibérément participé à l’attaque. À la date de ce rapport, l’auteur du vol ne doit pas être attribué à une personne ou à une entreprise en particulier en l’absence de preuves concluantes.
Un autre point essentiel est qu’il n’a pas été démontré que les systèmes internes de Ledger avaient été directement compromis. Les éléments rendus publics indiquent principalement une manipulation physique de certains appareils pendant leur distribution, et non une faille généralisée touchant Bitcoin, Ethereum ou tous les portefeuilles de la marque. Il est donc inexact d’affirmer que tous les appareils Ledger ont été piratés ou que toute personne possédant un portefeuille de ce fabricant a automatiquement perdu la sécurité de ses fonds.
Pour les utilisateurs, la principale recommandation consiste à vérifier la provenance de leurs appareils et à prêter attention à toute communication officielle du fabricant. Les personnes ayant acheté un appareil auprès du distributeur lié à l’incident devraient contacter le service d’assistance officiel avant de l’utiliser si elles ne l’ont pas encore configuré. Si elles soupçonnent que leur phrase de récupération a été compromise, elles doivent transférer leurs fonds vers un nouveau portefeuille sécurisé, généré à l’aide d’une phrase entièrement nouvelle. Elles ne doivent ni réutiliser les anciens mots ni les communiquer à de prétendus techniciens, enquêteurs ou représentants du service d’assistance.
Il est également important de rappeler qu’aucune personne légitime n’a besoin de connaître votre phrase de récupération pour vous aider à diagnostiquer un problème. Les messages qui demandent ces mots, même s’ils utilisent des logos officiels ou font référence à une enquête de sécurité, doivent être considérés comme suspects.
En conclusion, l’incident lié à Ledger et CryptoBilis constitue un rappel important pour le marché des actifs numériques. Les portefeuilles hors ligne réduisent les risques liés à une exposition permanente à Internet, mais n’éliminent pas ceux qui découlent d’appareils manipulés, de défaillances techniques ou du vol de clés privées. La sécurité de l’autogarde dépend autant de l’intégrité de l’appareil que de la protection de la phrase de récupération. L’estimation de plus de 100 millions de dollars montre l’ampleur potentielle de l’incident, même si les pertes définitives et l’attribution des responsabilités doivent être considérées avec prudence tant que l’enquête se poursuit.
Sources de référence : Bitquery, pour son analyse des transactions et le suivi des fonds ; The Block, pour ses articles sur la confirmation de l’implant ; CoinDesk, pour sa couverture de l’enquête et des pertes estimées ; et les communications officielles de Ledger concernant les appareils concernés. $BTC $BTW #Ledger #LedgerAttack
