Ledger confirme un implant matériel non autorisé dans les appareils CryptoBilis dans le cadre de rapports de pertes de 86 millions de dollars

Ledger, un fabricant français de portefeuilles matériels de cryptomonnaies, a confirmé qu'au moins un appareil vendu par le revendeur d'Asie du Sud-Est CryptoBilis contenait un implant matériel non autorisé. Cette confirmation fait suite à des rapports de pertes importantes de fonds parmi les utilisateurs qui ont acheté des appareils via ce revendeur spécifique.

Enquête et estimations des pertes

L'incident a été révélé le 9 octobre 2026, lorsque Ledger a annoncé qu'il enquêtait sur des rapports de fonds manquants parmi les clients d'Asie du Sud-Est qui avaient acheté des produits chez CryptoBilis. L'annonce a suivi les affirmations de l'enquêteur sur la chaîne Specter, qui a déclaré que des utilisateurs rapportaient des incidents de vidage de portefeuilles sur les plateformes de médias sociaux.

Specter a affirmé avoir identifié des flux entrants provenant de centaines de portefeuilles de victimes sur plusieurs blockchains, y compris Ethereum, TRON et Bitcoin. Selon Specter, les pertes totales s'élèvent à plus de 86 millions de dollars. CoinDesk a rapporté que des chercheurs sur la chaîne tiers ont estimé les pertes entre 86 millions et 93 millions de dollars provenant de plus de 300 portefeuilles.

Ledger n'a pas confirmé de chiffre officiel des pertes. Cependant, l'entreprise a reconnu l'enquête sur l'incident. Dans un communiqué publié le 10 octobre, le support de Ledger a déclaré : « Ledger peut confirmer que le dispositif de l'un des utilisateurs concernés contenait un implant matériel non autorisé. » L'entreprise a ajouté qu'elle contactait activement les utilisateurs affectés dans le cadre d'une enquête en cours.

Portée et statut de sécurité

Ledger a déclaré que tous les cas confirmés identifiés jusqu'à présent impliquent des produits distribués via CryptoBilis, qui opère en Indonésie, en Malaisie et aux Philippines. L'entreprise a souligné que ses systèmes internes, son infrastructure et ses services n'avaient pas été compromis. « À ce jour, tous les cas confirmés liés à l'incident de vidage divulgué le 9 octobre 2026 impliquent des appareils vendus via le revendeur d'Asie du Sud-Est CryptoBilis », a déclaré l'entreprise dans une mise à jour du 11 octobre.

Ledger a confirmé à TheStreet Roundtable que l'incident est isolé spécifiquement à CryptoBilis sur le marché d'Asie du Sud-Est sur la base des informations disponibles à ce moment-là. Aucun rapport n'a été fait de produits achetés directement auprès de Ledger.

Conseils aux utilisateurs et contexte de l'industrie

Ledger a instruit les utilisateurs qui ont acheté chez CryptoBilis au cours des 90 derniers jours de prendre des mesures immédiates. L'entreprise a conseillé aux utilisateurs de ne pas lancer la configuration s'ils ne l'ont pas encore fait, ou de transférer leurs actifs vers un nouveau signataire Ledger avec une nouvelle phrase de récupération s'ils ont déjà configuré leurs appareils. Ledger a également mis en garde contre le fait que les escrocs tentent souvent d'exploiter ce type d'incident, rappelant aux utilisateurs que l'entreprise ne les appellera jamais, ne leur enverra pas de message privé (DM) et ne demandera jamais leur phrase de récupération de 24 mots.

CryptoBilis a suspendu les ventes de tout son inventaire de portefeuilles matériels jusqu'à la conclusion de l'enquête. Ledger a déclaré qu'il coopérait avec les autorités compétentes et examinait les contrôles des revendeurs autorisés.

L'incident a soulevé des questions plus larges sur la sécurité des portefeuilles matériels. En juillet 2026, une faille dans le firmware de génération de graine de Coldcard a permis aux attaquants de vider une estimation de 100 millions à 130 millions de dollars en bitcoin, selon les données des chercheurs sur la chaîne. Ledger a déclaré dans son article du 11 octobre : « La sécurité n'est pas statique et cet incident souligne pourquoi nous examinons et renforçons continuellement nos processus de distribution et de lutte contre la falsification. »

Allégations non vérifiées

Les spéculations sur la manière dont la chaîne d'approvisionnement a été violée continuent de circuler. Dans un article sur X, le cofondateur de Binance, Changpeng Zhao (CZ), a allégué que les attaquants « ont apparemment acheté le revendeur et l'ont fait signer un accord de non-divulgation pour le garder muet. » Ces affirmations n'ont pas été vérifiées indépendamment. CryptoBilis n'a pas immédiatement répondu aux demandes de commentaire concernant l'incident ou les allégations spécifiques de Zhao.

Pourquoi c'est important

La confirmation d'un implant matériel physique marque la première preuve concrète soutenant les spéculations antérieures de falsification de la chaîne d'approvisionnement dans le secteur des cryptomonnaies. Bien que Ledger maintienne que la violation est isolée à un revendeur spécifique et que sa propre infrastructure reste sécurisée, l'incident met en lumière les vulnérabilités de la chaîne de distribution des matériels de garde autonome. Les utilisateurs sont exhortés à vérifier la source de leurs portefeuilles matériels et à rester vigilants face aux attaques d'ingénierie sociale qui suivent souvent de telles violations de sécurité.

Sources (en anglais)

• sg.finance.yahoo.com: Ledger asks users to take urgent action amid $86M exploit report
• coindesk.com: Ledger says unauthorized implant found in at least one device sold by CryptoBilis

Traduction réalisée par IA de l’article original en anglais, vérifiée automatiquement pour dire la même chose que l’original. Les sources ont été vérifiées en anglais.