Implant cellulaire caché dans les wallets Ledger : comment des hardware wallets revendues ont drainé environ 93 millions de dollars
Ledger a confirmé le 10 octobre 2026 que des hardware wallets falsifiées vendues par le revendeur d'Asie du Sud-Est CryptoBilis contenaient un implant matériel non autorisé, conçu pour capturer la phrase de récupération des utilisateurs pendant la configuration de l'appareil. La société a rendu ce constat public via son compte de support. Il ne s'agissait ni d'une faille de firmware ni d'une astuce de phishing, mais de circuits supplémentaires ajoutés à des appareils authentiques quelque part entre le fabricant et l'acheteur.
Un implant derrière l'écran
Selon la confirmation de Ledger et une analyse technique publiée par PhishFort, l'implant se logeait derrière l'écran de l'appareil et se branchait sur les lignes de données de l'afficheur. Cette position lui permettait de lire tout ce qui s'affichait, y compris la phrase de récupération de 24 mots générée lors de la configuration initiale. La compromission ne nécessitait donc ni ordinateur infecté ni application malveillante : c'est la wallet elle-même qui enregistrait les mots de la seed au moment où ils étaient générés. Comme le rapporte CoinDesk le 13 octobre, Ledger a décrit le composant comme une puce espion qui transmettait les clés capturées via un réseau mobile. Un canal hors bande de ce type ne dépend ni de l'ordinateur ni de la connexion internet de la victime, ce qui rendait l'exfiltration difficile à remarquer. Les éléments matériels concordent : comme le rapporte Help Net Security, un implant a été trouvé au dos d'un appareil déjà vidé, examiné après les faits. Aucune des analyses publiées n'identifie qui a fabriqué l'implant ni à quel maillon de la chaîne de distribution les appareils ont été modifiés. Ce que les examens montrent, c'est une modification assez discrète pour échapper à l'inspection visuelle et assez prudente pour ne pas gêner le fonctionnement normal de la wallet. C'est précisément cette combinaison - empreinte minimale, fonctionnalité intacte, transmission dissimulée - qui rend les implants matériels si difficiles à détecter après coup. Une wallet d'apparence authentique, un déroulé de configuration normal et un composant derrière l'écran qui copie la phrase seed dès qu'elle s'affiche : voilà la silhouette de cet incident.
L'ampleur des pertes
La société d'analyse blockchain Bitquery estimait le 11 octobre que les pertes suspectées atteignaient 93,2 millions de dollars sur 315 wallets réparties sur six blockchains, dont environ 70,5 millions de dollars sur TRON. Ces chiffres proviennent de l'analyse on-chain de Bitquery et restent non confirmés par Ledger ; il faut donc les lire comme des estimations d'analystes et non comme des totaux vérifiés par la société. Les analystes ont suivi des fonds volés transiter par Tornado Cash dans les jours qui ont suivi la révélation du vol ; selon le récapitulatif publié par Tarnkappe, environ 81 millions de dollars restaient traçables on-chain au 11 octobre. Deux mesures de neutralisation ont suivi la sortie des fonds : Tether a gelé environ 10 millions d'USDT liés au vol, et environ 5,35 millions d'USDC ont été identifiés en vue d'un gel. CryptoBilis suspend tout son stock de matériel
CryptoBilis, le revendeur par lequel les appareils falsifiés sont parvenus à des clients en Indonésie, en Malaisie et aux Philippines, a suspendu la vente de l'intégralité de son inventaire de hardware wallets dès que l'affaire a éclaté. La confirmation de Ledger rattache les appareils falsifiés au stock vendu par ce revendeur. L'affaire montre pourquoi le point de vente compte autant que le fabricant. Un appareil authentique qui passe par un intermédiaire non autorisé peut être ouvert, modifié et rescellé avec du matériel invisible de l'extérieur, et un emballage scellé offre peu de garanties, car une boîte rescellée se distingue difficilement d'une boîte scellée en usine. Qui achète via des boutiques tierces, des marketplaces ou des revendeurs hérite de l'intégrité que ces intermédiaires préservent - ou de son absence. Ce que cela signifie pour la confiance dans la chaîne d'approvisionnement matérielle
Les hardware wallets tiennent par une hypothèse simple : l'appareil qu'on tient en main fait exactement ce que dit le firmware, et rien d'autre. La falsification physique brise cette hypothèse à une couche qu'aucun scan logiciel n'atteint. L'implant de cet incident ne changeait ni l'aspect ni le comportement de la wallet ; les utilisateurs voyaient un écran normal et un déroulé normal pendant qu'un composant derrière l'afficheur copiait la phrase seed et la transmettait en silence. Les leçons pratiques sont ingrates. Acheter les hardware wallets directement au fabricant ou chez un distributeur agréé. Traiter comme compromis et jeter tout appareil qui arrive préconfiguré, avec une phrase de récupération imprimée ou un PIN préétabli. Initialiser l'appareil soi-même, générer une phrase de récupération neuve et vérifier l'authenticité du logiciel qu'on y associe : la même discipline que décrit notre article sur la bonne vérification des téléchargements s'applique aux outils de wallet comme à tout ce qu'on télécharge via Tor. Pour quiconque a acheté une Ledger chez CryptoBilis, l'hypothèse de travail doit être que la phrase de récupération a été capturée. Les fonds doivent partir vers une wallet initialisée sur un appareil vérifié, et l'ancienne seed doit être considérée comme grillée. Ce principe dépasse l'incident : une phrase de récupération n'existe qu'à un seul endroit, générée par son propriétaire, jamais préimprimée et jamais réutilisée.
