Un revendeur agréé, des wallets vidés le même matin

Tout commence en Asie du Sud-Est, plus précisément en Malaisie, chez un revendeur nommé CryptoBilis. Ce n’est pas un vendeur douteux : il possède des magasins physiques, une boutique en ligne et il est agréé par Ledger. Il vend des appareils en Malaisie, en Indonésie et aux Philippines.

Le 9 octobre au matin, des wallets se vident d’un coup, sur plusieurs blockchains en même temps. Des gens perdent leurs économies : des dizaines de milliers d’euros, des centaines de milliers, voire des millions en Bitcoin, en dollars ou en Ethereum. Ces victimes ont un point commun : elles ont toutes acheté un Ledger chez CryptoBilis.

Ledger ouvre une enquête le jour même et demande au revendeur d’arrêter les ventes. Le 10 octobre, le fabricant confirme qu’au moins un des appareils touchés contenait un implant matériel. Des analyses onchain évoquent un montant total drainé estimé à environ 103 millions de dollars. CryptoBilis retire alors tous ses hardware wallets de la vente et ferme ses boutiques, mais l’enquête ne le désigne pas comme coupable à ce stade.

Un implant qui lit les 24 mots au passage

Ledger n’a pas montré l’implant en détail, mais le 13 octobre, le fabricant en a précisé le principe. D’autres personnes ont aussi partagé des photos et des explications. Concrètement, les 24 mots de la phrase de récupération sont envoyés de l’appareil vers l’écran au moment de leur création. Une petite puce insérée dans le circuit intercepte ces informations au passage.

Cet implant embarque une carte eSIM et un émetteur LTE. Il envoie simplement par SMS ce qui s’affiche à l’écran aux personnes malveillantes. C’est la même logique qu’un skimmer sur un distributeur de billets : le distributeur est authentique, aucune sécurité n’est cassée, mais vos informations bancaires sont lues avant d’arriver dans la machine.

Ce qui m’a impressionné, c’est la miniaturisation. Il y a très peu de place dans un boîtier de Ledger. Les attaquants retirent parfois la mousse de maintien pour loger leur outil, ou réduisent la taille de la batterie pour conserver le même poids. Certains vont très loin pour que l’appareil paraisse intact.

  • L’implant ne casse aucune sécurité : il lit les données affichées à l’écran.
  • Il utilise une eSIM et un émetteur LTE pour envoyer les 24 mots par SMS.
  • Le test d’authenticité de Ledger ne détecte pas ce type de modification physique.

Pourquoi le genuine check ne suffit pas

Un Ledger trafiqué de cette façon passe même le test d’authenticité du fabricant. C’est logique : le test vérifie que l’appareil communique correctement avec le serveur de Ledger, pas qu’un composant étranger a été ajouté à l’intérieur. L’implant ne modifie pas le fonctionnement normal du wallet ; il écoute seulement.

J’étais à Singapour, à Token 2049, quand j’ai vu cette histoire. J’ai tout de suite envoyé un message à mes amis qui utilisent un Ledger pour leur dire de surveiller leurs fonds et, au besoin, de les déplacer vers une nouvelle adresse. Sur le moment, je me suis demandé si le problème était global, car Ledger gère des milliards d’actifs, y compris pour des institutions. Finalement, l’événement semble assez localisé, mais il rappelle une chose essentielle : acheter un cold wallet ne suffit pas.

Une attaque de supply chain, pas une faille Ledger

Il est important de le dire : cette affaire ne semble pas être la faute de Ledger. Aucune vulnérabilité touchant tous les Ledger n’a été établie, et les systèmes du fabricant ne sont pas compromis. Ce n’est pas un problème dans leur code ou dans la conception de leur matériel.

La piste privilégiée est celle d’une attaque de supply chain. CryptoBilis a été rachetée il y a environ six mois par un acheteur chinois originaire d’une région proche de la Corée du Nord. Ce repreneur a pris le contrôle de la publicité, de la chaîne de production et de la distribution du revendeur. Ensuite, des appareils modifiés ont été vendus, peut-être plusieurs centaines. C’est pour cela qu’on parle de supply chain attack : on insère un élément malveillant dans le circuit de distribution, avant que le produit n’arrive chez vous.

Cette semaine, Media Markt, un revendeur allemand, a retiré les Ledger de ses rayons par précaution. Quelqu’un a signalé le même problème, un implant dans son cold wallet. Rien ne prouve que tous les appareils sont concernés, mais cela montre que le risque ne se limite pas à une seule région.

Que faire si vous pensez être concerné ?

Si vous avez un appareil que vous pensez touché, la première chose à faire est de déplacer vos fonds vers une nouvelle adresse. Attention : il ne suffit pas d’acheter un nouveau wallet. Si vous réutilisez la même phrase de récupération, le voleur garde exactement le même accès. C’est comme changer de maison et de porte, mais garder la même serrure.

Voici les réflexes de base à adopter :

  • Achetez de préférence directement chez le fabricant, pas d’occasion ni sur des places de marché peu fiables.
  • Vérifiez que l’emballage n’a pas été abîmé ou ouvert avant réception.
  • Assurez-vous que la boîte ne contient pas déjà une phrase de récupération pré-remplie.
  • Les 24 mots doivent être créés par l’appareil lui-même ; ne les tapez nulle part, ne les stockez pas sur un ordinateur, un téléphone ou un cloud.
  • Faites le genuine check, mais ne vous arrêtez pas là : il ne détecte pas l’implant.
  • Peser l’appareil ou inspecter la batterie ne suffit pas toujours ; ouvrir le wallet et vérifier l’intérieur reste la meilleure vérification.
  • En cas de doute, envisagez une configuration multisig, idéalement multisig avec plusieurs wallets.

Faut-il encore utiliser un cold wallet ?

Je reste convaincu de l’intérêt de la self-custody. Mais cette affaire montre qu’acheter un cold wallet ne suffit pas : il faut comprendre ce qui protège réellement votre argent. Le risque n’est pas seulement le code ou le firmware ; il peut venir de la chaîne d’approvisionnement.

Je prévois d’ailleurs une interview avec un spécialiste de la sécurité opérationnelle pour approfondir ces questions. Mais avant cela, retenez l’essentiel : un cold wallet reste un outil utile si vous savez vérifier son intégrité physique et si vous comprenez le rôle exact de la phrase de récupération.

Conclusion

L’affaire CryptoBilis n’est pas une compromission générale des Ledger, mais une attaque ciblée via un revendeur agréé. Un implant matériel a pu récupérer des phrases de récupération et drainer des fonds estimés à plus de 100 millions de dollars.

Le test d’authenticité de Ledger n’est pas conçu pour détecter ce type de modification. La seule vraie protection, c’est la vigilance sur la provenance de l’appareil, l’inspection physique et, en cas de doute, le déplacement immédiat des fonds vers une nouvelle adresse.

La self-custody reste une bonne approche, mais elle exige de ne jamais baisser la garde, y compris avant même la première utilisation du wallet.