Ledger piégés : l’affaire CryptoBilis et comment se protéger

Le 9 octobre 2026, des acheteurs de Ledger voient leurs cryptos disparaître. D’après l’enquête de Bitquery, les fonds sortis des portefeuilles victimes représentent environ 102 millions de dollars, répartis sur 335 portefeuilles (324 avant la mise à jour du 16 octobre, qui a ajouté onze portefeuilles TRON sans changer le total).

• C’est une estimation, calculée à partir des données publiques des blockchains, pas un bilan validé par Ledger. Ledger n’a donné ni montant total, ni nombre d’appareils touchés.
• Ce n’est pas « tous les Ledger » : d’après Ledger, tous les cas confirmés concernent des appareils vendus par un même revendeur, et ses propres canaux de vente ne sont pas touchés.
• Ce n’est pas l’affaire d’une seule marque : d’autres fabricants, comme Trezor, ont eux aussi connu des incidents. Pour comprendre, il faut regarder ce qui a été attaqué, pas seulement le logo sur le boîtier.

CryptoBilis est un revendeur agréé de Ledger en Asie du Sud-Est (Indonésie, Malaisie, Philippines). La chronologie :

Le revendeur a suspendu ses ventes de portefeuilles matériels Un petit appareil (hardware wallet) qui garde les clés et signe les transactions sans jamais les montrer à l'ordinateur. Vérifiez toujours sur son écran ce que vous validez. le temps de l’enquête. Ledger dit travailler avec les autorités, revoir les contrôles de ses revendeurs agréés, et leur a rappelé de ne jamais remettre en vente un produit retourné.

D’après l’explication publiée par Ledger le 13 octobre, une puce cachée dans le boîtier lit ce qui est envoyé à l’écran pendant l’affichage des 24 mots de la phrase de récupération Les 12 ou 24 mots donnés par un portefeuille à sa création : ils permettent de recréer vos clés sur un autre appareil. Qui les a, a vos bitcoins : ne les donnez à personne. 5 erreurs à éviter, au moment de la configuration. Elle reconnaît et décode les mots, puis les transmet par le réseau mobile (LTE, avec une eSIM).

Le piège est là : le propriétaire peut noter sa sauvegarde sur papier, sans jamais la taper sur un site ni la photographier, et avoir malgré tout un appareil qui l’espionne.

Dans une configuration habituelle, sans passphrase supplémentaire, ces 24 mots suffisent à reconstruire les clés sur n’importe quel autre portefeuille compatible. Une copie des mots donne donc accès aux mêmes fonds, sans avoir besoin du Ledger d’origine.

La puce sécurisée (le Secure Element) n’a pas eu besoin d’être cassée. Selon Ledger, l’implant n’a modifié ni la puce sécurisée, ni le système, ni les transactions, ni les signatures : c’est une attaque physique sur la chaîne d’approvisionnement, pas une faille du logiciel de Ledger.

Le contrôle d’authenticité, le Genuine Check, vérifie que la puce sécurisée est authentique. Mais la documentation de Ledger le reconnaît : il ne peut pas détecter une modification physique non autorisée du matériel quand la puce d’origine est intacte, ni vérifier le parcours de l’appareil avant qu’il arrive chez vous. Un appareil déclaré authentique peut donc contenir un ajout.

Le 13 octobre, Ledger annonce aussi la suspension des ventes chez MediaMarkt Saturn, en magasin et en ligne, après le signalement d’un implant par un client en Allemagne. Aucune perte de fonds n’est rapportée pour ce cas, et Ledger n’a pas confirmé de lien avec CryptoBilis.

On ne peut donc pas traiter tous les signalements comme une seule affaire déjà résolue. Il reste à établir où les modifications ont eu lieu, combien d’appareils sont concernés, et qui en est responsable.

Si le sujet fait autant réagir, c’est aussi parce qu’il s’ajoute à d’autres histoires. Elles sont très différentes, et les résumer toutes par « Ledger a été piraté » fait perdre l’essentiel.

Fuite de données, composant piraté, fausse application, erreur de signature, appareil modifié : cinq situations différentes, avec des risques et des parades différents.

En septembre 2026, Trezor annonce un incident chez Brevo, son prestataire d’e-mails : 347 149 adresses d’abonnés à sa newsletter ont été exportées. Un faux message envoyé depuis ce service, présenté comme une alerte de sécurité critique, poussait vers une application qui demandait la sauvegarde du portefeuille.

Selon Trezor, aucun appareil, portefeuille ni compte n’a été touché. L’entreprise a coupé le lien malveillant en une vingtaine de minutes et suspendu le service. Le risque ressemble pourtant à celui des fuites de coordonnées autour de Ledger : un prestataire compromis suffit à cibler les clients, même quand le boîtier fonctionne normalement.

Ces exemples montrent que plusieurs marques rencontrent des problèmes, sur différents maillons : prestataires, logiciels, matériel, distribution. Cela ne rend pas tous les produits équivalents et ne retire à aucun fabricant sa responsabilité. Mais croire qu’un changement de marque élimine tous les risques est une erreur.

Un portefeuille matériel sert à garder les clés à l’écart d’un ordinateur potentiellement compromis, et à vérifier les opérations sur un écran dédié. Il dépend aussi d’un circuit de vente, d’applications et de services auxquels il faut pouvoir faire confiance. Ce qu’on peut exiger de toutes les marques :

• un périmètre expliqué clairement : quels appareils, quels canaux de vente, quelles dates ;
• des correctifs quand ils sont possibles, et des audits ;
• des consignes utilisables par tout le monde, pas seulement par les experts.

Les bulletins de sécurité de Ledger (Donjon) montrent aussi un travail de détection et de correction. Et une faille publiée par des chercheurs n’est pas automatiquement un vol constaté chez des clients.

Adaptez la réaction au problème :

Et n’improvisez jamais une récupération avec un inconnu qui vous écrit en message privé : après une affaire comme celle-ci, c’est exactement ce que cherchent les arnaqueurs.

Le but n’est pas de condamner une marque, ni d’en présenter une autre comme invincible, mais de comprendre les protections qu’on utilise et leurs limites. Les incidents autour de Ledger méritent d’être expliqués, comme ceux qui touchent les autres fabricants. La sécurité dépend du matériel, mais aussi des logiciels, de la distribution, et de la façon dont chacun réagit quand un problème est découvert.

Pour un mineur, le sujet compte doublement : sur FindMyBlock comme sur tout pool Un serveur auquel se connectent les machines. Un pool classique partage les gains, un pool solo non. Solo ou pool ? solo, la récompense d’un bloc part directement à l’adresse de votre portefeuille. Le jour où votre machine trouve, c’est ce portefeuille qui la reçoit. Pour préparer cette adresse : miner en solo sur FindMyBlock.

Une question ? Posez-la sous la vidéo ou sur le Discord.