Ledger : une puce espionne a volé 93 millions de dollars par l'écran

Le vendredi 9 octobre, Ledger a demandé à un revendeur, CryptoBilis, de cesser d'expédier ses appareils. L'argent, lui, était déjà parti. Des analystes on-chain avaient suivi plus de 72 millions de dollars jusqu'à un cluster d'adresses soupçonnées d'appartenir aux voleurs, le tout siphonné chez des gens qui venaient d'initialiser un portefeuille matériel neuf acheté en Malaisie, en Indonésie ou aux Philippines.

Quatre jours plus tard, Ledger a expliqué comment. Quelqu'un avait ouvert les appareils avant la vente, glissé une petite carte électronique derrière l'écran, puis tout refermé. Au premier allumage, quand l'écran affichait la phrase de récupération de 24 mots, l'implant lisait les mots à l'écran, les décodait et les transmettait par le réseau mobile grâce à une eSIM embarquée. Le voleur avait les clés avant que le propriétaire ait fini de les recopier.

Ce que la puce faisait, et ce qu'elle ne faisait pas

Dans sa mise à jour du 13 octobre, Ledger a soigneusement délimité le périmètre. L'implant n'a pas touché au Secure Element, la puce qui détient réellement les clés privées. Il n'a pas modifié le système d'exploitation. Il n'a altéré ni une transaction ni une signature. Chaque fonction de sécurité a fonctionné exactement comme prévu. L'attaque a simplement attendu le seul instant où le secret s'affiche en clair, puis l'a copié.

C'est aussi pour cela que le Genuine Check de Ledger ne peut pas la détecter. Le contrôle vérifie le Secure Element, et le Secure Element était authentique.

Les chercheurs de Tibane Labs ont démonté deux cartes le week-end des 10 et 11 octobre et ont trouvé deux versions. L'une remplaçait la batterie d'origine par un modèle plus petit pour gagner de la place. L'autre se logeait dans la mousse sous l'écran OLED. Toutes deux utilisaient un microcontrôleur STMicroelectronics courant, une eSIM de 2 mm et un module LTE blindé, avec les marquages des composants grattés. Les cartes étaient des PCB flexibles découpés dans des panneaux, de ceux qu'une usine sort par plaques entières. Ce n'était pas l'œuvre d'une personne seule avec un fer à souder.

Mark Karpelès, l'ancien patron de Mt. Gox, traquait depuis quelque temps des implants antérieurs, plus grossiers, montés avec des fils soudés à la main. Il a vu dans le nouveau modèle « une sacrée évolution ».

Combien a été volé

Ledger n'a confirmé aucun chiffre. Les sociétés d'analyse, elles, l'ont fait. Bitquery a suivi 93,2 millions de dollars sortis de 315 portefeuilles sur six blockchains : environ 70,5 millions de dollars en USDT et autres actifs sur Tron, 16,8 millions de dollars en bitcoin, 3,7 millions de dollars en ether, et des montants plus modestes sur BNB Chain, Polygon et Solana. YFarmX a compté 94,5 millions de dollars partis de 521 adresses sur sept chaînes.

La séquence était planifiée. Les adresses du voleur ont été créées le 25 septembre, et des transactions de test ont eu lieu avant la razzia de début octobre. Le 9 octobre, les attaquants auraient modifié les permissions de 30 portefeuilles Tron, puis sorti 203,8 BTC de 111 portefeuilles Bitcoin dans un seul bloc. Ni l'un ni l'autre n'est possible sans les clés privées.

C'est moins que le piratage de Bitget en septembre, mais celui-là a touché les portefeuilles de la plateforme elle-même. Celui-ci a vidé des portefeuilles matériels privés, l'objet qu'on achète précisément pour qu'une défaillance de plateforme ne puisse pas vous atteindre.

Tether a gelé environ 10 millions de dollars d'USDT. Face aux 70 millions de dollars qui dormaient sur Tron, c'est maigre. Le reste a bougé vite. Au 11 octobre, Bitquery pouvait encore suivre à peu près 81 millions de dollars on-chain, dont une partie déjà passée par Tornado Cash et Zcash. Quant au bitcoin et à l'ether, personne ne peut les geler.

Tous les cas confirmés à ce jour concernent un appareil vendu par CryptoBilis, qui figurait sur le site de Ledger comme revendeur agréé. Ledger affirme que le nombre d'appareils touchés est « limité » et que ses propres systèmes et canaux de vente directe ne montrent aucun signe de compromission. Sur X, beaucoup ont refusé cette lecture. L'un d'eux a résumé : « ce n'est pas un incident CryptoBilis, c'est un incident Ledger ». Le cofondateur de CryptoBilis, Arravind Prabu, a déclaré que la société avait été rachetée en mars 2026 et que les identifiants d'accès avaient alors changé de mains. Elle a depuis fermé ses boutiques dans les trois pays.

Deux autres signalements restent ouverts. Selon Ledger, MediaMarkt Saturn, la chaîne allemande d'électronique, a suspendu ses ventes après qu'un client y a signalé un implant. Karpelès dit en avoir trouvé un dans un Ledger Flex acheté à l'aéroport de Singapour. Ledger n'a confirmé aucun appareil trafiqué provenant d'un autre vendeur que CryptoBilis.

Si vous avez acheté un Ledger récemment

Ledger ne tourne pas autour du pot. Si l'appareil vient de CryptoBilis, a été acheté dans les 90 derniers jours et n'est pas encore initialisé, ne l'initialisez pas. Si c'est déjà fait, transférez tout vers un nouvel appareil avec une phrase de récupération fraîchement générée, et générez cette phrase sur le nouvel appareil, pas sur l'ancien.

Deux choses à ajouter. Dans ces affaires, le signal d'alarme, c'était le prix. Les unités trafiquées se vendaient, dit-on, à près de la moitié du prix d'un appareil authentique, et une boîte scellée plus un Genuine Check réussi ne prouvent pas que le matériel est intact. Et achetez chez le fabricant, ou chez un revendeur à qui vous pourrez demander des comptes, jamais à partir d'une annonce sur une place de marché en ligne. Les échantillons de Tibane venaient d'Amazon Japan et de Yahoo! Auctions Japan, l'un d'eux expédié depuis la Malaisie.

Ce qui retombe sur tous les autres

Vous n'aurez peut-être jamais de Ledger, et vous pourriez quand même vous retrouver avec cet argent entre les mains.

Quatre-vingt-dix millions de dollars ne restent pas en place. Ils sont fractionnés, passés de chaîne en chaîne, échangés et vendus. L'ether est converti en stablecoins sur des plateformes décentralisées et via des desks OTC. L'USDT qui a échappé au gel est écoulé en transactions P2P, souvent auprès de gens qui en achètent pour quelques milliers de dollars par virement bancaire. Le bitcoin traverse des mixeurs et ressort de l'autre côté vers des adresses neuves, d'apparence ordinaire.

En quelques semaines, une partie de ces cryptos atterrit dans les portefeuilles de freelances, de petits commerces et de traders qui n'ont rien fait de mal, sinon accepter un paiement sans regarder d'où il venait. Les sociétés d'analyse ont déjà étiqueté le cluster du vol, et les plateformes confrontent chaque dépôt à ces étiquettes. Si vos fonds entrants se trouvent à deux sauts d'une adresse signalée, le dépôt est bloqué et vous recevez un e-mail vous réclamant l'origine des fonds.

Voilà l'asymétrie qui dérange. Les victimes de Ledger ont perdu leur argent à l'initialisation. La vague suivante perd l'accès au sien quand un service de conformité remarque par où il est passé. La parade prend quelques secondes. Avant d'accepter un virement de quelqu'un que vous ne connaissez pas, vérifiez l'adresse expéditrice : listes de sanctions, exposition à des mixeurs, liens avec des clusters de vol connus. Propre, prenez le paiement. Pas propre, vous venez d'éviter une très longue conversation avec une banque.

Un portefeuille matériel reste préférable à des fonds laissés sur une plateforme. Mais un appareil ne mérite pas plus de confiance que les mains par lesquelles il est passé avant les vôtres, et les fonds que vous recevez ne sont pas plus propres que le portefeuille qui les a envoyés. Vérifiez les deux.