Ledger a suspendu les ventes par des revendeurs dans sept marchés asiatiques, après avoir confirmé que des portefeuilles matériels vendus par CryptoBilis avaient été physiquement modifiés pour capturer les phrases de récupération de 24 mots des clients et les transmettre à un tiers non autorisé.
Selon un rapport de BleepingComputer daté du 14 octobre 2026, Ledger a ouvert une enquête le 9 octobre, après des signalements de pertes de cryptomonnaies émanant de plusieurs utilisateurs. Le rapport ne fournit ni chiffres sur les pertes ni nombre de clients concernés.
Ledger a déclaré que chaque perte confirmée impliquait un appareil vendu par CryptoBilis, un revendeur d'Asie du Sud-Est. Des utilisateurs ont aussi signalé des appareils suspects provenant d'autres circuits de vente en Asie et en Europe, mais Ledger n'a pas confirmé ces cas.
Un composant distinct capture la phrase de récupération
L'équipe de sécurité Donjon de Ledger a constaté que les portefeuilles modifiés contenaient un microcontrôleur supplémentaire. L'implant détecte et décode la phrase de récupération de 24 mots saisie lors de la configuration ou de la restauration du portefeuille, puis la transmet via une connexion LTE au moyen d'une eSIM provisionnée.
Selon Donjon, ce composant ne modifie ni le Secure Element du portefeuille ni le système d'exploitation de Ledger. Il laisse aussi inchangés le traitement des transactions et celui des signatures.
Cette conception a une conséquence défensive importante : les contrôles d'intégrité de Ledger ne peuvent pas détecter l'implant, car les composants et logiciels de sécurité légitimes restent intacts. Un appareil peut donc réussir ces contrôles alors qu'un composant ajouté surveille la phrase de récupération.
Selon le rapport, les conclusions techniques concordent globalement avec les premiers travaux de Mark Karpelès et de Tibane Labs.
Pour toute personne dont il est confirmé qu'elle a utilisé un appareil modifié, la phrase de récupération doit être considérée comme exposée. Le risque porte sur le contrôle du portefeuille lui-même : quiconque obtient la phrase peut s'en servir pour restaurer le portefeuille ailleurs.
Ventes suspendues dans sept marchés
Ledger a demandé aux revendeurs et aux distributeurs d'arrêter la vente de ses portefeuilles et de retirer les produits existants des rayons dans :
- Indonésie
- Singapour
- Thaïlande
- Philippines
- Viêt Nam
- Malaisie
- Hong Kong
La suspension devrait rester en vigueur tant que les enquêtes sur la sécurité des appareils se poursuivent. Le rapport décrit cette mesure à la fois comme une demande adressée aux vendeurs et comme un arrêt plus large couvrant les distributeurs de ces marchés.
Ledger affirme que son infrastructure, ses services, ses systèmes internes et son canal de vente directe restent sûrs à utiliser. C'est la position de l'entreprise ; les manipulations confirmées décrites jusqu'ici concernent les appareils distribués par CryptoBilis.
Par ailleurs, des utilisateurs ont signalé avoir acheté des portefeuilles modifiés auprès d'un revendeur de technologie Metapod installé dans un aéroport de Singapour, ainsi que via MediaMarkt en Europe. Ledger n'a pas confirmé ces témoignages. MediaMarkt, qui se procure les appareils Ledger auprès d'Aqipa GmbH, a retiré le produit de ses rayons après ces signalements.
Trezor réduit son réseau de revendeurs par précaution
Trezor a indiqué n'avoir trouvé aucune preuve que ses propres portefeuilles aient été compromis. L'entreprise prévoit néanmoins de réduire son réseau de revendeurs, d'instaurer un cadre juridique actualisé et de renforcer le contrôle de la manière dont les appareils sont approvisionnés, stockés et manipulés.
Selon une lettre envoyée aux vendeurs concernés, les partenariats avec les revendeurs concernés prendront fin le 1er janvier 2027, date à laquelle leur autorisation de vendre des appareils Trezor sera révoquée.
Pour les clients de Ledger, le canal d'achat est désormais un élément déterminant pour évaluer leur exposition. Les appareils dont il est confirmé qu'ils proviennent de CryptoBilis entrent dans le périmètre de l'incident identifié, tandis que les signalements concernant d'autres vendeurs restent non confirmés. À lui seul, le contrôle d'intégrité intégré à Ledger ne permet pas d'exclure l'implant décrit par Donjon.
