Cet article fait suite à notre premier article du 9 octobre.
Des implants matériels ont été découverts dans des Ledger Nano X, puis dans d’autres modèles, d’abord via le revendeur CryptoBilis, puis par d’autres canaux. Les pertes estimées dépassent 86 millions de dollars.
Les premières alertes
Ces implants ne sont pas une nouveauté d’octobre. Dès août 2025, un signalement Reddit mentionnait un Nano X suspect acheté en Thaïlande. Au printemps 2026, le chercheur en sécurité matérielle Joe Grand a étudié un implant trouvé sur des appareils achetés auprès de vendeurs douteux sur Lazada. Il en a informé Ledger le 4 mars 2026, puis a présenté ses travaux en avril à Tropicon (slides disponibles sur son site) et en mai à Hardwear.io USA. Le mécanisme — écoute du bus SPI alimentant l’écran et exfiltration de la phrase de récupération via un module LTE/eSIM — était déjà décrit, les versions ultérieures documentées par Tibane Labs et celles retrouvées dans le circuit CryptoBilis apparaissant comme des évolutions plus discrètes.
La nouveauté de l’affaire actuelle, c’est que des implants de cette famille ont désormais été retrouvés dans des appareils vendus par des revendeurs officiels (CryptoBilis en Asie du Sud-Est, et des signalements chez MediaMarkt en Europe ou à Metapod à l’aéroport de Singapour), et non plus seulement sur des canaux secondaires ou des marketplaces douteuses.
Le 8 octobre, Mark Karpelès, ancien dirigeant de Mt. Gox, a ainsi relayé ses découvertes sur des implants cachés dans des Ledger Nano X acheté auprès de CryptoBilis, revendeur officiel de Ledger en Indonésie, en Malaisie et aux Philippines.
Ces appareils passent le Genuine Check de Ledger. Ce contrôle vérifie l’intégrité du Secure Element, la puce qui génère et protège les clés privées, mais ne détecte pas un ajout externe qui la laisse intacte. Le 9 octobre, Karpelès publie des photos d’un appareil acheté en Malaisie : l’implant était dissimulé à l’emplacement de la mousse de calage, sous l’écran. Les recherches de Tibane Labs documentent plusieurs générations d’implants, des premiers modèles aux câbles visibles jusqu’à des cartes plus compactes imitant l’électronique d’origine.
L’affaire CryptoBilis
Le 9 octobre, des vols massifs de fonds sont signalés chez des utilisateurs ayant acheté leur appareil auprès de CryptoBilis. Specter estime les pertes à plus de 86 millions de dollars. Bitquery avance 93,2 millions sur 315 wallets, et d’autres sources parlent de 102 millions. Ledger n’a encore confirmé aucun de ces chiffres.
Ce même jour, Ledger ouvre une enquête et demande à CryptoBilis de suspendre ventes et expéditions. Elle recommande aux acheteurs des 90 derniers jours de ne pas initialiser leur appareil s’ils ne l’ont pas encore fait, ou de transférer leurs actifs vers un nouvel appareil avec une nouvelle phrase de récupération s’ils l’ont déjà configuré. Le 10 octobre, l’entreprise confirme qu’un appareil touché contenait bien un implant non autorisé.
Les anciens fondateurs de CryptoBilis expliquent que l’entreprise a changé de propriétaire en mars 2026, qu’ils ont perdu tout accès opérationnel et qu’une clause contractuelle leur interdisait d’en parler. Les registres d’entreprise, relayés par Bitcoin News, mentionnent un nouveau propriétaire domicilié en Chine. Aucune enquête publique n’a toutefois établi que le repreneur a fait modifier les appareils.
Des cas hors de CryptoBilis
Le 12 octobre, un utilisateur, @0xJohannes_, publie photos et vidéo de deux Nano X achetés dans des magasins MediaMarkt en Allemagne, montrant des câbles et un module LTE. Selon lui, le stock proviendrait du distributeur Aqipa GmbH. Ces éléments restent à vérifier de façon indépendante.
Karpelès annonce par ailleurs avoir trouvé un implant dans un Ledger Flex acheté cet été chez Metapod, à l’aéroport de Singapour-Changi, par un utilisateur nommé Ben Yorke. Alerté par des traces suspectes sur le boîtier, celui-ci n’avait jamais initialisé l’appareil. Ledger n’a pas confirmé de lien entre ce cas et celui de CryptoBilis.
Le 13 octobre, MediaMarktSaturn retire les produits Ledger de la vente, en magasin et en ligne, à titre de précaution. Aucune perte de fonds n’est signalée dans ce cas. De son côté, Trezor révise son réseau de revendeurs après l’affaire.
L’analyse de Ledger Donjon
Le 13 octobre, l’équipe de sécurité Ledger Donjon publie son analyse de l’implant retrouvé dans les appareils CryptoBilis. Placé à l’intérieur du boîtier, il lit les données affichées, repère les écrans de la phrase de récupération pendant la configuration, les décode avec son microcontrôleur et les envoie via LTE par une eSIM. Ce composant distinct ne touche ni au Secure Element, ni au système d’exploitation, ni aux transactions, ce qui explique qu’il échappe au Genuine Check.
Ledger affirme que tous les vols confirmés concernent des appareils vendus par CryptoBilis et que ses systèmes, son infrastructure et ses ventes directes ne montrent aucun signe de compromission. L’entreprise examine les implants signalés ailleurs, mais n’a pas vérifié de perte de fonds liée à un autre canal d’achat.
Que faire ?
- Acheteurs de CryptoBilis : ne pas initialiser un appareil encore vierge et contacter le support officiel. Si l’appareil a déjà servi, migrer sans attendre les fonds vers un nouvel appareil avec une nouvelle phrase de récupération, sans jamais restaurer l’ancienne sur un appareil suspect.
- Autres canaux (grandes surfaces, revendeurs divers, marketplaces d’occasion) : rester prudent, car un appareil peut passer le Genuine Check tout en abritant un implant.
- En cas de doute ou de perte : contacter le support de Ledger et porter plainte auprès des autorités locales.
L’enquête se poursuit. Les implants circulent depuis des mois sur les canaux secondaires ; l’affaire CryptoBilis montre qu’ils ont aussi atteint un revendeur autorisé, et les cas européen et singapourien posent la question de l’étendue réelle de la chaîne d’approvisionnement touchée.
Les estimations de pertes proviennent d’analystes tiers et ne sont pas confirmées par Ledger.
