Les pertes rapportées lors de l’incident Ledger CryptoBilis ont atteint une estimation de 93,2 millions de dollars provenant de 315 portefeuilles sur six chaînes après des drains coordonnés le 9 octobre 2026, tandis que Ledger a confirmé la présence d’une injection matérielle non autorisée dans un dispositif affecté. Ledger n’a pas confirmé de chiffre de pertes, l’identité de l’attaquant, le modèle de l’appareil concerné ou si le mécanisme d’injection identifié dans la recherche publique explique tous les vols rapportés.
Point clé : L’incident Ledger CryptoBilis doit être compris comme une attaque sur la chaîne d’approvisionnement des portefeuilles hardware visant la voie d’affichage de la phrase de récupération, et non comme une compromission avérée du firmware Ledger, de l’élément sécurisé, ou de l’infrastructure propre à Ledger.
Que s’est-il passé lors des drains de portefeuilles Ledger CryptoBilis ?
Les drains de portefeuilles Ledger CryptoBilis ont été une série de vols coordonnés multi-chaînes débutant vers 05:07 UTC le 9 octobre 2026, affectant des utilisateurs ayant acheté des dispositifs Ledger via CryptoBilis en Malaisie, Indonésie et Philippines. L’analyse blockchain estime que 315 portefeuilles ont perdu environ 93,2 millions de dollars répartis entre Bitcoin, Ethereum, TRON, BNB Chain, Polygon, et Solana, bien que Ledger n’ait pas validé cette estimation.
Le timing est important, car la séquence sur la blockchain indique un accès synchronisé plutôt que des erreurs isolées d’utilisateurs. Vers 05:00 UTC, 30 portefeuilles TRON avaient la même nouvelle clé ajoutée aux permissions du compte. À 05:07:48 UTC, 13 portefeuilles TRON ont signé la même autorisation de token, suivis par 12 autres en quelques secondes. Les premières approbations TRON ont permis de retirer environ 29 millions de dollars.
Les drains ont ensuite commencé sur BNB Chain, Polygon et Ethereum entre 05:07 UTC et 05:09 UTC. À 05:54 UTC, 111 portefeuilles Bitcoin ont été vidés en un seul bloc, ce qui a permis de retirer environ 203 BTC. La séquence concorde avec un acteur contrôlant des identifiants capables d’autoriser des activités sur de nombreux portefeuilles au même moment.
Les enquêteurs ont publié des alertes sur les adresses de drain vers 12:00 UTC le 9 octobre. Ledger a publié sa première déclaration à 13:32 UTC, indiquant qu’elle enquêtait sur des rapports liés à CryptoBilis, et a demandé à l’intermédiaire de suspendre ses ventes. Le 10 octobre, CryptoBilis a suspendu la vente et l’expédition de toutes les marques de portefeuilles hardware et a fermé ses magasins physiques par précaution.
Ledger a confirmé le 10 octobre qu’un appareil affecté contenait une injection matérielle non autorisée. Le 11 octobre, Ledger a indiqué que les cas confirmés étaient liés à des dispositifs CryptoBilis, que le volume des appareils affectés était limité, et que Ledger collaborait avec les autorités compétentes. Ledger a également précisé n’avoir aucune indication que ses propres systèmes, services ou canaux de vente aient été compromis.
| Date et heure | Événement de l’incident Ledger CryptoBilis | Détail rapporté concret |
|---|---|---|
| 25 septembre 2026 | Adresses contrôlées par l’attaquant reçoivent des fonds initiaux | Analyse blockchain identifie la première activité de financement |
| 26 septembre au 7 octobre 2026 | Activités de test sur TRON et Ethereum | 21 transactions de boucle de test sur TRON et 20 sur Ethereum |
| 9 octobre 2026, vers 05:00 UTC | Changement des permissions TRON | 30 portefeuilles victimes reçoivent la même nouvelle clé |
| 9 octobre 2026, 05:07 UTC | Début du drain massif | 25 portefeuilles TRON signent la même approbation en quelques secondes |
| 9 octobre 2026, 05:54 UTC | Vidage des portefeuilles Bitcoin | 111 portefeuilles Bitcoin vidés en un seul bloc |
| 9 octobre 2026, 13:32 UTC | Premier communiqué officiel de Ledger | Ledger indique enquêter sur les rapports liés à CryptoBilis |
| 10 octobre 2026, 17:09 UTC | Ledger confirme une preuve de manipulation physique | Un appareil affecté contient une injection matérielle non autorisée |
| 11 octobre 2026, 07:00 UTC | Estimation publique révisée | Environ 93,2 millions de dollars provenant de 315 portefeuilles sur six chaînes |
| 11 octobre 2026, 17:13 UTC | Ledger publie une mise à jour de 72 heures | Ledger indique que le volume de dispositifs affectés est limité |
La concentration des pertes était également inégale. Selon l’estimation détaillée publiée sur la blockchain, 131 portefeuilles TRON représentaient environ 70,5 millions de dollars, incluant environ 70,2 millions d’USDT et quelques TRX. Bitcoin représentait 122 portefeuilles et 203,8 BTC, évalués à environ 16,8 millions de dollars. Ethereum, BNB Chain, Polygon et Solana complétaient le reste des pertes identifiées.
Dans le travail de Soken sur la sécurité des contrats intelligents et de l’infrastructure, les approbations synchronisées et les changements d’identifiants à travers des portefeuilles non reliés constituent un signal fort de réponse à incident : il faut d’abord identifier la limite de confiance partagée, plutôt que de considérer chaque portefeuille affecté comme une compromission indépendante.
Pourquoi la preuve indique-t-elle une attaque sur la chaîne d’approvisionnement matérielle ?
Les preuves disponibles pointent vers une attaque sur la chaîne d’approvisionnement hardware parce que Ledger a confirmé la présence d’un implant non autorisé dans un dispositif affecté tout en déclarant que ses propres systèmes et canaux de vente directs n’étaient pas compromis. La méthode proposée pour l’implant capte les mots de récupération lorsqu’ils s’affichent sur l’écran d’un appareil, évitant ainsi de devoir contourner l’élément sécurisé ou modifier le firmware Ledger.
La recherche publique sur le hardware a décrit des dispositifs contenant une carte supplémentaire dissimulée sous la zone d’affichage. Une hypothèse publiée utilise un module cellulaire LTE, une eSIM de données, et un microcontrôleur connecté au bus de données de l’écran. Selon cette hypothèse, l’implant attend la configuration de l’appareil, reconnaît la phrase de récupération en texte clair à l’écran, et l’exfiltre via une connexion mobile.
Ledger n’a pas confirmé ce mécanisme, n’a pas validé le modèle de l’appareil implanté qu’elle a examiné, et n’a pas indiqué combien de dispositifs ont été affectés. Le mécanisme doit donc être considéré comme une explication technique plausible étayée par des recherches externes, et non comme un récit confirmé de chaque vol Ledger CryptoBilis.
La distinction clé est qu’un élément sécurisé protège les opérations de clé privée dans l’appareil. Une injection de lecture d’écran n’a pas besoin d’extraire une clé privée de l’élément sécurisé si elle peut capter la phrase de récupération lors de l’initialisation du portefeuille. Une fois que l’attaquant obtient la phrase, il peut recréer l’accès au portefeuille ailleurs et signer des transactions sans nécessiter un accès physique continu à l’appareil d’origine.
Cela explique pourquoi les analyses publiques ont trouvé des changements de clés coordonnés, des approbations de tokens, et des drains sur plusieurs chaînes. Les registres blockchain peuvent démontrer que le même acteur semblait avoir contrôlé ces portefeuilles affectés, mais la blockchain elle-même ne peut révéler comment la phrase de récupération ou les identifiants de signature ont été obtenus.
L’incident Ledger CryptoBilis diffère aussi d’une escroquerie de portefeuille préinstallé. Ledger indique que ses appareils authentiques n’arrivent jamais avec une phrase de récupération ou un code PIN déjà configurés. Aucun rapport public dans cet incident ne prétend que des appareils contenaient des phrases générées en impression, des cartes à gratter ou des identifiants préconfigurés. Le risque ici décrit concerne la diffusion d’une phrase nouvellement générée au moment précis où l’utilisateur s’attendait à une mise en route privée.
Pour les organisations gérant des actifs de trésorerie, cette distinction doit conduire à des revues de sécurité techniques. Une revue limitée au code du contrat ou au firmware des appareils ne saura pas identifier toutes les vulnérabilités créées par l’approvisionnement, l’initialisation, la manipulation physique, et les procédures de récupération de la seed.
Pourquoi Ledger Genuine Check n’a-t-il pas détecté l’implant présumé ?
Ledger Genuine Check n’a pas été conçu pour détecter une injection qui conserve l’élément sécurisé original, car cette vérification valide une attestation cryptographique plutôt qu’un historique complet de la chaîne d’approvisionnement physique de l’appareil. Le modèle de menace de Ledger indique que Genuine Check ne peut pas détecter une modification physique non autorisée lorsque l’élément sécurisé d’origine reste intact.
Le processus Genuine Check fonctionne selon un design de défi-réponse. L’élément sécurisé Ledger prouve qu’il est authentique en créant une signature cryptographique correcte pour un défi donné. Ce modèle offre une assurance sur l’authenticité de l’élément sécurisé, ce qui est précieux contre les dispositifs contrefaits qui remplacent des composants clés de confiance.
Un implant physique peut sortir de cette zone d’assurance. Si une partie malveillante ajoute un circuit sans remplacer l’élément sécurisé authentique, celui-ci peut toujours répondre correctement au défi d’attestation. Le dispositif peut donc passer le Genuine Check même si un autre composant a été ajouté pour observer l’écran ou interagir avec des communications externes.
Ce n’est pas une preuve que le Genuine Check a échoué dans sa fonction cryptographique prévue. C’est une preuve que l’authentification de l’appareil et l’intégrité de la chaîne d’approvisionnement représentent deux propriétés de sécurité différentes.
| Question de sécurité | Ledger Genuine Check | Contrôle de la chaîne d’approvisionnement nécessaire pour le scénario Ledger CryptoBilis |
|---|---|---|
| L’élément sécurisé est-il authentique ? | L’élément sécurisé signe un défi d’attestation | Vérifier la provenance et la garde autorisées avant l’initialisation |
| L’appareil peut-il prouver son historique physique ? | Non, Ledger indique que Genuine Check ne peut pas vérifier l’historique physique | Maintenir la traçabilité auprès des revendeurs, distributeurs, entrepôts, et dans la chaîne de retour |
| Un implant d’observation d’écran ajouté peut-il être identifié ? | Non, si l’élément sécurisé d’origine reste intact | Utiliser l’inspection contre la manipulation et des procédures d’installation contrôlées |
| Le contrôle protège-t-il la phrase de récupération de 24 mots pendant la configuration ? | Pas à lui seul | Générer et enregistrer la phrase uniquement dans un environnement physique fiable |
| Le contrôle établit-il que les systèmes Ledger ont été compromis ? | Non | Ledger indique n’avoir aucune indication de compromise de son infrastructure ou de ses canaux de vente directs |
Le schéma d’attaque renforce un principe de sécurité plus large : la cryptographie peut être solide tandis que le parcours autour de la cryptographie est compromis. La phrase de récupération est délibérément affichée en texte clair pour permettre une sauvegarde. Ce moment nécessaire d’utilisabilité devient une surface d’attaque critique si un composant malveillant peut observer l’affichage.
Les équipes doivent donc éviter de traiter la vérification matérielle comme un processus en une étape. Un processus robuste associe vérifications d’authenticité du dispositif, contrôle d’approvisionnement documenté, réception contre la manipulation, initialisation contrôlée, revue indépendante des transactions, et une procédure de migration définie en cas de suspicion d’exposition.
Les services de sécurité de Soken peuvent aider les équipes à cartographier ces contrôles tout au long du déploiement du portefeuille, de l’accès opérationnel, des permissions de contrats intelligents, et des flux de réponse à incident. La question pertinente n’est pas seulement de savoir si un signataire est authentique, mais si chaque étape manipulant la phrase de récupération et l’autorité de transaction est digne de confiance.
Que doivent faire maintenant les utilisateurs et organisations affectés par l’incident Ledger CryptoBilis ?
Les utilisateurs Ledger CryptoBilis concernés ne doivent pas initialiser les dispositifs inutilisés achetés via CryptoBilis et doivent transférer leurs actifs de tout dispositif CryptoBilis initialisé vers un nouveau signataire Ledger utilisant une nouvelle seed. Réutiliser l’ancienne phrase de récupération sur un nouvel appareil préserverait l’exposition suspectée et ne constituerait pas une migration sécurisée.
Les recommandations initiales de Ledger concernaient les utilisateurs ayant acheté via CryptoBilis dans les 90 jours précédents, puis ont été élargies pour conseiller de ne pas initialiser les appareils CryptoBilis non utilisés sans limite de temps précise. Ledger a également conseillé aux utilisateurs de contacter le support officiel et de déposer plainte auprès des autorités locales lorsque cela était pertinent.
Une migration doit être considérée comme une opération de sécurité contrôlée, et non comme un simple transfert entre interfaces portefeuille :
-
Arrêtez d’utiliser l’appareil suspecté. N’initialisez pas un dispositif Ledger lié à CryptoBilis inutilisé et n’utilisez pas un appareil initialisé pour créer de nouvelles structures de portefeuille à long terme.
-
Générez une nouvelle phrase de récupération authentique. Le nouveau signataire doit produire une seed nouvelle.Importer une ancienne phrase de récupération dans un autre portefeuille maintient le risque que la phrase d’origine ait été exposée.
-
Déplacez les actifs vers des adresses dérivées de la nouvelle seed. Confirmez l’adresse de destination via l’affichage fiable du nouveau signataire et vérifiez soigneusement chaque transfert.
-
Examinez les permissions déléguées. Sur TRON, Ethereum, BNB Chain, Polygon, Solana, et autres réseaux concernés, vérifiez les approbations, permissions de compte, et autorisations de signature déléguée associées à l’ancien portefeuille.
-
Préparez-vous à une ingénierie sociale secondaire. Ledger indique qu’il ne téléphonne jamais, ne DM jamais, ni ne demande la phrase de récupération de 24 mots. Les périodes de migration peuvent attirer des pages de phishing, des faux contacts support, et des applications de portefeuille frauduleuses.
-
Conservez les preuves. Gardez traces d’achat, emballages, reçus, communications, et enregistrements de portefeuille pertinents. Ne pas démonter un appareil si cela pourrait endommager des éléments de preuve utiles aux enquêteurs ou autorités.
Le mouvement des fonds après drain montre l’importance d’une containment rapide. L’analyse blockchain indique que l’attaquant a transféré 20 millions d’USDT en 40 parts égales, échangé cette somme contre environ 7 994 ETH, et échangé environ 14,9 millions d’USDT en USDD. Parmi les autres routes rapportées, on trouve Relay.link, Chainflip, HiFiSwap, NEAR Intents, et environ 2 990 ETH routés via Tornado Cash.
Tether a gelé environ 10 millions de dollars USDT dans 20 portefeuilles liés à l’attaquant le 9 octobre. Aucun fonds n’a été restitué aux victimes et aucune compensation n’a été annoncée à ce jour, le 12 octobre. La récupération des actifs dépend de la rapidité, de la qualité des preuves, de la coordination légale, et des routes choisies par l’attaquant à travers chaînes et services. Les organisations confrontées à des pertes multi-juridictionnelles de portefeuilles pourraient également nécessiter un soutien juridique et conforme en complément de la containment technique.
Quelles implications l’incident Ledger CryptoBilis change-t-il pour la sécurité des portefeuilles hardware ?
L’incident Ledger CryptoBilis montre que la sécurité des portefeuilles hardware doit inclure le chemin de confiance depuis la délégation du revendeur jusqu’à l’initialisation de la phrase, car une cryptographie forte ne protège pas une phrase observée avant qu’elle ne devienne un secret. La confirmation par Ledger d’un implant dans un seul dispositif rend les contrôles de chaîne d’approvisionnement physique une exigence pratique de sécurité, et non une préoccupation théorique.
L’événement ne doit pas être mal interprété comme un Zero-Day confirmé de Ledger. Ledger indique que son infrastructure et ses canaux directs de vente n’ont pas été affectés, et aucune source publique ne prétend que l’élément sécurisé ou le firmware Ledger ont été compromis. De même, aucun attaquant ou groupe n’a été crédiblement attribué à ce jour, et les déclarations de participation étatique sur les réseaux sociaux restent spéculatives.
L’incident ne doit pas non plus être généralisé comme signifiant que chaque appareil Ledger, chaque revendeur, ou chaque portefeuille matériel est compromis. Ledger a affirmé que tous les cas confirmés étaient liés à CryptoBilis, et n’a rapporté aucune preuve impliquant des appareils achetés directement auprès de Ledger. La réponse appropriée consiste en une réduction ciblée des risques basée sur des preuves d’approvisionnement et d’installation.
Une comparaison utile est la différence entre l’incident Ledger CryptoBilis et d’autres modes de défaillance de portefeuille hardware. Dans l’incident Coldcard de juillet 2026, le firmware obsolète aurait généré des seed avec une faiblesse dans l’aléa. Dans le cas Ledger CryptoBilis, la préoccupation rapportée est une observation physique d’un seed généré correctement. En cas de scénario de dispositif contrefait, l’ensemble de la plateforme hardware peut être frauduleux. Chaque cas attaque un segment différent du parcours de confiance.
Pour approfondir l’analyse des incidents, les lecteurs peuvent consulter le centre de recherche en sécurité de Soken, notamment lorsqu’il s’agit de construire des politiques de portefeuille associant contrôles techniques et décisions opérationnelles.
Considérez l’incident Ledger CryptoBilis comme un test de sécurité sur la chaîne d’approvisionnement et l’initialisation : identifiez chaque portefeuille acquis via CryptoBilis, cessez l’installation des unités inutilisées, et migrez tout dispositif initialisé vers une nouvelle seed générée. Cette étape concrète d’inventaire et de migration répond plus efficacement au risque vérifié qu’une simple vérification Genuine Check.