Les revendeurs agréés peuvent-ils eux aussi déraper ? Le vol de 86 millions de dollars révèle une immense faille dans la sécurité des portefeuilles matériels

Les revendeurs agréés peuvent-ils eux aussi déraper ? Le vol de 86 millions de dollars révèle une immense faille dans la sécurité des portefeuilles matériels De nombreux détenteurs d’actifs crypto sont fermement convaincus d’une évidence : il suffit d’acheter un portefeuille matériel d’une grande marque via un revendeur officiellement agréé pour que l’appareil soit sûr et que les actifs soient à l’abri. Mais le récent vol d’actifs de grande ampleur subi par des utilisateurs de Ledger en Asie du Sud-Est a brutalement détruit cette croyance. Cet incident de sécurité, dont les pertes sont estimées à plus de 86 millions de dollars, révèle une réalité cruelle : même un portefeuille matériel acheté auprès d’un canal officiellement agréé ne garantit pas à 100 % que l’appareil n’a pas été manipulé pendant son transport et sa distribution.
Le 9 octobre, le fabricant bien connu de portefeuilles matériels Ledger a révélé enquêter sur un vol d’actifs concentré en Asie du Sud-Est. Les appareils Ledger détenus par les victimes provenaient tous de son revendeur agréé CryptoBilis, en Indonésie, en Malaisie et aux Philippines. Le chercheur en sécurité on-chain Specter a estimé dans un premier temps que le montant des actifs volés pourrait dépasser 86 millions de dollars et concerner plusieurs cryptomonnaies, dont le bitcoin et l’ethereum, mais ce montant n’a pas encore été vérifié ni confirmé par un tiers indépendant.
Conformément aux recommandations d’achat officielles de Ledger, les utilisateurs qui achètent leur portefeuille matériel dans la boutique officielle de la marque ou auprès d’un revendeur agréé et exécutent la vérification d’authenticité Genuine Check lors de la première initialisation de l’appareil peuvent éviter le risque d’acquérir une contrefaçon.
La logique centrale de la vérification d’authenticité consiste à vérifier que la puce de sécurité interne de l’appareil est bien une puce d’origine. Dans la perception du grand public, le fait de réussir cette vérification signifie que l’appareil tout entier est resté sécurisé de sa sortie d’usine jusqu’à sa remise à l’utilisateur. Or CryptoBilis était bien un revendeur officiellement agréé figurant sur la liste de Ledger. Forts de cette caution officielle, les utilisateurs ont baissé leur garde, avant de finalement subir un vol d’actifs.

L’angle mort de la sécurité des canaux agréés : la puce est intacte, mais l’appareil peut avoir été modifié

C’est là que se trouve une limite technique ignorée par la grande majorité des investisseurs : la vérification d’authenticité ne contrôle que la puce de sécurité elle-même et ne peut pas détecter la présence éventuelle de matériel d’espionnage ajouté à l’intérieur du boîtier. La documentation officielle de Ledger indique en réalité depuis longtemps qu’il est très difficile d’éviter totalement les attaques par interception et manipulation dans la chaîne d’approvisionnement mondiale. L’agrément du revendeur et la vérification de l’authenticité de la puce permettent uniquement d’écarter les puces contrefaites, mais ne garantissent pas que l’appareil n’a pas été démonté ou modifié après sa sortie d’usine, durant son stockage ou sa circulation chez le revendeur.
Le jour même où cette affaire a pris de l’ampleur, Mark Karpelès, ancien CEO de la plateforme d’échange MtGox, a publié sur les réseaux sociaux des images d’un appareil Ledger Nano X démonté et a découvert qu’un ensemble de composants espions avait été secrètement implanté à l’intérieur. À en juger par le film thermorétractable de l’emballage extérieur, l’appareil semblait intact et une personne ordinaire n’aurait absolument pas pu déceler l’anomalie. Après ouverture du boîtier, un microcontrôleur, un module de communication cellulaire, une antenne et un module eSIM ont été trouvés dans l’espace situé derrière l’écran OLED, à l’emplacement initial de la mousse de protection. Ce matériel pouvait lire le contenu affiché à l’écran, capturer les caractères lorsque l’utilisateur saisissait sa phrase de récupération, puis les transmettre à distance via le réseau cellulaire.
En bref : la puce de sécurité reste intacte et la vérification d’authenticité Genuine Check peut être passée avec succès, mais le matériel d’espionnage ajouté surveille l’écran et intercepte discrètement la phrase de récupération dès qu’elle s’affiche. La clé privée reste stockée dans la puce de sécurité d’origine, mais une fois la phrase de récupération volée, les hackers peuvent tout de même prendre le contrôle des actifs du portefeuille.
L’expert en sécurité 23pds a ensuite réalisé une analyse technique. Si cette carte électronique ajoutée est capable de lire le flux de données de l’écran, elle pourrait en théorie enregistrer la phrase de récupération et la transmettre à distance. L’expert a toutefois souligné que cette voie d’attaque n’en est pour l’instant qu’au stade des hypothèses théoriques, que l’échantillon doit encore faire l’objet d’une analyse approfondie et qu’il faut attendre les conclusions complètes de l’enquête officielle de Ledger. Il convient également de clarifier un point : il n’existe actuellement aucune preuve directe établissant un lien entre ce prototype modifié et le vol subi dans l’affaire CryptoBilis. Il s’agit de deux pistes indépendantes, mais leur conjonction met en lumière les risques de l’ensemble de la chaîne d’approvisionnement des portefeuilles matériels.

Le changement de propriétaire du revendeur, une bombe à retardement dans la chaîne d’approvisionnement

Le point le plus préoccupant derrière cette affaire est le changement de contrôle du revendeur. Les informations disponibles indiquent que CryptoBilis, le revendeur concerné, a été racheté en mars 2026 et que l’équipe fondatrice a alors quitté la gestion opérationnelle de l’entreprise. Le cofondateur Arravind Prabu a déclaré publiquement qu’en raison d’un accord de confidentialité, ce rachat ne pouvait être rendu public qu’en octobre ; depuis août, la totalité du capital de l’entreprise est détenue par le nouveau bénéficiaire effectif. Le changement d’actionnariat et le renouvellement complet de la direction coïncident étroitement, sur le plan chronologique, avec le vol d’actifs. Le changement d’actionnariat ne permet pas à lui seul de prouver que les nouveaux actionnaires ont participé à la modification des appareils ou au vol des actifs. Mais il révèle une faille majeure de la chaîne d’approvisionnement : après avoir accordé son agrément à un revendeur, la marque n’est pas forcément en mesure de revérifier immédiatement sa situation ni de lui retirer son agrément en cas de rachat ou de changement de direction. Si des employés du revendeur nourrissent des intentions criminelles, ils peuvent ouvrir des appareils neufs dans l’entrepôt, y ajouter des composants d’espionnage, puis remettre l’emballage en état. Un utilisateur ordinaire est totalement incapable de le détecter à l’œil nu.
Après l’éclatement de l’affaire, Ledger a demandé en urgence à CryptoBilis de suspendre toutes les ventes et expéditions et a formulé des recommandations aux utilisateurs : les appareils dont le portefeuille n’a pas encore été initialisé ne doivent faire l’objet d’aucune configuration ; les utilisateurs ayant déjà effectué l’initialisation et déposé des actifs doivent transférer rapidement leurs actifs vers un nouvel appareil Ledger et utiliser une nouvelle phrase de récupération. CryptoBilis a également suspendu de sa propre initiative toutes les ventes de portefeuilles matériels et fermé ses boutiques physiques. Ledger a indiqué que tous les cas de pertes signalés provenaient de ce canal de distribution, tandis que les utilisateurs ayant acheté leur appareil directement dans la boutique officielle de Ledger n’avaient pas encore signalé de vol similaire et que les systèmes internes de la marque n’avaient pas été piratés.

Réflexion fondamentale sur les portefeuilles matériels : à qui revient la responsabilité de la sécurité ?

Pendant longtemps, de nombreux investisseurs du secteur crypto ont considéré les portefeuilles matériels comme le coffre-fort ultime pour leurs actifs. Tout le monde partait du principe que grande marque + revendeur agréé = sécurité absolue. Cette affaire a complètement brisé cette illusion.
Le modèle de sécurité des portefeuilles matériels repose sur deux conditions : premièrement, la puce de sécurité ne présente aucune faille ; deuxièmement, l’appareil n’a subi aucune modification physique entre sa sortie d’usine et sa remise à l’utilisateur. Les fabricants peuvent contrôler la technologie de la puce de sécurité, mais la circulation au sein de la chaîne d’approvisionnement et le stockage chez les revendeurs tiers constituent des maillons faibles difficiles à contrôler totalement pour la marque. La vérification d’authenticité ne peut résoudre que la question « la puce est-elle d’origine ? », et non « du matériel d’espionnage supplémentaire a-t-il été ajouté à l’intérieur du boîtier ? ». L’attaquant n’a pas besoin de casser la protection de la puce de sécurité : il lui suffit de surveiller l’écran pour lire la phrase de récupération et contourner ainsi la protection de la puce. Ce type d’attaque physique visant la chaîne d’approvisionnement est extrêmement difficile à détecter ; les utilisateurs ordinaires ne disposent pas des moyens nécessaires pour démonter et inspecter l’appareil.
Bien entendu, il ne faut pas pour autant nier totalement l’utilité des portefeuilles matériels. Comparé aux portefeuilles connectés et à la conservation par une plateforme d’échange, le portefeuille matériel reste une solution relativement sûre pour stocker des actifs crypto importants.
Mais cette affaire nous enseigne à tous une leçon : un canal agréé n’est pas un coffre-fort, et une vérification d’authenticité ne signifie pas une sécurité absolue.

Stratégies de protection accessibles aux utilisateurs ordinaires
1. Privilégier les canaux de vente directe officiels de la marque. Acheter directement sur le site officiel ou la boutique officielle du fabricant du portefeuille matériel, éviter autant que possible les revendeurs agréés tiers, réduire les étapes intermédiaires et diminuer le risque de manipulation en cours de route.
2. Examiner soigneusement l’emballage dès réception. Vérifier si le film plastique ou le scellé présente des traces de réemballage. Si l’emballage est endommagé ou présente des traces de nouvelle thermoscellation, refuser directement le colis et ne pas initialiser l’appareil.
3. Ne pas afficher ni saisir la phrase de récupération dans un environnement connecté à Internet. Même si l’appareil n’a pas été modifié, l’environnement doit rester sûr lors de la saisie de la phrase de récupération : aucune caméra à proximité et aucun appareil électronique face à l’écran.
4. Pour les actifs importants, adopter une stratégie de signatures multiples et de diversification ; ne pas placer tous ses actifs dans un seul portefeuille matériel.
5. Au moindre soupçon d’anomalie sur l’appareil, ne transférer aucun actif vers le portefeuille ; remplacer directement l’appareil par un modèle neuf et changer l’intégralité de la phrase de récupération.

La sécurité des actifs crypto est une chaîne complète et de longue portée : micrologiciel de la puce, usine de production, stockage et logistique, gestion des revendeurs, habitudes d’utilisation des clients ; la défaillance d’un seul maillon peut suffire à réduire les actifs à néant. Le principal avertissement de ce vol de 86 millions de dollars est le suivant : la vérification de sécurité ne peut protéger que contre les failles techniques connues, mais elle résiste difficilement aux attaques physiques et humaines par manipulation de la chaîne d’approvisionnement. Le portefeuille matériel n’est pas une « carte d’immunité » garantissant une sécurité absolue. Pour les détenteurs d’actifs crypto, il faut continuer à faire confiance aux marques et aux canaux agréés, tout en conservant toujours une certaine vigilance face aux risques liés à la chaîne d’approvisionnement.