Crypto : 86 millions de dollars volés sur des Ledger, cette simple erreur à l'achat qui peut vider votre portefeuille

Un simple achat de wallet matériel en Asie du Sud-Est, et des cryptoactifs qui disparaissent sans que leur propriétaire ne signe la moindre transaction. Depuis le 8 octobre, des détenteurs de portefeuilles physiques Ledger signalent sur X et Reddit le vidage en chaîne de leurs comptes sur Bitcoin, Ethereum ou Tron. Les estimations non confirmées parlent déjà de plus de 86 millions de dollars dérobés, soit près de 79 millions d’euros, et la facture continue de grimper.

Face à cette série de vols concentrés en Asie du Sud-Est, le fabricant français a lancé une enquête interne et pris une mesure spectaculaire : suspendre un de ses revendeurs officiels, CryptoBilis, qui opérait en Malaisie, en Indonésie et aux Philippines. Dans le même temps, des sociétés d’analyse on-chain affinent le bilan, tandis que des soupçons se tournent vers la chaîne d’approvisionnement, voire vers des appareils modifiés avant leur livraison. Une affaire qui soulève plus de questions qu’elle n’en résout.

Ledger suspend CryptoBilis et cible sa chaîne de distribution

Les premières alertes arrivent le 8 octobre, quand l’analyste on-chain Specter agrège les transactions suspectes et chiffre les pertes à plus de 86 millions de dollars, sur Bitcoin, Ethereum et Tron. Rapidement, Ledger réagit publiquement sur X en pointant un revendeur d’Asie du Sud-Est. Dans un message relayé par Journal du Coin, l’entreprise écrit : « Ledger enquête actuellement sur des signalements de pertes de fonds concernant des utilisateurs d’Asie du Sud-Est ayant acheté des produits auprès d’un revendeur nommé CryptoBillis. Nous recommandons aux utilisateurs de Ledger ayant effectué un achat auprès de ce revendeur au cours des 90 derniers jours de ne pas procéder à la configuration s’ils ne l’ont pas encore fait. » Le groupe demande dans la foulée à CryptoBilis de suspendre toutes ses ventes et expéditions d’appareils, le temps de faire la lumière sur l’origine des détournements.

Ce revendeur occupait une place clé dans la région : fondée à Kuala Lumpur en 2020, la société distribuait non seulement les produits Ledger, mais aussi d’autres marques comme Trezor et Tangem. Or des documents du registre des sociétés montrent qu’CryptoBilis a été rachetée en mars 2026 et que, depuis le 3 août, 100 % du capital appartient à un certain Jiaming, domicilié dans la province chinoise du Heilongjiang. L’un des cofondateurs, désormais sorti de la structure, a confirmé la cession en écrivant : « Nous ne faisons plus partie de l’entreprise », un message rapporté par Journal du Coin. Un accord de confidentialité l’empêche de détailler les conditions de la vente avant le 19 octobre, tandis que CryptoBilis a fermé ses boutiques en Malaisie, en Indonésie et aux Philippines. De son côté, Changpeng Zhao, fondateur de Binance, estime que l’incident « semble localisé à une attaque de la chaîne d’approvisionnement via un seul vendeur », a-t-il déclaré selon Journal du Coin, tout en jugeant que Ledger reste « l’un des wallets matériels les plus sûrs et les plus anciens de l’industrie ».

Des dizaines de millions envolés : chiffres, pistes techniques et consignes

Pendant que l’enquête progresse, les montants estimés augmentent. L’analyse de Bitquery élargit le périmètre à 92,9 millions de dollars, soit environ 85 millions d’euros, siphonnés sur 311 wallets et cinq blockchains, un chiffre encore non validé par Ledger. Un troisième pointage, signé John Kamal pour Yfarmx, évoque 93,4 millions de dollars, répartis sur 471 adresses, ce qui illustre surtout la différence de méthode entre enquêteurs. Selon Chainalysis, les flux dessineraient « une opération sophistiquée de blanchiment inter-chaînes », d’après des déclarations rapportées par Journal du Coin, avec plusieurs passages par le mixeur Tornado Cash. L’émetteur Tether a de son côté gelé environ 10 millions de dollars d’USDT, soit un peu plus de 9 millions d’euros, alors que Bitquery estimait encore près de 79 millions de dollars, soit autour de 73 millions d’euros, traçables on-chain vendredi en fin de journée. Ledger n’a validé aucun de ces totaux et rappelle : « Nous n’avons aucune indication que l’infrastructure de sécurité, les systèmes ou les services de Ledger aient été compromis. »

Reste la question du vecteur d’attaque. Aucune faille généralisée des appareils Ledger n’a été démontrée et les signalements se concentrent sur des produits achetés via CryptoBilis. Des observateurs évoquent une possible campagne de phishing, avec de fausses publicités Google renvoyant vers un site imitant Ledger et demandant les 24 mots de récupération, mais aussi des appareils préconfigurés dont la phrase de secours serait connue à l’avance des fraudeurs. L’ancien patron de Mt. Gox, Mark Karpelès, a de son côté publié des photos d’un Ledger expédié de Malaisie dont l’emballage semblait intact, mais contenait sous l’écran une carte électronique additionnelle équipée d’un module LTE, d’une eSIM et d’une antenne capable de lire puis d’envoyer les 24 mots enregistrés ; il précise toutefois que ces appareils ne provenaient pas d’un revendeur agréé, et le responsable sécurité 23pds chez SlowMist décrit le même schéma. Ledger maintient ses consignes : si vous avez acheté un appareil chez ce revendeur au cours des 90 derniers jours, ne le configurez pas ; s’il l’est déjà, migrez vos fonds vers un nouveau wallet avec une nouvelle phrase de récupération, un rappel qui fait écho aux 6 678 wallets D’CENT vidés en septembre et à la faille Coldcard de l’été, et rapellant que le maillon faible se situe souvent entre l’usine et l’utilisateur.