Ledger confirme un implant matériel : le revendeur CryptoBilis au cœur d’un vol à 93 millions de dollars
Ledger a trouvé un implant matériel non autorisé dans le wallet d’une victime. Tous les cas confirmés concernent des appareils vendus par le revendeur CryptoBilis en Asie du Sud-Est, pour un vol estimé à plus de 90 millions de dollars.
Sommaire
Le cauchemar de tout adepte de la self-custody vient de prendre forme physique. Ledger a confirmé avoir trouvé un composant qui n’avait rien à faire là dans le wallet d’une victime, au cœur d’un vol que les enquêteurs on-chain chiffrent à plus de 90 millions de dollars.
Tout commence le vendredi 9 octobre. Des acheteurs de Ledger en Indonésie, en Malaisie et aux Philippines ouvrent leur application et découvrent des soldes à zéro, sans avoir signé le moindre envoi. Le point commun, selon le fabricant français : leurs appareils ont été achetés chez CryptoBilis, un revendeur agréé de la région. Dans la foulée, Ledger dit enquêter sur ces « pertes de fonds » et demande à la boutique de suspendre toutes ses ventes et expéditions.
Le lendemain, le ton change. « Ledger peut confirmer que l’un des appareils des utilisateurs touchés contenait un implant matériel non autorisé », écrit le compte Ledger Support sur X le 10 octobre. Un seul appareil, à ce stade. Mais c’est la première preuve concrète de la piste que beaucoup redoutaient depuis la veille : une chaîne d’approvisionnement trafiquée.
315 wallets vidés en moins d’une heure
Ledger n’a avancé aucun chiffre officiel. Les premiers détectives on-chain, tanuki42 et Specter, ont publié les adresses du voleur et évoqué plus de 86 millions de dollars de pertes. La société d’analyse Bitquery, qui a remonté chaque transfert, arrive à 93,2 millions de dollars dérobés sur 315 wallets, répartis sur six blockchains : Tron, Bitcoin, Ethereum, Solana, BNB Chain et Polygon. L’essentiel, 70,2 millions, était de l’USDT sur Tron. Côté Bitcoin, 203,8 BTC ont été siphonnés.
La chronologie reconstituée par Bitquery a de quoi glacer. Deux semaines de « répétitions » d’abord : une quarantaine de petits allers-retours de test entre le 25 septembre et le 7 octobre. Puis, le 9 octobre peu après 5 heures UTC, 25 wallets Tron signent la même autorisation en trois secondes, et 111 wallets Bitcoin sont vidés dans un seul et même bloc. Aucun humain ne clique aussi vite. Pour l’analyste, il n’y a qu’une explication : un acteur unique détenait déjà les clés de tout le monde.
Tether gèle 10 millions, le reste file vers Tornado Cash
La riposte est venue d’abord de Tether, qui a bloqué 37 adresses liées au vol dans les heures qui ont suivi et immobilisé environ 10 millions de dollars d’USDT, d’après Bitquery. Le voleur, lui, ne s’est pas attardé. Une partie des USDT a été convertie en USDD, un stablecoin que Tether ne peut pas geler, une autre en ETH. Environ 2 990 ETH sont ensuite passés par Tornado Cash puis par Zcash, avant de ressortir sous forme d’USDC dans de nouveaux wallets. Ironie de la manœuvre : 5,35 millions de ces USDC dorment désormais à des adresses que Circle pourrait geler à son tour.
Le 11 octobre, Ledger a voulu circonscrire l’incendie. « À ce jour, tous les cas confirmés liés à l’incident de vidage du 9 octobre concernent des appareils vendus par le revendeur d’Asie du Sud-Est CryptoBilis », écrit l’entreprise, qui assure que ses systèmes internes et ses ventes directes ne sont pas touchés. Elle dit coopérer avec les autorités et promet de revoir ses contrôles sur les revendeurs, rapporte CoinDesk.
La consigne de Ledger, et le « trou » de juin
Pour les clients de CryptoBilis, la consigne tient en deux lignes : ne pas initialiser un appareil encore neuf, et si le wallet est déjà en service, transférer ses fonds vers une nouvelle phrase de récupération, générée sur un appareil acheté directement chez Ledger. L’entreprise vise les achats des 90 derniers jours. Or, selon Bitquery, seuls six wallets victimes sur dix ont reçu leurs premiers fonds dans cette fenêtre, et plus de huit sur dix depuis juin. Pas une preuve de date d’achat, prévient l’analyste, mais un indice que le risque remonte peut-être plus loin. Et, comme toujours dans ces moments-là, Ledger rappelle qu’il ne demande jamais les 24 mots.
Revendeur racheté ? Les rumeurs en attendant l’enquête
Reste la question qui fâche : comment un implant a-t-il atterri dans un appareil vendu par un canal officiel ? Changpeng Zhao, cofondateur de Binance, affirme sur X que les attaquants auraient « apparemment racheté le revendeur » et lui auraient fait signer un accord de confidentialité. Une allégation que rien ne vient étayer pour l’instant, et CryptoBilis n’a pas répondu à CoinDesk. Mark Karpelès, ex-patron de Mt. Gox, a lui partagé des photos d’un petit composant trouvé dans un Ledger, sans lien établi avec les vols.
L’affaire tombe mal pour le secteur. En juillet, une faille dans la génération des seeds du firmware Coldcard avait déjà permis de drainer entre 100 et 130 millions de dollars en bitcoins, selon des chercheurs on-chain cités par CoinDesk. Le hardware wallet reste la meilleure protection pour qui garde ses cryptos, mais il ne vaut que ce que vaut le chemin qu’il a parcouru avant d’arriver dans votre boîte aux lettres.
Ledger n’a examiné qu’un appareil piégé. Tout l’enjeu des prochains jours sera de savoir combien d’autres dorment encore dans des tiroirs en Asie du Sud-Est, et si les 315 wallets vidés ont tous fui par le même trou.
Cet article est publié à titre informatif et ne constitue pas un conseil en investissement. Les cryptoactifs sont volatils : n’investissez que ce que vous pouvez vous permettre de perdre.
