Des Ledger trafiqués vident des wallets : un escroc perd plus de 60 BTC, des centaines de victimes

Une manipulation physique d'appareils aboutit à des vols massifs

Depuis le 9 octobre, une vague de piratages a frappé des détenteurs de portefeuilles Ledger achetés en Asie du Sud-Est. Des centaines d'utilisateurs ont vu leurs cryptomonnaies disparaitre après que les appareils, mis en vente via un revendeur agréé, aient été retrouvés trafiqués.

Le fabricant a confirmé avoir identifié un implant matériel introduit dans au moins un appareil victime. Ce composant récupère la phrase de récupération (les fameuses 24 mots) en lisant l'écran au moment où elle est affichée, puis transmet ces informations via un module mobile intégré. Avec ces clés, un pirate peut reconstruire le wallet à distance et prendre le contrôle des fonds.

Une cible paradoxale : l'escroc victime du vol

Les enquêtes menées par Chainalysis et partagées publiquement relient les incidents à une campagne de dépôts initiée par un acteur unique, qui a vidé plusieurs adresses sur six blockchains en moins d'une heure. Parmi les adresses ciblées figuraient trois adresses récemment créées servant à centraliser le produit d'une arnaque aux « tâches rémunérées » — une escroquerie où des victimes crédules sont payées pour réaliser des micro-tâches et finissent par déposer des fonds.

Ironie du sort, l'escroc qui utilisait ces trois adresses s'est lui-même fait dépouiller : les voleurs lui ont pris plus de 60 bitcoins, soit environ 4,8 millions de dollars selon le suivi on‑chain. Les analyses publiées indiquent également que de nombreux autres wallets liés au revendeur malaisien CryptoBilis ont été vidés.

Comment fonctionne l'arnaque des Ledger piégés

• Des appareils Ledger authentiques sont ouverts et équipés d'un implant dissimulé dans le boîtier.
• L'implant lit l'affichage lors de la configuration ou de la restitution de la phrase de récupération.
• Une carte SIM intégrée transmet ensuite les 24 mots au voleur, qui reconstitue le wallet ailleurs.
• Une fois que le propriétaire dépose des fonds, le pirate les déplace immédiatement vers d'autres adresses.

Ce procédé, bien que technique, repose moins sur une faille logicielle que sur une compromission de la chaîne d'approvisionnement physique — un point de vulnérabilité souvent plus difficile à détecter pour l'utilisateur final.

Réaction de Ledger et implications pour les utilisateurs

Ledger a réagi en demandant à ses revendeurs de retirer ses appareils des rayons dans la région concernée et a fourni une première réponse écrite à l'incident. Les autorités et les sociétés de traçage blockchain (Chainalysis, Bitquery) continuent de suivre les flux de fonds pour identifier les acteurs derrière l'opération.

Pour les détenteurs de wallets matériels, la leçon est claire : l'usage d'un appareil acheté dans une chaîne d'approvisionnement non vérifiée comporte un risque réel. Les bonnes pratiques restent inchangées mais sont cruciales : n'entrer la phrase de récupération que sur un appareil neuf scellé, vérifier l'intégrité du packaging, acheter exclusivement auprès de canaux officiels et, si possible, préférer des achats directs auprès du fabricant.

Conséquences pour l'écosystème

Outre les pertes individuelles, ces opérations minent la confiance dans les solutions de stockage froid et peuvent pousser des utilisateurs vers des services custodial — avec leurs propres risques. Les professionnels de la sécurité et les régulateurs pourraient intensifier les contrôles sur les circuits d'importation et distribution d'appareils hardware wallet.

Sans remise en question des chiffres fournis par les traceurs on‑chain, il est difficile de connaître l'étendue finale du préjudice. Les investigations continuent et plusieurs indices laissent penser à une opération méthodique, organisée et ciblée. Tant que la chaîne d'approvisionnement des hardware wallets ne sera pas entièrement sécurisée, le risque de nouvelles campagnes reste élevé.