Un implant matériel confirmé par Ledger
L'affaire Ledger CryptoBilis prend une tournure inédite. Ledger a confirmé le 10 octobre 2026 qu'au moins un hardware wallet vendu par CryptoBilis contenait un implant matériel non autorisé. L'analyste blockchain Bitquery trace 92,9 millions de dollars volés sur 311 portefeuilles à travers cinq chaînes. L'attaque du 9 octobre visait exclusivement des appareils Ledger CryptoBilis, un revendeur agréé en Malaisie, Indonésie et Philippines.
Le vol s'est déroulé le 9 octobre en 47 minutes. Les fonds drainés incluent 70,5 millions de dollars sur TRON, principalement en USDT, 203,8 BTC pour environ 16,8 millions de dollars, 3,7 millions sur Ethereum, 1,45 million sur BNB Chain et 580 000 dollars sur Polygon. L'une des victimes semble être une trésorerie d'entreprise détenant 33,5 millions d'USDT.
Un circuit caché sous l'écran
Des images publiées sur X et Threads montrent un petit circuit imprimé dissimulé sous l'écran de l'appareil. Selon les enquêteurs, l'implant capture l'affichage de l'écran, y compris la phrase de récupération de 24 mots lors de la configuration initiale. L'emballage extérieur ne présentait aucun signe de manipulation.
Le mécanisme suspecté est une puce de type SIM placée dans le rembourrage de l'écran. Une fois la phrase de récupération capturée, l'attaquant peut accéder aux fonds déposés ultérieurement. Le principe de self-custody repose sur le fait que personne d'autre que le propriétaire ne connaît la phrase de récupération. Un implant matériel installé avant la livraison annule cette garantie.
Changement de propriété en août
Le revendeur CryptoBilis, fondé à Kuala Lumpur en 2020, figure sur la page des distributeurs agréés de Ledger pour la Malaisie, l'Indonésie et les Philippines. L'entreprise vendait également des appareils Trezor, OneKey, Tangem et SafePal. Un actionnaire de la province du Heilongjiang, en Chine, aurait pris le contrôle total le 3 août 2026. L'équipe fondatrice affirme avoir perdu le contrôle opérationnel et être sous accord de confidentialité jusqu'au 19 octobre.
Aucune preuve ne lie pour l'instant le changement de propriété au vol. Ledger a demandé à CryptoBilis de suspendre toutes les ventes et expéditions. Le cas Ledger CryptoBilis marque un tournant : les attaques physiques contre les détenteurs de crypto augmentent en Europe, mais une compromission de la chaîne d'approvisionnement matérielle à cette échelle est inédite.
Préparation minutieuse et exécution rapide
L'attaquant a commencé les transactions tests le 25 septembre, avec de petites sommes sur TRON et Ethereum. Un paiement test a atteint le 2 octobre une adresse qui recevra plus tard 36 millions de dollars. Les derniers tests ont eu lieu le 7 octobre, à 23 secondes d'intervalle. Le drainage complet s'est produit le 9 octobre sur les cinq chaînes en 47 minutes.
Tether a gelé 37 adresses environ dix minutes après la publication des adresses de drainage, bloquant environ 10 millions de dollars en USDT. Un gel ne restitue pas automatiquement les fonds aux victimes. Environ 20 millions d'USDT ont été pontés vers Ethereum et échangés, et 14,9 millions convertis en USDD, que Tether ne peut pas geler. Les 203,8 BTC n'avaient pas bougé au moment du dernier relevé.
Six victimes sur dix financées récemment
Environ 60 % des portefeuilles victimes ont été financés dans les 90 jours précédant l'attaque, et plus de 80 % depuis juin 2026. Les conseils publics de Ledger ne couvraient que les 90 derniers jours. La société recommande aux acheteurs de CryptoBilis qui n'ont pas terminé la configuration de ne pas activer leur appareil. Ceux qui ont déjà configuré un appareil doivent générer une nouvelle phrase de récupération sur un nouvel appareil de confiance et transférer leurs actifs.
L'incident confirme une tendance 2026 : les compromissions de clés privées, qu'elles soient obtenues par phishing, vol physique ou implant matériel, dépassent désormais les exploits de code dans les protocoles DeFi. Le hardware wallet était présenté comme la solution ultime pour la garde autonome. Cette attaque montre qu'un dispositif physiquement compromis avant la livraison échappe au contrôle de l'utilisateur.