Ledger a confirmé que l’un des appareils de portefeuille vendus par le distributeur malaisien CryptoBilis contenait un implant matériel non autorisé, après que des utilisateurs ont signalé avoir perdu des actifs crypto sur des appareils achetés auprès de ce distributeur opérant en Asie du Sud-Est.
Ledger a commencé son enquête le 9 octobre 2026 et a demandé à CryptoBilis de suspendre la vente et l’expédition de ses appareils. Le lendemain, l’entreprise a reconnu l’existence d’une altération matérielle sur au moins un appareil, puis a déclaré dans une mise à jour ultérieure que tous les signalements de retraits inattendus qu’elle avait examinés étaient liés à des appareils vendus par CryptoBilis, qualifiant le nombre de cas de « limité ». L’entreprise n’a toujours pas précisé quand ni où les appareils avaient été modifiés.
Comment l’implant fonctionnait-il ?
Des rapports de chercheurs indiquent que les appareils concernés, attribués au modèle Ledger X, contenaient un circuit malveillant dissimulé à l’intérieur du boîtier. Selon l’analyse de Mark Karpelès et de Tibane Labs, l’implant était conçu pour capturer les affichages à l’écran et les pressions sur les boutons afin d’identifier la phrase de récupération, puis pour l’envoyer à l’attaquant via une connexion LTE au moyen d’une carte eSIM.
Les chercheurs de Tibane Labs ont identifié deux versions de l’implant. Dans l’un des échantillons, la batterie d’origine avait été remplacée par une batterie plus petite afin de libérer de l’espace pour un circuit comprenant un microcontrôleur ST STM32G431KBU6, un module LTE et une carte eSIM d’environ 2×2 millimètres. La deuxième version exploitait l’espace situé sous l’écran OLED et fonctionnait avec la batterie d’origine. Dans les deux échantillons, des fils d’antenne longeant la partie supérieure de l’appareil constituaient un indice matériel de la modification, tandis que les références de certains composants avaient été grattées sur l’un des échantillons afin d’en dissimuler l’identité.
Pourquoi cette information est-elle importante ?
Cette affaire révèle les limites d’une confiance fondée uniquement sur l’intégrité des composants de sécurité internes. L’implant n’a pas nécessairement besoin de compromettre directement le Secure Element : il peut surveiller ce qui s’affiche à l’utilisateur et ce qu’il saisit à l’aide des boutons, puis transmettre les données par un canal de communication indépendant. Ledger affirme que le mécanisme Genuine Check peut vérifier l’authenticité de l’appareil, mais qu’il ne détecte pas les ajouts matériels lorsque le Secure Element d’origine reste intact.
En pratique, Ledger a recommandé aux personnes ayant acheté un appareil auprès de CryptoBilis et n’ayant pas encore commencé sa configuration de ne pas l’allumer. Celles qui ont terminé la configuration devraient envisager de transférer leurs actifs vers un nouvel appareil de signature en utilisant une nouvelle phrase de récupération. Cette recommandation ne concerne pas seulement les appareils suspects : elle suppose également que la phrase de récupération a peut-être été compromise.
Quels éléments restent à établir ?
Ledger n’a pas officiellement révélé les modèles des appareils concernés et n’a pas non plus identifié l’entité ayant effectué la modification ni le point d’introduction de celle-ci dans la chaîne d’approvisionnement. Les échantillons analysés par les chercheurs indiquent qu’il s’agissait d’appareils achetés auprès de vendeurs liés à la Chine et expédiés depuis la Malaisie, mais cela ne suffit pas à établir la responsabilité d’un vendeur particulier. Selon les informations disponibles, rien n’indique l’implication d’autres distributeurs.
Ledger recommande d’acheter auprès de canaux agréés et demande à ses distributeurs de ne pas remettre en stock les produits retournés. Cette affaire montre que l’intégrité de la chaîne d’approvisionnement reste un élément essentiel de la sécurité des portefeuilles matériels, même lorsque les mécanismes de vérification logicielle et l’appareil d’origine semblent intacts.