On achète un portefeuille matériel, ce boîtier qui garde hors ligne les clés de ses cryptoactifs, pour ne plus les confier à personne. Samedi 10 octobre, Ledger a pourtant confirmé que l’appareil d’un client victime de vols contenait une pièce qu’il n’avait pas autorisée. Sa consigne ne parle ni de mise à jour ni de mot de passe. Elle parle de l’endroit où l’appareil a été acheté.

L’essentiel

• Le 9 octobre 2026, Ledger a ouvert une enquête sur des pertes de fonds chez des acheteurs passés par CryptoBilis, l’un de ses revendeurs agréés en Asie du Sud-Est. Il lui a demandé de suspendre ses ventes. Le revendeur a depuis cessé de vendre tout son stock de portefeuilles matériels.
• Le 10 octobre, Ledger a confirmé qu’un implant matériel non autorisé se trouvait dans l’appareil d’un utilisateur touché. Il écrit n’avoir aucune indication que ses propres systèmes aient été compromis. Ses messages ne donnent ni la cause des vols ni le nombre d’appareils modifiés.
• Les pertes dépassent 86 millions de dollars sur Bitcoin, Ethereum et Tron selon l’enquêteur Specter, un chiffre que Ledger n’a pas repris.
• Aux acheteurs de ce revendeur, le fabricant recommande de ne pas mettre l’appareil en service. S’il l’est déjà, il invite à envisager le transfert des fonds vers un nouvel appareil, doté d’une nouvelle phrase de récupération : les deux à la fois.

Ce fil continue chaque dimanche à 9 h dans La Lettre : une lecture par semaine pour garder la main sur votre capital.

Que s’est-il passé chez CryptoBilis ?

Tout part de comptes qui se vident, le vendredi 9 octobre. Le fabricant ne s’est pas encore exprimé. Deux enquêteurs qui suivent l’argent volé sur les chaînes publiques remontent déjà ses adresses d’arrivée. Le premier, tanuki42, demande aux victimes de contacter SEAL 911, un groupe d’intervention en sécurité. Le second, Specter, chiffre les pertes à plus de 86 millions de dollars, sur plusieurs chaînes. Ce chiffre est le sien, pas celui de Ledger.

Un peu plus d’une heure après, le support de Ledger publie son premier message. Le fabricant, une société parisienne, enquête sur des pertes chez des clients d’Asie du Sud-Est. Ils ont acheté chez le même revendeur, CryptoBilis, à qui Ledger demande de suspendre ventes et expéditions. CryptoBilis figure sur la liste de ses revendeurs agréés, ceux que le fabricant autorise à vendre ses appareils. Il y est inscrit pour l’Indonésie et la Malaisie, avec la mention « ventes temporairement suspendues ». Vingt minutes plus tard, Mark Karpelès, l’ancien patron de la plateforme Mt. Gox, écrit que l’affaire pourrait être celle sur laquelle il enquête. Il demande aux victimes de photographier l’intérieur de leur appareil.

Le lendemain soir, Ledger confirme que l’appareil d’un utilisateur touché contenait un implant matériel non autorisé. CryptoBilis, annonce-t-il, a cessé de vendre ses portefeuilles matériels jusqu’à la fin de l’enquête.

Ledger a-t-il dit que ses appareils étaient piégés ?

Non, et deux contresens circulent en même temps. Le premier veut que tous les Ledger soient compromis. Le fabricant ne l’écrit pas. Or sa déclaration la plus large porte sur lui-même : il n’a « aucune indication » que son infrastructure, ses systèmes ou ses services aient été compromis. Sur les appareils, en revanche, il n’en mentionne qu’un. Sa consigne ne vise que les acheteurs de ce revendeur.

Le second contresens est plus discret : un implant trouvé expliquerait tous les vols. Ledger a constaté un implant, dans un appareil. Il ne dit ni combien d’autres en portent, ni comment celui-là opère, ni s’il rend compte de l’ensemble des pertes. Je n’ai trouvé, au 12 octobre, aucun message du fabricant qui l’affirme. Le même week-end, un utilisateur a publié les photos d’un appareil acheté en magasin, chez un revendeur officiel en Europe. Il y voit des câbles absents d’un boîtier authentique, et précise qu’aucun fonds n’en est sorti. Aucun des deux messages de Ledger ne l’évoque.

Pourquoi changer d’appareil, et pas seulement de phrase ?

Un portefeuille matériel ne contient pas vos bitcoins. Ils sont inscrits sur la chaîne, à des adresses que commandent des clés privées. Le boîtier garde ces clés. Tout se joue le jour où son propriétaire le met en service pour la première fois : on dit qu’il l’initialise. Sous ses yeux, l’appareil tire au sort, hors ligne, un nombre immense. Puis il l’affiche sur son propre écran, traduit en 24 mots. C’est la phrase de récupération, dont découlent toutes les clés du portefeuille. Quiconque connaît ces mots reconstitue les clés et commande les fonds, même sans l’appareil d’origine, écrit Ledger.

Imaginez une serrure neuve dont quelqu’un, entre l’usine et votre porte, aurait gardé un double. Elle ferme parfaitement. Et elle garde votre argent pour deux. C’est ce risque que la consigne vise, quelle que soit la cause que l’enquête retiendra.

La consigne en découle. Changer de phrase sur le même boîtier, c’est faire refaire la serrure par celui qui gardait le double. Si l’appareil est en cause, il assiste au nouveau tirage. Elle réunit donc deux gestes, un nouvel appareil et une nouvelle phrase née dessus, avant le transfert des fonds. Et pour qui n’a pas encore ouvert sa boîte, un seul : ne pas la mettre en service.

La même règle est venue cet été d’un autre maillon. Lors de la faille des portefeuilles Coldcard, personne n’avait touché aux appareils. Leur tirage au sort était trop pauvre. Leur fabricant écrivait qu’une mise à jour ne répare pas une clé déjà créée : il fallait la remplacer et déplacer les fonds. Une clé dont on ne connaît pas la naissance ne se répare pas : elle se remplace.

Où commence la garde de ses clés ?

Garder ses clés soi-même retire la plateforme du jeu. Plus personne ne peut geler votre compte ni faire faillite avec vos fonds. L’intermédiaire ne disparaît pas. Il change de place. Le revendeur ne détient aucune clé. Il a seulement eu en main, avant vous, l’objet qui allait la fabriquer.

Si vous détenez vos clés sur un portefeuille matériel, la question utile change de forme. Elle n’est plus seulement « mon appareil est-il sûr ? ». Elle devient « qui l’a tenu avant que ma phrase ne naisse ? ». Ici, les acheteurs connaissaient leur revendeur, inscrit sur la liste du fabricant. Un agrément dit qui a le droit de vendre, pas ce que contient chaque boîte. La provenance sert à désigner les acheteurs concernés, pas à les mettre à l’abri.

On dit de Bitcoin qu’il fonctionne sans tiers de confiance. C’est vrai sur la chaîne. Avant elle, il y a une usine, un entrepôt, un revendeur, un colis. L’acheteur n’a de regard sur aucune de ces étapes. Il ne tient qu’un geste, au bout du chemin : n’accepter que des mots apparus sous ses yeux. Car un appareil livré avec une phrase déjà écrite peut avoir été trafiqué, selon Ledger. C’est une condition, pas une garantie. Le fabricant dit travailler à de nouvelles protections contre les appareils trafiqués. Protéger un patrimoine en autoconservation tient alors en une image. Une serrure livrée avec sa clé déjà taillée ne se pose pas.

Les évolutions monétaires, les marchés, et la psychologie qui permet de les traverser : c’est ce que propose la newsletter hebdomadaire Monnaies & Libertés. Elle s’adresse à celles et ceux qui veulent garder la main.

Laurent Blasco
Comprendre. Trancher. Opérer.

FAQ

Que recommande Ledger aux acheteurs d’un appareil vendu par CryptoBilis ?
Ledger recommande aux acheteurs de ce revendeur d’Asie du Sud-Est de ne pas mettre leur appareil en service s’ils ne l’ont pas encore fait. Aux autres, il conseille d’envisager le transfert de leurs fonds vers un nouvel appareil Ledger, doté d’une nouvelle phrase de récupération. Le fabricant rappelle qu’il ne demande jamais les 24 mots de cette phrase. Il invite à passer par ses canaux officiels pour toute question.

Tous les portefeuilles Ledger sont-ils compromis après l’affaire CryptoBilis ?
Ledger ne l’a pas écrit. Le 10 octobre 2026, il a confirmé qu’un implant matériel non autorisé se trouvait dans l’appareil d’un utilisateur touché, acheté chez ce revendeur. Il écrit n’avoir aucune indication que son infrastructure, ses systèmes ou ses services aient été compromis. Cette déclaration ne porte pas sur les appareils distribués. Sa consigne ne vise que les acheteurs de ce revendeur. Ses deux messages ne donnent ni la cause des pertes, ni le nombre d’appareils modifiés. Un cas signalé en Europe par un utilisateur le 11 octobre n’y est pas évoqué.