Dans cet article · 6 sections
Achetez un Ledger sur la boutique officielle de Ledger, en tapant l'adresse vous-même, et faites les vérifications ci-dessous dès réception. Ce conseil a toujours figuré dans le manuel ; en octobre 2026, il a cessé d'être théorique. Des appareils vendus par CryptoBilis, revendeur agréé de Ledger en Asie du Sud-Est, contenaient un petit implant qui lisait les 24 mots de récupération à l'écran pendant l'installation et les envoyait à un attaquant par réseau mobile. Ledger indique que ses propres systèmes et ses ventes directes n'ont pas été touchés.
La réponse courte
L'attaque n'a cassé ni la puce sécurisée de Ledger ni son logiciel. Elle a ajouté du matériel à l'intérieur du boîtier, entre l'usine et l'acheteur, et observait l'écran pendant que le propriétaire notait sa phrase. La parade porte donc sur la provenance de l'appareil, pas sur un réglage.
Trois règles couvrent presque tous les cas : achetez sur la boutique du fabricant ; refusez tout appareil livré avec une phrase de récupération ou un code PIN déjà définis ; en cas de doute sur l'historique d'un appareil, créez une nouvelle phrase sur un appareil de confiance et transférez-y tout.
L'affaire CryptoBilis, jour par jour
Les montants de pertes sont des estimations de tiers à partir de la blockchain ; Ledger n'a pas confirmé de total.
| Date | Ce qui a été rapporté | Source |
|---|---|---|
| 9 oct. | Ledger enquête sur des pertes chez des clients d'Asie du Sud-Est ayant acheté chez CryptoBilis, suspend les ventes du revendeur et demande aux acheteurs des 90 derniers jours de ne pas initialiser leur appareil | The Block ; Finance Magnates |
| 10 oct. | Ledger confirme qu'un appareil d'un utilisateur touché contenait un implant matériel non autorisé | Crypto Briefing |
| 11-12 oct. | Les estimations atteignent jusqu'à 93,2 millions de dollars sur 311 à 315 portefeuilles ; Tether gèle environ 10 millions liés aux vols | Crypto Briefing ; CoinDesk |
| 13 oct. | Ledger détaille l'implant : il lisait les 24 mots à l'écran et les transmettait en 4G via une eSIM, sans modifier la puce sécurisée ni le système | CoinDesk |
Sources : The Block, 9 oct. 2026 · Crypto Briefing, 11 oct. 2026 · CoinDesk, 13 oct. 2026
Pourquoi le contrôle d'authenticité ne pouvait pas le voir
Le « Genuine Check » de Ledger est un test cryptographique : il prouve que la puce sécurisée vient de l'usine Ledger et que le micrologiciel est authentique. Il reste utile à chaque installation. Mais il ne peut pas voir un composant soudé à côté de cette puce. L'implant laissait puce et micrologiciel intacts et lisait seulement l'écran : un appareil pouvait réussir le test et laisser fuir sa phrase. Le guide d'achat de Ledger le dit lui-même : le canal d'achat compte.
Sources : Ledger Academy : bonnes pratiques pour acheter un Ledger
Recevez la checklist sécurité des plateformes
Et une alerte quand une grande plateforme change de statut (agrément MiCA, preuve de réserves, incident de sécurité). Pas de spam, désinscription en un clic.
Nous conservons uniquement votre e-mail pour vous envoyer la checklist et les alertes. Voir notre politique de confidentialité (en anglais).
Où acheter, du plus sûr au plus risqué
CryptoBilis était un revendeur agréé : « agréé » n'est donc pas une garantie. Moins il y a d'intermédiaires entre l'usine et vous, moins il y a d'occasions de manipulation.
| Canal | Risque | À vérifier |
|---|---|---|
| Boutique officielle Ledger (adresse tapée vous-même) | Le plus faible | L'adresse dans la barre et un colis intact |
| Boutique officielle Ledger sur une place de marché | Faible | « Vendu par » doit indiquer Ledger |
| Revendeur figurant sur la liste officielle de Ledger | Modéré | Que le magasin figure sur la liste pour la France |
| Vendeur tiers sur une place de marché | Élevé | À éviter |
| Occasion, enchères, « boîte ouverte » | À proscrire | Aucun contrôle à domicile n'exclut une manipulation |
Sources : Ledger : liste officielle des revendeurs
Les 6 vérifications à la réception
Aucune de ces vérifications ne détecte un implant, mais ensemble elles arrêtent les arnaques bien plus courantes : phrases pré-remplies, fausses applications, appareils échangés.
- L'emballage est intact ; s'il semble ouvert ou recollé, n'utilisez pas l'appareil et contactez le support Ledger
- Aucune phrase de récupération n'est fournie et aucun code PIN n'est déjà défini
- Vous notez les 24 mots uniquement sur papier, jamais dans un téléphone, un ordinateur, une application ou un site
- L'application Ledger Wallet vient de ledger.com ou d'un magasin d'applications officiel
- Le contrôle d'authenticité réussit dans Ledger Wallet
- Vous ignorez tout « appareil de remplacement » non commandé : Ledger n'en envoie pas spontanément
Un portefeuille matériel vaut-il encore le coup ?
Oui, en connaissance de cause. Cette attaque exigeait un accès physique aux appareils avant leur vente, dans un seul canal. Les pertes qui ont touché bien plus de monde en 2026 sont venues d'ailleurs, à commencer par les plateformes. La bonne habitude reste la même : savoir où vos clés ont été créées, et être prêt à passer à de nouvelles.
Pour aller plus loin
Achetez à la source
Si vous voulez un Ledger, achetez-le sur la boutique officielle de Ledger et faites les vérifications ci-dessus à réception.
Réponses rapides
Ledger a-t-il été piraté ?
Pas selon Ledger ni selon les éléments publiés à ce jour : l'implant ne modifiait ni la puce sécurisée ni le système, et les ventes directes n'ont pas été touchées. L'attaque reposait sur la modification physique d'appareils vendus par un revendeur, CryptoBilis.
Est-il prudent d'acheter un Ledger sur une place de marché ?
Uniquement auprès de la boutique officielle Ledger ou d'un revendeur figurant sur la liste de Ledger, en vérifiant « Vendu par » avant de payer. La boutique officielle reste l'option que nous recommandons.