Ledger, implant eSIM et vol de cryptos : que sait-on ?

Que s’est-il passé dans l’affaire Ledger et eSIM ?

Des chercheurs en sécurité ont documenté des Ledger Nano X modifiés par l’ajout de composants. L’implant est dissimulé à l’intérieur d’un portefeuille par ailleurs authentique. Pendant la configuration, il intercepte les données envoyées par l’élément sécurisé vers l’écran OLED lorsque l’appareil affiche sa phrase de récupération de 24 mots.

La carte cachée peut reconstituer ces mots à partir des données de l’écran, les stocker, puis les transmettre à un attaquant par le réseau mobile. Les versions les plus récentes comporteraient un modem, une antenne et une SIM intégrée. Dans ce montage, l’eSIM sert donc de canal de communication à l’implant. Il ne s’agit pas d’une fonctionnalité officielle de Ledger.

Le 9 octobre 2026, Ledger a annoncé enquêter sur des signalements de fonds volés liés à des appareils vendus par CryptoBilis, un revendeur agréé présent dans certaines régions d’Asie du Sud-Est. L’entreprise a demandé à ce revendeur d’interrompre ses ventes et ses expéditions. À cette date, Ledger indiquait n’avoir reçu aucun signalement comparable pour des appareils achetés directement auprès d’elle.

Comment un portefeuille authentique peut-il être compromis ?

Un portefeuille matériel conserve normalement ses clés privées dans un élément sécurisé renforcé. Cette puce peut générer les clés et signer des transactions sans divulguer le secret. Cependant, lors de la première configuration, l’appareil doit afficher une fois les mots de récupération. Il transmet alors des données visuelles à son écran.

L’implant signalé cible ce trajet au lieu de casser l’élément sécurisé. Les chercheurs de Tibane Labs décrivent plusieurs générations du dispositif. Les premiers exemplaires utilisaient des fils visibles et une batterie de remplacement plus petite. Les versions récentes reposent sur des circuits imprimés flexibles sur mesure, des revêtements assortis à l’appareil, des marquages de composants effacés et des éléments cellulaires cachés sous l’écran.

Cette attaque est particulièrement dangereuse, car plusieurs contrôles habituels peuvent rester rassurants :

• L’élément sécurisé peut être authentique : l’attestation logicielle est alors susceptible de réussir.
• Le portefeuille peut s’initialiser, se recharger, se connecter et signer des transactions normalement.
• L’emballage et le boîtier extérieur peuvent ne présenter aucune trace évidente d’altération.
• L’implant dispose de sa propre connexion mobile : il n’a besoin ni du téléphone ni du Wi-Fi de la victime.

Le rôle réel de l’eSIM dans cette attaque

L’expression « vol de cryptos par eSIM » peut prêter à confusion. Dans cette affaire, la SIM intégrée semble être un composant d’un matériel de surveillance ajouté sans autorisation. Elle permettrait à l’implant d’envoyer discrètement les données capturées par les réseaux LTE, LTE-M ou NB-IoT.

Ce procédé n’est pas une attaque par SIM swap. Lors d’un échange frauduleux de SIM, le criminel prend le contrôle du numéro de téléphone de la victime afin d’intercepter ses appels ou ses codes reçus par SMS. Ici, l’eSIM cachée ne remplace pas la ligne mobile du propriétaire. Elle appartient à l’implant et fonctionne de manière autonome.

Le scénario diffère également des risques liés à une application d’eSIM de voyage, à un profil ou à un service proxy peu fiable. Pour cette autre menace, consultez notre guide sur les risques des eSIM gratuites, des proxys et du vol de codes.

Qui doit agir immédiatement ?

L’avertissement officiel le plus précis concernait les clients récents de CryptoBilis. Les personnes ayant acheté un appareil Ledger auprès de ce revendeur pendant la période indiquée de 90 jours ont reçu la consigne de ne pas le configurer. Celles qui l’avaient déjà initialisé ont été invitées à transférer leurs actifs vers un nouvel appareil, avec une nouvelle phrase de récupération.

La prudence s’impose aussi si le portefeuille vient d’un vendeur de marketplace, d’un importateur inconnu, d’un revendeur dont l’origine est floue ou du marché de l’occasion. Les chercheurs ont obtenu au Japon des spécimens récents comportant un implant par des circuits tiers, notamment via une annonce publiée sur une grande marketplace. Ils n’ont toutefois pas établi que ces exemplaires provenaient de CryptoBilis.

Que faire si votre Ledger peut être concerné ?

Si votre canal d’achat correspond à l’avertissement, ou si vous avez une raison concrète de soupçonner une modification, considérez comme potentiellement exposée toute phrase de récupération affichée par cet appareil. Réinitialiser le même portefeuille et réutiliser les mêmes mots ne résout pas le problème.

1. Cessez d’utiliser l’appareil suspect. Ne l’initialisez pas, n’y restaurez aucune phrase et ne validez plus de transaction.
2. Procurez-vous un appareil de remplacement fiable. Achetez-le directement auprès du fabricant ou suivez les instructions officielles de Ledger.
3. Générez une toute nouvelle phrase de récupération sur un matériel de confiance. N’importez jamais l’ancienne phrase.
4. Transférez les actifs avec prudence. Commencez par un petit envoi test, vérifiez l’adresse sur l’appareil fiable, puis déplacez le solde restant.
5. Conservez les preuves. Gardez le portefeuille, sa boîte, la facture, les coordonnées du vendeur, le numéro de série et les documents d’expédition.
6. Contactez l’assistance Ledger depuis le site officiel. N’utilisez pas un lien d’assistance reçu dans un message non sollicité.
7. Signalez tout vol. Prévenez rapidement la plateforme d’échange concernée, le service compétent en matière de cybercriminalité et un enquêteur blockchain qualifié.

Peut-on détecter l’implant chez soi ?

Pas de manière fiable. Les premières versions modifiaient la batterie et utilisaient des fils soudés à la main, faciles à repérer après ouverture. Le spécimen le plus récent documenté aurait conservé la batterie d’origine et dissimulé sous l’écran un circuit flexible recouvert de noir. Après ouverture du boîtier, un mince fil d’antenne figurait parmi les rares indices visibles.

Ouvrir soi-même un portefeuille peut l’endommager, détruire des preuves, présenter un risque lié à la batterie et compliquer une demande auprès de l’assistance ou au titre de la garantie. Un extérieur normal, un emballage correct et la réussite du contrôle d’authenticité ne suffisent pas à exclure l’ajout de matériel si l’élément sécurisé d’origine est toujours présent.

Cette affaire rend-elle les eSIM de voyage dangereuses ?

Non. Une eSIM de voyage destinée au grand public est un forfait mobile numérique installé sur un téléphone compatible. Dans le cas décrit ici, le composant malveillant est une SIM intégrée et soudée à un matériel ajouté sans autorisation. Les deux technologies utilisent des standards de connectivité proches, mais leurs fonctions et leurs risques sont différents.

Pour disposer de données mobiles à l’étranger, choisissez un fournisseur connu, installez le profil à partir de ses instructions officielles, protégez votre compte avec une authentification robuste et fuyez tout service qui demande les mots de récupération d’un portefeuille crypto. Aucun fournisseur de connectivité de voyage n’a besoin de votre seed phrase.

Notre sélection actuelle permet de comparer des fournisseurs d’eSIM de voyage établis. Elle ne remplace évidemment pas les contrôles de sécurité propres à un portefeuille matériel.

Ce que cette attaque change pour la sécurité

La leçon centrale est simple : une puce authentique ne garantit pas toujours un appareil intact. Les éléments sécurisés restent précieux, mais ils fonctionnent au sein d’un ensemble physique plus large : écran, alimentation, boutons, bus de communication et chaîne d’approvisionnement.

Privilégiez un achat direct auprès du fabricant. Générez la seed uniquement sur un matériel digne de confiance. Conservez la phrase de récupération hors ligne et vérifiez les informations de chaque transaction sur l’écran de l’appareil. Pour des montants importants, il peut être pertinent de répartir le risque entre des portefeuilles achetés par des circuits indépendants ou d’utiliser une configuration multisignature soigneusement conçue.

Enfin, il faut rester précis sur les inconnues. Les chercheurs ont démontré le fonctionnement d’implants cellulaires et documenté des conceptions de plus en plus professionnelles. Ledger a reconnu des signalements de vols liés à un revendeur. En revanche, les éléments publics ne permettent pas encore d’établir toute la chaîne de distribution, le nombre total de portefeuilles touchés ni un montant définitif et confirmé des pertes.

FAQ

Ledger a-t-il ajouté une eSIM au Nano X ?

Non. L’eSIM signalée fait partie d’un implant matériel non autorisé ajouté à de véritables Nano X. Ce n’est pas une fonction standard du portefeuille.

L’implant peut-il réussir le contrôle d’authenticité de Ledger ?

Selon les chercheurs, oui, car l’élément sécurisé reste authentique. L’implant surveille la liaison de l’écran au lieu de remplacer la puce sécurisée.

L’implant peut-il voler la phrase de récupération sans accès à Internet ?

Il comprendrait son propre modem cellulaire, une antenne et une SIM intégrée. Il peut donc transmettre les mots capturés sans utiliser le téléphone, le Wi-Fi ou la connexion de l’ordinateur du propriétaire.

Tous les propriétaires de Ledger doivent-ils transférer leurs cryptos immédiatement ?

Non. Aucun avertissement général ne vise l’ensemble des appareils. Une action immédiate concerne surtout les clients visés par l’alerte relative au revendeur et les personnes ayant une raison crédible de suspecter un canal d’achat peu sûr ou une modification physique.

Réinitialiser le portefeuille suspect suffit-il ?

Non. Si l’ancienne phrase a pu être capturée, réinitialiser le même appareil ne rend pas ces mots secrets à nouveau. Il faut générer une nouvelle phrase sur un matériel fiable, puis transférer les actifs vers les adresses qui en découlent.