Contexte et portée
Selon l’enquête de Tibane Labs, plus de 300 Ledger Nano X ont été trafiqués, entraînant la perte d’environ 93 millions de dollars en cryptomonnaies. Le total des pertes signalées s’élève à près de 100 millions de dollars, ce qui montre l’ampleur du problème. Les victimes ont acheté les appareils auprès du revendeur Cryptobilis, basé en Malaisie, ou via des vendeurs tiers sur des plateformes comme Amazon Japon. Ledger a confirmé à un client que son portefeuille avait été altéré, mais n’a pas détaillé l’étendue du phénomène.
Mécanisme de la manipulation
Les fraudeurs ont ajouté trois composants à l’appareil d’origine. Un chip d’interception capte le flux de données entre le Secure Element et l’écran tactile, permettant de lire chaque caractère du seed phrase affiché. Un module eSIM LTE et une petite antenne sont alimentés par la batterie interne, transmettant les informations recueillies vers un serveur distant. Dans les premières versions, les attaquants ont remplacé la batterie par une plus petite afin de libérer de l’espace pour le câblage. Les générations suivantes montrent une production en série : le boîtier est découpé avec précision, la batterie d’origine reste intacte et la protection en mousse sous l’écran est grattée pour insérer les pièces.
Analyse des risques et réponses
Le fait que le Secure Element ne soit pas compromis rend la détection difficile tant que le boîtier reste fermé. La transmission via LTE élimine la contrainte « hors‑ligne » des portefeuilles matériels, exposant ainsi la clé de récupération à un réseau mobile. Ledger a recommandé aux utilisateurs ayant acheté chez Cryptobilis de migrer leurs fonds vers un autre portefeuille et a interdit à ce revendeur de poursuivre les ventes. Aucun correctif matériel n’est possible sans ouvrir le dispositif, ce qui annule la garantie. Les observateurs de la blockchain soulignent que les fonds volés sont souvent blanchis via des mixers, compliquant le suivi. À ce jour, aucune identification publique du groupe responsable n’a été confirmée, et les autorités n’ont pas publié de poursuites.
