Ledger piégés : un escroc perd 60 bitcoins
Arroseur arrosé. Depuis le 9 octobre, des centaines de détenteurs de Ledger piégés ont vu leurs cryptos disparaître. Leurs appareils, achetés en Asie du Sud-Est, avaient été ouverts et truqués avant la vente. Parmi les victimes figure pourtant un escroc. Il venait de parquer le butin d’une arnaque aux « tâches rémunérées » sur trois adresses fraîchement créées. Résultat : les voleurs lui ont pris plus de 60 bitcoins, environ 4,8 millions de dollars. La même rafale a aussi vidé des centaines de wallets liés au revendeur malaisien CryptoBilis.
Chainalysis a publié ce détail jeudi en fin d’après-midi sur X. Quelques heures plus tôt, Ledger avait livré sa première réponse écrite à l’attaque. Le fabricant a aussi ordonné à ses revendeurs de retirer ses appareils des rayons.
- Un escroc a été victime d’une arnaque aux wallets Ledger piégés, perdant plus de 60 bitcoins dans une opération sophistiquée de blanchiment.
- Ledger a retiré ses produits des rayons en Asie du Sud-Est, révélant un gang criminel très organisé ayant modifié des appareils authentiques pour voler des fonds.
Ledger piégés : rappel des faits pour qui a raté le début
Le vendredi 9 octobre au matin, un même acteur a vidé des wallets sur six blockchains en moins d’une heure. Point commun des victimes : un Ledger acheté chez CryptoBilis, revendeur agréé en Indonésie, en Malaisie et aux Philippines. Dès le lendemain, Ledger confirmait avoir trouvé un implant matériel dans l’appareil d’une victime.
Le composant est greffé dans le boîtier. Il lit l’écran au moment où le wallet affiche les 24 mots de la phrase de récupération, puis il les transmet par le réseau mobile grâce à une carte SIM intégrée. Avec ces 24 mots, le voleur n’a donc plus besoin du Ledger. Il reconstruit le wallet ailleurs et attend que son propriétaire y dépose ses économies.
Chainalysis et Bitquery retracent le butin des Ledger piégés
Le schéma de cette arnaque aux tâches rémunérées est connu des polices du monde entier. D’abord, l’escroc recrute des petites mains. L’escroc les paie pour simuler des achats et poster de faux avis sur des produits bien réels. Les premiers gains tombent, la confiance s’installe. Puis un « solde négatif » apparaît sur leur compte. Pour débloquer leurs revenus, les recrues doivent d’abord remettre au pot, de leur poche. Vous avez compris la suite.
Le 22 septembre, l’organisateur de cette arnaque a transféré ses gains vers trois adresses Ledger distinctes, pour mettre son butin hors de portée. Dix-sept jours plus tard, le 9 octobre, les voleurs ont vidé les trois en une transaction chacune. Tout a atterri sur un même wallet, déjà signalé comme réceptacle de fonds volés. « L’une des plus grosses victimes du vol Ledger était elle-même un escroc », résume Chainalysis sur X. Le délai parle de lui-même. L’implant a capté les 24 mots dès la configuration de l’appareil, puis le voleur a attendu le jour J pour tout rafler d’un coup.
Bitquery remonte la piste du voleur des Ledger piégés
Le cabinet d’analyse ne s’est pas réveillé jeudi. Dès le 9 octobre, Chainalysis annonçait enquêter sur « une opération sophistiquée de blanchiment inter-chaînes ». Le cas de l’escroc en est la première pièce rendue publique. Mais c’est une autre société d’analyse on-chain, Bitquery, qui a livré l’autopsie la plus complète du casse. Ses analystes sont partis des dix adresses publiées le 9 octobre par les chercheurs tanuki42 et Specter. Ensuite, ils ont suivi chaque wallet vidé sur six blockchains, avec un second décompte indépendant pour vérifier les chiffres.
Sur Bitcoin, les 60 BTC de l’escroc rejoignent ainsi les 203,8 bitcoins raflés le même matin sur 122 wallets, pour l’essentiel dans un seul bloc à 5h54 UTC. Soit, pour un seul homme, près de 30 % du bitcoin volé ce jour-là.
Le rapport de Bitquery règle aussi une question : il n’y avait qu’un seul voleur, qui détenait déjà toutes les clés. Sur Tron, 25 wallets ont signé la même autorisation pour la même adresse en trois secondes. Huit minutes plus tôt, 30 autres avaient vu leur contrôle basculer vers une clé inconnue. Des humains ne font pas ça. En revanche, un logiciel qui possède toutes les phrases de récupération, oui. Le voleur s’était d’ailleurs entraîné pendant deux semaines, à coups de petits transferts tests, avant de frapper.
Autre enseignement : six wallets victimes sur dix avaient reçu leurs premiers fonds dans la fenêtre de 90 jours évoquée par Ledger. Mais plus de huit sur dix l’avaient fait depuis juin seulement. Le risque remonte donc sans doute un peu plus loin que la consigne officielle.
Le butin des Ledger piégés passe par Tornado Cash et Zcash
Le « blanchiment inter-chaînes » évoqué par Chainalysis se lit ensuite en clair dans les données de Bitquery. En quelques heures, le voleur a dispersé les quelque 79 millions de dollars d’USDT volés sur Tron. D’abord, il a fait passer 20 millions sur Ethereum via le pont USDT0, puis les a convertis en ether. Ensuite, il a échangé 23,7 millions contre de l’USDD, un stablecoin que Tether ne peut pas geler. Enfin, il a éclaté le reste entre des services d’échange instantané comme Relay, Chainflip ou THORChain.
Puis vient le lavage. Du 9 au 13 octobre, environ 7 260 ETH sont entrés dans le mixeur Tornado Cash. Une bonne partie de ce qui en est ressorti a ensuite transité par Zcash, avant de revenir en USDC ou en ETH sur des adresses neuves. Au 15 octobre, Bitquery parvenait pourtant encore à localiser 84 millions de dollars sur la chaîne. Les 203,8 BTC, eux, n’ont pas bougé d’un satoshi depuis le 9 octobre.
Ce cas isolé pèse peu dans le bilan global des Ledger piégés. Bitquery recense désormais 102 millions de dollars siphonnés sur 324 wallets et six blockchains. Ce chiffre, vérifié au 15 octobre, n’a été ni confirmé ni contesté par Ledger. Tether a par ailleurs gelé 10 millions d’USDT liés à l’enquête. Mais l’escroc colle au profil des autres victimes : des détenteurs de sommes importantes en Asie du Sud-Est, qui avaient justement acheté un wallet matériel pour mettre leur magot à l’abri.
Ledger retire ses wallets des rayons et décrit un gang qui a dépensé des millions
La version de Ledger est arrivée le 15 octobre, quelques heures avant la keynote Op3n où le fabricant a dévoilé son Ledger Atom. Le texte parle d’un « groupe criminel très organisé ». Pendant de longs mois, ce groupe a acheté des appareils authentiques et les a ouverts pour y greffer des composants sur mesure. Leur rôle : capturer la phrase de récupération à la configuration. Puis il a réinjecté ces appareils dans le circuit via des revendeurs d’Asie du Sud-Est. Le gang avait monté « ses propres serveurs collecteurs de seeds, ses infrastructures de vidage et de blanchiment ». Et il a « dépensé des millions » avant de frapper en une seule opération coordonnée.
Ledger insiste sur ce qui n’a pas cédé. La puce, le système d’exploitation et les serveurs sont restés intacts. « Ce n’était pas une attaque systémique sur la chaîne d’approvisionnement, c’était une attaque localisée sur la distribution », écrit l’entreprise dans son billet. Son laboratoire surnommé le Donjon a démonté l’implant. Des équipes ont ensuite acheté et ouvert des appareils en magasin, en Allemagne entre autres, puis inspecté des échantillons en entrepôt. Tout était propre.
Nouvelles règles pour les revendeurs Ledger
Les conséquences pratiques de l’affaire des Ledger piégés tombent tout de suite. Ledger suspend les ventes chez ses revendeurs agréés d’Asie du Sud-Est et de Hong Kong. Interdiction de revendre un appareil retourné, même scellé. Et à partir de maintenant, plus aucun produit Ledger ne doit traîner en rayon ou en vitrine. Le stock reste en réserve et le vendeur ne le remet au client qu’au moment de l’achat. Ledger demande aussi à ses revendeurs de signaler sans délai tout produit jugé inhabituel par un acheteur. Enfin, le fabricant invite « toute l’industrie à faire de même ». Trezor et OneKey avaient d’ailleurs annoncé une réduction de leur réseau de revendeurs la semaine passée.
Ledger promet aussi des contre-mesures « au niveau du produit ». Le Ledger Atom présenté le même jour à 849 euros détecte déjà l’ouverture de son boîtier et le retrait de son écran. Mais il ne sortira qu’à l’été 2027. Aucun Nano X, Flex ou Stax en circulation n’en bénéficiera. Pour ceux-là, la consigne reste donc la même depuis dix jours : ne pas configurer un appareil acheté chez CryptoBilis au cours des 90 derniers jours sans l’avoir fait vérifier.
Magali
Tombée dans le terrier du lapin blanc en 2017, je suis passée de lectrice assidue à Rédactrice en chef du Journal du Coin. J’aime m'investir dans les coulisses de projets pour porter ma vision d'un futur décentralisé. Amoureuse des belles lettres, je coordonne nos équipes pour transformer la complexité technique en une information humaine, précise et sans jargon inutile. Entre entrepreneuriat et rédaction, ma mission est claire : vulgariser demain, mais le faire aujourd'hui.