Le 13 octobre 2026, Pascal Gauthier, PDG de Ledger, a annoncé une révision des contrôles de vente directe et des revendeurs, des pratiques de chaîne de possession et de la détection des manipulations. Il a aussi invité des chercheurs et d’autres fournisseurs à collaborer. Cette annonce fait suite à la découverte d’un implant dans un appareil vendu par CryptoBilis, un revendeur d’Asie du Sud-Est. Ledger
Les contrôles que Ledger veut réexaminer
La révision annoncée porte sur les ventes directes et les revendeurs de Ledger, ainsi que sur la chaîne de possession des appareils et la détection des manipulations physiques. L’entreprise a également demandé la collaboration de chercheurs et d’autres fournisseurs. Pascal Gauthier
Ce que Ledger a confirmé sur l’implant
Dans sa mise à jour du 13 octobre, Ledger a confirmé la présence d’un implant non autorisé dans un appareil vendu par CryptoBilis. Selon l’analyse de Ledger Donjon, l’équipe de sécurité de l’entreprise, un composant distinct lisait à l’écran la phrase de récupération de 24 mots pendant la configuration, décodait les mots et les transmettait par LTE au moyen d’une eSIM provisionnée. Ledger
Ledger a indiqué que toutes les pertes qu’elle avait alors reliées à l’incident concernaient des appareils vendus par CryptoBilis. Elle n’avait pas vérifié de pertes liées à un appareil acheté ailleurs. Ledger
L’entreprise a décrit l’implant comme un composant séparé qui n’avait modifié ni le Secure Element — la puce sécurisée — ni le système d’exploitation de l’appareil, et qui n’avait altéré ni les transactions ni les signatures. Ledger
Les consignes de Ledger aux acheteurs de CryptoBilis
Ledger recommande de ne pas initialiser un appareil CryptoBilis encore inutilisé. Si l’appareil a déjà été configuré, l’entreprise demande de transférer rapidement les actifs vers un nouvel appareil de signature doté d’une nouvelle phrase de récupération. Elle recommande aussi de ne saisir ni de restaurer une phrase de récupération sur un appareil CryptoBilis. Ledger
Ledger a indiqué que CryptoBilis avait cessé de vendre ses appareils. Dans le répertoire des revendeurs de Ledger, la fiche CryptoBilis apparaît dans la rubrique Malaisie avec la mention « Sales temporarily paused ».
Pour un appareil suspect, Ledger demande de consulter son service d’assistance ou les autorités locales avant de l’envoyer. Si des fonds ont été perdus, l’entreprise recommande de se coordonner avec les autorités avant d’ouvrir l’appareil. Ledger
