48 heures, 13,84 millions de dollars : « des fonds toujours en mouvement »

L’attaquant derrière ce que l’on appelle le drainer Ledger CryptoBilis ne reste pas inactif. La société d’analyse Arkham Intelligence a chiffré les avoirs dérobés à 95,35 millions de dollars répartis sur 1 486 adresses le 29 octobre 2026, en relevant que 13,84 millions de dollars avaient été déplacés au cours des 48 heures précédentes. Pour qui détient un portefeuille matériel, c’est là la véritable information du jour : l’affaire a trois semaines, mais elle n’est pas close.

Arkham a écrit sur X, cité par crypto.news : « The CryptoBilis Ledger Drainer stole $95M, and is still moving funds. » Autrement dit : le drainer aurait volé 95 millions de dollars et continuerait de déplacer des fonds. Un drainer désigne en langage technique un procédé par lequel un attaquant vide intégralement un portefeuille dès qu’il en détient l’accès.

Arkham dénombre 95,35 millions de dollars sur 1 486 adresses

Le chiffre est une mise à jour, non une découverte. Lorsque nous avions traité l’affaire à la mi-octobre, 86 millions de dollars et la question des appareils trafiqués occupaient le premier plan. Arkham a depuis rattaché d’autres adresses. Les sorties de fonds elles-mêmes se situent entre le 7 et le 9 octobre 2026, selon l’analyse.

Ledger n’a expressément pas confirmé ce total. L’entreprise rappelle que les estimations proviennent de tiers et qu’elle ne les a pas vérifiées. Ce n’est pas une simple formalité, car les chiffres divergent.

Bitquery parvenait à 102 millions de dollars, Arkham à 95,35

La société de données Bitquery avait avancé environ 102 millions de dollars dans une enquête du 16 octobre. Des analyses plus anciennes se situaient entre 86 et 93 millions de dollars. De tels écarts naissent du fait que chaque société d’analyse doit décider elle-même quelle adresse elle attribue à l’attaquant. Compter une adresse reconnue plus tard comme étrangère à l’affaire, et le total gonfle.

Ce qui est solide, ce n’est donc pas le chiffre rond mais la fourchette : entre 86 et 102 millions de dollars, selon l’attribution et la date d’arrêt. La direction, elle, est la même dans toutes les analyses, et elle est orientée à la hausse.

13,84 millions de dollars déplacés en 48 heures

Que des fonds soient encore en mouvement est l’information la plus utile pour les victimes. Des avoirs volés poussés à travers plusieurs adresses et plusieurs blockchains aboutissent le plus souvent chez un service qui les échange contre une autre forme d’argent. C’est précisément là qu’interviennent les enquêteurs et les émetteurs de stablecoins, et c’est là que se décide si quelque chose revient après un vol.

Arkham rattache actuellement 30,44 millions de dollars aux adresses qu’elle a marquées. C’est la part visible et donc, en principe, atteignable. Ce n’est pas un montant auquel les victimes auraient droit, et ce n’est pas davantage l’assurance qu’il sera gelé.

Tether maintient 10 000 010 USDT gelés sur Tron

Une partie de l’argent est effectivement immobilisée. Après l’intervention de l’émetteur de stablecoins Tether le 9 octobre, 10 000 010 USDT se trouvent gelés sur la blockchain Tron. Geler signifie ici que l’émetteur inscrit l’adresse concernée sur une liste de blocage, de sorte que les jetons qui s’y trouvent ne peuvent plus être transférés.

Cela fonctionne pour les stablecoins émis de manière centralisée, parce qu’il existe un émetteur capable d’intervenir. Pour des avoirs sans émetteur, ce levier n’existe pas. Qui veut savoir quelle part d’un vol est récupérable doit donc d’abord se demander dans quelle nature de valeur se trouve le butin.

L’implant lisait la phrase de récupération de 24 mots dès l’installation

La base technique de l’affaire a été exposée par Donjon, la division sécurité de Ledger, et c’est la raison pour laquelle cet incident se distingue d’une attaque de phishing ordinaire. Les appareils concernés contenaient un composant supplémentaire. Il intercepte les 24 mots de la phrase de récupération à l’instant où l’appareil est installé et les transmet vers l’extérieur par le réseau mobile, grâce à une eSIM configurée à cette fin.

La phrase de récupération, aussi appelée phrase de récupération de semence, est la suite de mots à partir de laquelle toutes les clés d’un portefeuille peuvent être recalculées. Qui la détient détient les avoirs, où que se trouve l’appareil. La lire à l’installation équivaut donc à la perte complète du contrôle, et c’est pourquoi il n’a servi à rien aux victimes que leur appareil continue ensuite de fonctionner normalement.

Pourquoi l’attaque n’est devenue visible que des semaines plus tard

Du temps peut s’écouler entre la lecture et le siège des comptes, car l’attaquant décide seul du moment où il frappe. Selon l’analyse, l’essentiel des sorties s’est concentré sur une fenêtre de 51 minutes, le 9 octobre. Jusque-là, les victimes n’avaient rien à voir : aucune mise à jour suspecte, aucun message d’erreur, aucune transaction inhabituelle.

51 minutes le 9 octobre, la fenêtre de l’essentiel des sorties

Cette concentration explique la rapidité avec laquelle le total a atteint trois chiffres. L’attaquant disposait déjà des phrases et n’avait plus qu’à déclencher les transactions. Pour l’enquête, c’est un avantage, car une fenêtre étroite facilite l’attribution des adresses. Pour les victimes, c’était le pire des cas, parce qu’une réaction dans ce délai était pratiquement exclue.

Elément sécurisé et système d’exploitation intacts selon les constats de Ledger

Ledger insiste sur un point qui compte pour tous les autres appareils : l’implant ne modifie ni l’élément sécurisé, la puce protégée dans laquelle résident les clés, ni le système d’exploitation de l’appareil. Il n’intervient pas davantage dans les transactions ni dans les signatures. L’entreprise ajoute que rien n’indique que sa propre infrastructure ou son canal de vente direct ait été compromis.

Deux conclusions en découlent, l’une rassurante, l’autre dérangeante. La rassurante : qui a acheté son appareil directement auprès du fabricant n’est pas touché par cette voie. La dérangeante : la sécurité d’un portefeuille matériel ne tient donc pas à sa seule technique, mais aussi aux mains par lesquelles il est passé avant sa première mise sous tension. Pour choisir un appareil à cette aune, les modèles courants et leurs circuits d’approvisionnement figurent dans notre comparatif des portefeuilles matériels.

Ledger rattache chaque cas confirmé aux appareils d’un seul revendeur

Selon la propre enquête de Ledger, tous les vols confirmés provenaient d’appareils vendus par le revendeur sud-est asiatique CryptoBilis. Le support de Ledger a indiqué le 10 octobre : « Ledger can confirm that one of the impacted users’ devices contained an unauthorized hardware implant. » L’entreprise a ainsi confirmé la présence d’un composant non autorisé dans l’appareil d’un utilisateur touché.

Comment ces composants sont arrivés dans ces appareils, Ledger indique ne pas l’avoir encore établi. Aucun reproche n’est pour autant adressé au revendeur ; CryptoBilis a suspendu la vente et la livraison d’appareils Ledger pendant la durée de l’enquête. Indépendamment de cela, The Record a rendu compte du mécanisme de l’implant et de l’appréciation de l’équipe sécurité de Ledger.

MediaMarkt et Saturn ont arrêté la vente, CryptoBilis les livraisons

Pour l’Allemagne, c’est là le point de contact concret. Après le signalement d’un appareil trafiqué dans le pays, MediaMarkt et Saturn ont suspendu la vente des appareils Ledger, et ils l’ont fait avant que l’on sache si le cas allemand était lié à la série d’Asie du Sud-Est. Ledger a parallèlement durci ses exigences de sécurité envers les revendeurs et arrêté la vente autorisée sur plusieurs marchés de la région.

Qui a acheté un appareil en magasin n’est pas pour autant moins bien placé juridiquement que pour tout autre défaut. Un appareil trafiqué est défectueux, et les recours visent le vendeur, non le fabricant.

Ce que Ledger recommande aux acheteurs d’appareils concernés

Les consignes du fabricant distinguent trois situations. Qui a acheté un appareil chez CryptoBilis et ne l’a pas encore installé ne doit pas l’installer et doit s’adresser au support. Qui l’a déjà installé doit transférer ses avoirs vers un nouvel appareil doté d’une nouvelle phrase de récupération. Et qui a perdu de l’argent doit saisir les autorités de poursuite avant d’ouvrir l’appareil, car le composant est une pièce à conviction.

Ce dernier point s’oublie facilement. Un appareil dévissé vaut nettement moins pour une enquête, et la tentation d’aller voir soi-même est grande.

La police de Singapour signale deux cas supplémentaires le 28 octobre

Le 28 octobre, la police de Singapour a fait état de deux cas de portefeuilles compromis dans lesquels des composants ont peut-être intercepté des phrases de récupération ou des clés privées. Ledger examine en outre d’autres signalements, dont un concernant un appareil acheté à l’aéroport de Singapour. Un lien avec la série connue n’y est pas confirmé.

Qu’un second volet en découle reste ouvert. On peut seulement constater qu’après trois semaines l’affaire continue de grandir, en nombre de signalements comme en montant.

Une alternative réglementée pour qui renonce à la conservation personnelle

Un cas comme celui-ci autorise aussi la conclusion inverse. La conservation personnelle exige de maîtriser toute la chaîne d’approvisionnement, de la fabrication à l’installation. Qui ne veut pas s’en charger peut confier la conservation à un tiers, et sous le règlement européen MiCA ce sont des prestataires agréés, soumis à des obligations prudentielles, qui s’en occupent.

Ce choix a un prix, et il porte un nom : le risque de contrepartie. Vous échangez la responsabilité d’un appareil contre la confiance dans une entreprise. Il n’existe pas de réponse universellement juste, seulement une réponse adaptée au montant en jeu et à votre propre rigueur.

Drainer Ledger, 30,44 millions sur des adresses marquées

1. Vérifiez par quelle voie votre appareil a été acheté et conservez la preuve d’achat. Si un remplacement s’impose, comparez les circuits d’approvisionnement dans le comparatif des portefeuilles matériels et achetez chez le fabricant ou chez un revendeur qu’il cite lui-même.
2. Au moindre doute, installez un nouveau portefeuille avec une nouvelle phrase de récupération et transférez-y vos avoirs. Pour la transition, ou pour de petits montants, le comparatif des wallets logiciels montre quelles applications entrent en ligne de compte.
3. Décidez sciemment de la part que vous voulez conserver vous-même. Ce qui va au-delà peut être déposé chez un prestataire agréé ; les critères figurent du côté des plateformes réglementées.

(Au 29 octobre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)