Ledger : le revendeur CryptoBilis avait changé de propriétaire avant les vols

Don’t trust, verify. Un proverbe taillé pour l’affaire Ledger. Vendredi, le fabricant français suspendait son revendeur d’Asie du Sud-Est après 86 millions de dollars volés sur des wallets. Vingt-quatre heures plus tard, le dossier a épaissi et le bilan grimpe. Surtout, la boutique incriminée a changé de propriétaire cette année dans la plus grande discrétion, et un ancien patron de Mt. Gox affirme avoir trouvé un mouchard dans un appareil venu de Malaisie.

Le bilan des vols Ledger dépasse 92 millions de dollars

Le premier chiffre venait de l’enquêteur on-chain Specter, soit plus de 86 millions de dollars. La société d’analyse Bitquery a depuis élargi le filet. Son décompte atteint 92,9 millions de dollars siphonnés sur 311 wallets et cinq blockchains, dont Bitcoin, Ethereum et Tron. Un troisième pointage, signé John Kamal pour Yfarmx, monte à 93,4 millions répartis sur 471 adresses. Ledger n’a validé aucun de ces totaux.

L’argent, lui, voyage. Chainalysis dit avoir identifié « une opération sophistiquée de blanchiment inter-chaînes ». Les relevés de Bitquery et de Yfarmx documentent des passages par Tornado Cash, ce mixeur qui brouille l’origine des fonds. Tether a gelé environ 10 millions de dollars en USDT. Vendredi en fin de journée, près de 79 millions restaient traçables on-chain d’après Bitquery. Autrement dit, les enquêteurs voient encore l’essentiel du butin sans pouvoir y toucher.

Le revendeur Ledger CryptoBilis avait été vendu en mars

C’est la révélation du week-end. Des documents du registre des sociétés, relayés depuis vendredi soir par plusieurs médias dont BitPinas, montrent que CryptoBilis a été rachetée en mars 2026. Depuis le 3 août, 100 % du capital appartient à un certain Jiaming, domicilié dans la province chinoise du Heilongjiang. Un cofondateur a confirmé la vente. « Nous ne faisons plus partie de l’entreprise », écrit-il en demandant à la direction actuelle de gérer la crise avec transparence. Les fondateurs disent avoir remis tous les accès et n’avoir plus aucune visibilité sur les opérations.

Détail piquant, un accord de confidentialité leur interdisait d’annoncer la cession. Ledger référençait donc comme distributeur agréé pour la Malaisie, l’Indonésie et les Philippines une société fondée à Kuala Lumpur en 2020 dont le contrôle avait changé de mains. Rien n’indique si le fabricant en avait été informé. Gardons la tête froide : aucun élément ne relie à ce stade le rachat aux vols. CryptoBilis a fermé ses boutiques dans les trois pays et suspendu la vente de toutes les marques, Trezor et Tangem compris.

Un module espion dans un Ledger venu de Malaisie

Reste le comment. Mark Karpelès, l’ancien patron français de Mt. Gox, a publié vendredi les photos d’un Ledger venu de Malaisie. Emballage intact. Sous l’écran, à la place de la mousse de calage, il décrit une seconde carte électronique équipée d’un module LTE, d’une eSIM et d’une antenne. Le principe est d’une simplicité désarmante. Le mouchard lit ce que l’écran affiche pendant la configuration, puis envoie les 24 mots de la phrase de récupération par le réseau mobile. La puce sécurisée de l’appareil n’y voit rien puisque personne ne l’attaque. 23pds, responsable de la sécurité chez SlowMist, décrit le même schéma.

Deux réserves s’imposent. Karpelès a précisé dans la nuit que ses appareils ne venaient pas d’un revendeur agréé. Il enquêtait sur des Ledger bradés sur Amazon et d’autres plateformes, et deux d’entre eux contenaient un implant. Ledger, de son côté, n’a pas commenté ces photos. Le fabricant maintient sa ligne : « Nous n’avons aucune indication que l’infrastructure de sécurité, les systèmes ou les services de Ledger aient été compromis. » D’autres scénarios restent sur la table, comme des appareils préconfigurés avec une phrase connue du voleur. Les consignes ne changent pas. Si vous avez acheté chez ce revendeur depuis 90 jours, ne configurez pas l’appareil. S’il l’est déjà, migrez vos fonds vers un nouveau Ledger avec une nouvelle phrase de récupération.