Achtung, Ledger. Ce mardi 13 octobre, l’enseigne européenne d’électronique MediaMarktSaturn a suspendu la vente des Ledger en magasin comme en ligne. La suspension, menée en accord avec le fabricant, fait suite au signalement d’un implant matériel par un client allemand. Dans les faits, cette décision élargit une affaire déjà lourde, avec environ 103 millions de dollars.
Les points clés de cet article :
MediaMarktSaturn a retiré les Ledger de ses magasins et de son site en ligne dans l’ensemble de ses pays, par mesure de précaution.
Ensuite, la suspension suit le signalement d’un implant par un client allemand, un cas qui ne compte pour l’heure aucune perte de fonds.
Ainsi, Ledger affirme n’avoir aucun indice d’une compromission de ses infrastructures, et renvoie chaque appareil suspect aux analyses du Donjon.
Enfin, l’implant lirait la seed phrase affichée à l’écran à l’initialisation, puis la transmettrait par LTE grâce à une eSIM embarquée.
Un retrait préventif dans toute l’Europe
L’enseigne ne fait pas dans la demi-mesure. Auprès de nos confrères de Cointelegraph, un porte-parole de MediaMarktSaturn confirme un retrait international :
« Les produits ont été retirés de notre gamme dans l’ensemble de nos pays. Nous avons procédé ainsi à titre de précaution. »
Dans une mise à jour publiée sur X, Ledger précise travailler « en accord » avec l’enseigne sur cette suspension. Pour l’heure, le cas allemand n’a entraîné aucune perte de fonds. Le fabricant dit n’avoir « aucune indication » d’une compromission de ses infrastructures, systèmes ou services.
Car c’est bien ce client, connu sous le pseudo Johannes, qui a poussé l’enseigne à agir. Selon son récit documenté dès lundi, il a acheté deux Ledger dans deux magasins MediaMarkt distincts, la seconde acquisition filmée dès le déballage. Les deux appareils cachaient les mêmes modifications internes, câbles supplémentaires et module cellulaire compris. Toujours d’après lui, un employé du magasin a écarté la piste du retour client. Selon lui, les registres pointeraient vers le distributeur Aqipa GmbH. Depuis, il réclame un rappel produit immédiat. De quoi mesurer l’ampleur du geste de l’enseigne, qui pèse plus de 1 000 magasins dans 11 pays selon l’estimation qu’il relayait.
Sous le capot, un implant qui lit l’écran
La mécanique, elle, se précise. D’après la mise à jour technique relayée par Cointelegraph, l’implant se loge dans le boîtier et lit les données affichées à l’écran. Or, à l’initialisation, le hardware wallet affiche la seed phrase de 24 mots. Le microcontrôleur décode ces mots, puis les expédie par LTE via une eSIM préinstallée. En pratique, ce composant séparé ne touche ni l’élément sécurisé ni le système d’exploitation, et ne modifie aucune transaction. De quoi aspirer les clés sans qu’aucune signature ne trahisse la manœuvre.
De son côté, Ledger y ajoute ses consignes. Le fabricant demande aux acheteurs du canal CryptoBilis, le revendeur d’Asie du Sud-Est au cœur du dossier, de ne pas initialiser leur appareil. Les fonds doivent rejoindre un nouveau wallet, avec une phrase de récupération inédite. Une autre règle revient dans chaque mise en garde. Aucun site, aucune application, aucun formulaire ne doit recevoir votre seed phrase. Pour rappel, le revendeur avait changé de propriétaire avant les vols, et a depuis suspendu ses propres ventes de Ledger. Le fabricant maintient que les pertes confirmées, révélées le 9 octobre, concernent toutes son canal de distribution. Les totaux qui circulent en ligne, plus de 103 millions de dollars selon YFarmX contre 93,2 millions chez Bitquery, restent des estimations tierces que Ledger n’a pas validées.
Enfin, l’Allemagne ne clôt pas la liste. Mark Karpelès, l’ancien patron de Mt. Gox, a rapporté mardi qu’une Ledger Flex achetée à l’aéroport de Singapour embarquait elle aussi un implant espion, selon son message sur X. Ledger a renvoyé vers sa dernière mise à jour, sans commenter ce cas précis.
