Tether bloque 10 M$ liés au vol du portefeuille CryptoBilis Ledger

Tether a gelé 10 millions de dollars de sa cryptomonnaie USDT après qu'un vol ait vidé jusqu'à 93 millions de dollars d'actifs depuis des portefeuilles matériels Ledger vendus par CryptoBilis, alors que l'enquête sur les flux financiers se poursuit et que Ledger affirme que le problème est isolé.

Informations confirmées fournies par Ledger jusqu'à présent

Le fabricant français de portefeuilles de cryptomonnaies n'a pas encore commenté les pertes. Ledger a indiqué que tous les cas identifiés par l'entreprise concernent des appareils vendus par CryptoBilis, un fournisseur tiers qui opérait en Malaisie, en Indonésie et aux Philippines. L'entreprise a également souligné qu'il n'y avait aucun signe de compromission des systèmes, services et ventes directes de Ledger.

Une découverte a ajouté une dimension de manipulation physique au cas des vulnérabilités liées aux logiciels. Le 10 octobre, l'entreprise a indiqué qu'un des utilisateurs concernés possédait un appareil sur lequel avait été installé un implant physique non autorisé, constituant ainsi la première preuve d'une compromission physique des portefeuilles Ledger dans cette affaire.

Le message à destination des acheteurs est très clair. Si vous avez acheté un appareil CryptoBilis au cours des 90 derniers jours et que vous ne l'avez pas encore configuré, laissez-le intact. Si vous utilisez actuellement l'appareil, transférez vos cryptomonnaies vers un autre appareil doté d'une nouvelle phrase de récupération.

Comment les enquêteurs ont comptabilisé les pertes

Ces chiffres sont attribués à des analystes on-chain plutôt qu'à Ledger. Bitquery a estimé que l'attaque a détourné 93,2 millions de dollars de 315 portefeuilles sur six blockchains distinctes, principalement en USDT et en TRON. La plateforme de sécurité YFarmX a avancé un chiffre plus élevé, affirmant que l'attaque a soustrait 94,5 millions de dollars à 521 portefeuilles sur sept blockchains différentes. Ces deux estimations reposaient sur des données publiques de la chaîne.

Selon l'analyse de Bitquery, la majorité des fonds volés est attribuée à TRON, avec environ 70,5 millions de dollars, suivis de 16,8 millions en Bitcoin et de 3,7 millions en Ethereum, ainsi que de montants bien plus faibles sur les chaînes BNB, Polygon et Solana. L'opération aurait été planifiée pendant plusieurs mois : les adresses impliquées dans le vol ont été créées le 25 septembre et ont effectué des dizaines de transferts d'essai jusqu'au début du mois d'octobre.

Le transfert principal a eu lieu le 9 octobre, lorsque Bitquery affirme que les attaquants ont réécrit les permissions de 30 portefeuilles sur TRON avant de transférer environ 203,8 BTC depuis 111 portefeuilles Bitcoin au sein d'un seul bloc une heure plus tard. Ce type d'opération ne peut être réalisé que si l'attaquant possède les clés nécessaires.

Cela est important car les émetteurs de stablecoins sont en mesure de bloquer les pièces utilisées pour des activités illégales. Bitquery, qui a vérifié le gel de Tether, a signalé qu'environ 81 millions de dollars de jetons traçables étaient encore présents sur la chaîne au 11 octobre, mais certains fonds ont transité par les services de mixage Tornado Cash et Zcash.

Réactions contre un revendeur autorisé

Cependant, la caractérisation par Ledger de cette situation comme un problème lié à CryptoBilis n’a pas été bien accueillie. Le revendeur affichait un badge officiel Ledger sur son site web, ce qui rendait Ledger responsable de cette affaire, car « Il ne s’agit pas d’un incident CryptoBilis, mais d’un incident Ledger ». L’utilisateur X MyCryptoParadise a exhorté l’entreprise à « prendre ses responsabilités face à ce désastre ».

Il existe encore un autre aspect de l’histoire concernant le parcours du revendeur. Selon Arravind Prabu, l’un des cofondateurs, CryptoBilis a été racheté en mars 2026, et toute l’équipe a transféré l’accès aux systèmes lors de cette acquisition, comme indiqué dans Learning Crypto.

Le seul nouvel investisseur de l’entreprise était enregistré en Chine, selon les dossiers officiels de la société. À ce jour, aucun lien n’a été établi entre les vols et le changement de propriété, et l’enquête n’a révélé aucune manipulation impliquant les nouveaux investisseurs.

CryptoBilis a suspendu les ventes et les livraisons de toutes les marques qu’elle distribue, et a fermé ses magasins physiques dans les trois pays concernés.

L’implant que Mark Karpelès a démonté

Peut-être que la description la plus définitive du matériel peut être donnée par le fondateur de Mt. Gox, Mark Karpelès. Karpelès a démonté un Ledger Nano X acheté en Malaisie et, comme a rapporté indiqué par Learning Crypto, a découvert des composants supplémentaires qui se cachaient sous l'écran : un modem cellulaire, une eSIM et une petite puce qui lui permettrait d'intercepter ce qui était affiché à l'écran.

Lors de la configuration du portefeuille, les mots de récupération sont affichés sur cet écran. Un composant capable d'intercepter les données de l'affichage permettrait d'envoyer les mots via le réseau mobile et, par conséquent, de recréer le portefeuille ailleurs et de voler l'argent. Il reste à prouver si tous les appareils contenaient ces composants.

Il convient de noter que cette affaire est distincte d'un autre vol survenu en mars, qui s'est produit en avril lorsque des pirates ont utilisé l'application Ledger Live dans l'App Store d'Apple pour voler au moins 9,5 millions de dollars.