Vous achetez une hardware wallet pour que personne ne puisse toucher à vos cryptomonnaies. La boîte arrive scellée, l’appareil passe la vérification officielle d’authenticité et vous notez vos 24 mots sur un papier. Et malgré tout, quelqu’un s’empare de vos fonds. C’est ce qui est arrivé à des centaines d’acheteurs d’appareils Ledger vendus par un revendeur, CryptoBilis : ils contenaient une puce espionne.
La réponse courte : la faille n’était pas chez Ledger, mais sur le trajet de la boîte jusqu’au domicile de l’acheteur. Si vous avez acheté votre Ledger sur le site officiel, rien n’indique que vous soyez concerné. Si vous l’avez acheté à un revendeur, à un particulier ou sur une marketplace, il y a des mesures concrètes à prendre. Chez CryptoImpuestos, nous suivons l’enquête depuis la première alerte : voici ce que l’on sait, ce que l’on ignore et comment acheter une wallet sans ce risque.
Que s’est-il passé avec Ledger ?
Ledger est le fabricant de portefeuilles physiques le plus connu : un appareil de la taille d’une clé USB qui conserve la clé de vos cryptomonnaies sans dépendre d’aucun exchange. C’est ce que l’on appelle une hardware wallet ou cold wallet.
Les faits, dans l’ordre :
- 9 octobre 2026. Ledger annonce enquêter sur des vols visant des utilisateurs, après que des analystes blockchain ont estimé à plus de 86 millions de dollars les fonds dérobés.
- 10 au 12 octobre. Ledger confirme que l’appareil de l’une des victimes contenait un implant matériel non autorisé et que toutes les pertes confirmées concernent des appareils vendus par CryptoBilis, un revendeur d’Asie du Sud-Est qui figurait sur son site comme distributeur. CryptoBilis cesse de vendre des Ledger.
- 13 octobre. Ledger publie le fonctionnement de l’implant. Le même jour, MediaMarkt Saturn cesse de vendre des appareils Ledger après qu’un client en Allemagne en a trouvé un manipulé.
Les estimations de pertes des enquêteurs atteignent 93,2 millions de dollars sur plus de 300 portefeuilles, selon CoinDesk. Ledger n’a pas confirmé ce chiffre et parle d’un volume « limité ». Tether a gelé environ 10 millions en USDT liés au vol.
Comment la puce volait-elle les 24 mots ?
Lorsque vous configurez un Ledger pour la première fois, l’appareil génère votre phrase de récupération et vous l’affiche à l’écran pour que vous la recopiiez : 24 mots qui constituent la sauvegarde de votre clé. Qui détient ces mots détient vos cryptomonnaies.
L’implant était caché à l’intérieur du boîtier. Selon l’explication de Ledger, un petit microcontrôleur lisait l’écran pendant qu’il affichait les mots, les décodait et les envoyait par réseau mobile grâce à une eSIM et une antenne. L’attaquant pouvait alors restaurer votre portefeuille sur un autre appareil et le vider quand il le voulait.
Le plus inquiétant : l’implant ne modifiait pas la puce sécurisée ni le système de l’appareil, et n’altérait pas non plus les opérations. C’est pourquoi l’outil officiel de vérification d’authenticité de Ledger, le Genuine Check, considérait l’appareil comme valide. Les analyses publiées décrivent deux variantes : l’une remplaçait la batterie par une plus petite pour faire de la place, l’autre se cachait derrière l’écran. L’antenne était l’indice qui trahissait la manipulation à l’ouverture de l’appareil.
La faille était sur le trajet, pas dans le portefeuille
Ledger insiste sur le fait que ses systèmes n’ont pas été attaqués et décrit une attaque physique de la chaîne d’approvisionnement. On ne sait pas encore qui a placé la puce ni à quel moment entre l’usine et l’acheteur. Selon les analyses publiées, les appareils étaient vendus neufs, dans leur boîte scellée.
Un élément complique les choses : Mark Karpelès, l’ancien dirigeant de Mt. Gox, a raconté avoir trouvé un implant dans un Ledger Flex acheté dans une boutique de l’aéroport de Singapour, et Ledger indique examiner d’autres signalements en divers endroits. En attendant, il a demandé aux boutiques et aux distributeurs de ne plus revendre d’appareils retournés.
Comment savoir si votre Ledger est concerné ?
Il n’existe pas de test maison fiable : le Genuine Check ne le détecte pas et ouvrir l’appareil n’est pas quelque chose que vous devriez faire. Ce que vous pouvez faire, en revanche, c’est répondre à deux questions.
Où l’avez-vous acheté ?
- Sur le site officiel de Ledger : rien n’indique que ces appareils soient concernés.
- Chez CryptoBilis : Ledger demande de ne pas l’initialiser si vous ne l’avez pas encore fait et, si vous l’utilisez déjà, de transférer vos fonds vers un appareil neuf.
- Dans une autre boutique, sur une marketplace ou auprès d’un particulier : rien ne prouve que vous soyez touché, mais vous ne pouvez pas non plus l’exclure totalement. Tenez compte du montant que vous y conservez.
Comment avez-vous obtenu les 24 mots ?
Les mots sont toujours générés par l’appareil lui-même, qui vous les affiche à l’écran. S’ils étaient imprimés dans la boîte, sur une carte, ou si quelqu’un vous les a donnés, n’utilisez pas cet appareil : c’est une arnaque connue depuis des années, avec ou sans puce.
En cas de doute, la solution est celle que donne Ledger : achetez un appareil neuf sur le site officiel, créez-lui de nouveaux mots et transférez-y vos cryptomonnaies. Transférer des fonds d’une de vos wallets vers une autre de vos wallets n’est pas une vente.
Comment acheter une hardware wallet sûre
Cela vaut pour Ledger et pour toute autre marque :
- Achetez sur le site officiel du fabricant. C’est le trajet le plus court entre l’usine et chez vous.
- Méfiez-vous des bonnes affaires. Un prix très inférieur au prix officiel sur une marketplace est un signal d’alerte, pas une opportunité.
- Jamais d’occasion. Même « jamais utilisé ».
- Les mots sont générés par l’appareil, devant vous. S’ils sont fournis par écrit, renvoyez-le.
- Notez-les sur papier ou sur métal, jamais sur le téléphone, en photo ou dans le cloud.
- Aucun interlocuteur légitime ne vous les demandera jamais : ni le fabricant, ni le support, ni nous.
- Faites d’abord un petit envoi de test et vérifiez l’adresse et le réseau.
Si vous ne savez pas bien ce que conserve réellement une wallet et pourquoi ces 24 mots valent autant, nous l’expliquons depuis le début dans qu’est-ce qu’une wallet crypto.
Et côté fisc espagnol ? Transférer vos cryptos vers une nouvelle wallet n’est pas imposable
Deux questions qui nous arrivent ces jours-ci :
- Transférer vos cryptomonnaies vers une nouvelle wallet n’est pas une vente. Il n’y a ni plus-value ni moins-value tant qu’elles restent à vous. Conservez toutefois la preuve que les deux adresses vous appartiennent : lorsque vous vendrez, vous devrez justifier leur provenance. Nous l’expliquons dans comment extraire les opérations de vos wallets.
- Détenir des cryptomonnaies en autoconservation ne vous dispense pas de les déclarer. Le fisc espagnol (l’AEAT, l’agence fiscale espagnole) peut suivre la trace de ce qui sort d’un exchange vers une wallet, comme nous l’expliquons dans comment le fisc sait que vous avez une cold wallet.
Si vous avez été victime d’un vol, le traitement fiscal de cette perte dépend de chaque cas et de ce que vous pouvez prouver : plainte, mouvements sur la blockchain et titularité des adresses. Conservez toute la documentation dès le premier jour.
Résumé : que faire selon l’endroit où vous avez acheté votre Ledger
| Où l’avez-vous acheté | Risque selon ce que l’on sait | Que faire |
|---|---|---|
| Site officiel de Ledger | Aucun indice d’atteinte | Rien de particulier ; suivez les bonnes pratiques |
| CryptoBilis | Toutes les pertes confirmées viennent de là | Ne pas l’initialiser ou transférer les fonds vers un appareil neuf avec de nouveaux mots |
| Autre boutique, marketplace ou particulier | Aucune preuve, mais on ne peut pas l’exclure | Envisagez de transférer les fonds vers un appareil neuf acheté sur le site officiel |
| Livré avec les mots imprimés | Arnaque certaine | Ne pas l’utiliser |
Questions fréquentes
Ledger a-t-il été piraté ?
Selon Ledger, non : ses systèmes et son logiciel n’ont pas été compromis. Il s’agit d’une manipulation physique d’appareils à un point de la chaîne de distribution, et l’enquête reste ouverte.
Le Genuine Check détecte-t-il la puce espionne ?
Non. L’implant ne touchait pas la puce sécurisée, qui est ce que vérifie le Genuine Check : l’appareil manipulé passait donc le test comme authentique.
J’ai acheté mon Ledger sur Amazon, suis-je en danger ?
Rien ne prouve que les appareils vendus par d’autres canaux soient concernés, mais Ledger examine d’autres signalements. Si vous conservez un montant important, l’option la plus prudente est de transférer vos fonds vers un appareil acheté sur le site officiel, avec de nouveaux mots.
Combien d’argent a été volé ?
Les analystes blockchain estiment jusqu’à 93,2 millions de dollars sur plus de 300 portefeuilles, selon CoinDesk. Ledger n’a pas confirmé ce chiffre et parle d’un volume limité.
Transférer mes cryptos vers une autre de mes wallets est-il imposable ?
Non. Déplacer des cryptomonnaies entre vos propres wallets n’est ni une vente ni une permutation. Elles seront imposées lorsque vous les vendrez, les échangerez contre une autre ou paierez avec.
Vos cryptos, bien gardées et bien déclarées
Une wallet sûre protège vos cryptomonnaies ; un historique en ordre vous protège face au fisc espagnol. Si vous avez déplacé des fonds entre exchanges et wallets et ne savez pas comment tout faire concorder, envoyez-nous votre historique et nous générons le document avec tous vos exchanges et wallets selon la méthode FIFO globale exigée par le fisc espagnol.
Sources : CoinDesk : Ledger explique la puce espionne des appareils CryptoBilis (13/10/2026) · BleepingComputer : Ledger confirme l’implant (12/10/2026) · CoinDesk : Ledger enquête sur des vols de 86 millions (09/10/2026) · Ledger Support sur X : recommandations
Víctor Lázaro
Directeur marketing, Cryptoimpuestos.es
