Hack CryptoBilis Ledger : 95 Millions Volés Et Gelés

Imaginez ouvrir votre portefeuille matériel tout neuf, noter soigneusement la phrase de récupération affichée à l’écran, puis découvrir quelques jours plus tard que vos cryptomonnaies ont purement et simplement disparu. C’est exactement ce qui est arrivé à près de 1 500 personnes entre le 7 et le 9 octobre 2026. Un seul et même acteur a siphonné l’équivalent de 95,35 millions de dollars. Et le pire ? Il continue encore aujourd’hui à faire circuler une partie de ces fonds.

Un Piratage Massif Révélé Par Arkham Intelligence

L’affaire a éclaté au grand jour grâce aux investigations d’Arkham Intelligence. Les analystes ont retracé les mouvements de 1 486 adresses touchées. Le total s’élève à 95,35 millions de dollars. Une grande partie de cette somme a été volée en un temps record : 80,60 millions de dollars en seulement 51 minutes le 9 octobre. Une vitesse qui laisse peu de place au hasard.

Les vols ont commencé dès le 7 octobre, avec des transferts plus modestes de 7,41 BTC, soit environ 610 000 dollars, provenant de 137 adresses. Mais le gros du butin a été enlevé le 9 octobre à partir de 05 h 07 UTC. En moins d’une heure, l’attaquant a collecté des dizaines de millions en USDT sur la blockchain Tron, ainsi que 203,26 BTC réunis dans un seul bloc.

Aujourd’hui encore, le voleur n’est pas resté inactif. Au cours des dernières 48 heures, il a déplacé 13,84 millions de dollars supplémentaires. Une preuve que l’opération n’est pas terminée et que les enquêtes doivent rester extrêmement vigilantes.

Comment Les Fonds Ont Été Transférés Et Blanchis

Une fois les actifs en sa possession, l’attaquant a immédiatement commencé à les convertir et à les faire circuler entre différentes chaînes. Au moins 69,19 millions de dollars ont traversé des swaps et des bridges. Sur Tron, 20,37 millions d’USDT ont été transformés en USDD. Vingt millions d’autres ont basculé vers Ethereum via le protocole USDT0.

D’autres routes ont permis de convertir des USDT et USDC provenant de Tron, de la BNB Chain et de Polygon en ETH. Parmi les canaux utilisés, on retrouve Relay pour 8,95 millions, Chainflip pour 5,91 millions, et une série de routes secondaires totalisant 13,96 millions. Les portefeuilles Ethereum liés à l’attaquant ont ainsi reçu 5 895 ETH, soit 14,72 millions de dollars, en provenance de plusieurs bridges.

Une partie importante a ensuite été dirigée vers Tornado Cash. Pas moins de 9 529 ETH, valorisés à 23,27 millions de dollars, ont été déposés en 559 transactions. Le découpage était méthodique : 63 transferts de 100 ETH, 307 de 10 ETH, 156 de 1 ETH et 33 de 0,1 ETH. Avant ces dépôts, 8 102,6 ETH avaient été répartis dans 26 nouvelles adresses Ethereum.

Le drainer a volé 95,35 millions de dollars auprès de 1 486 adresses entre le 7 et le 9 octobre. Il détient encore 30,44 millions dans des adresses identifiées, dont 10 millions gelés.

Arkham Intelligence

Côté Bitcoin, les mouvements se poursuivent également. 102,15 BTC, soit 8,33 millions de dollars, ont quitté les portefeuilles de l’attaquant. Le 27 octobre, une portion de 17,97 BTC a rejoint un autre lot pour former un UTXO de 70,47 BTC, valorisé à 5,67 millions de dollars. Les dernières estimations d’Arkham indiquent que 4 932 ETH (11,49 millions) et 111,28 BTC (8,96 millions) restent encore dans des adresses marquées.

L’Implant Matériel Au Cœur De L’Affaire

Ce qui rend cette attaque particulièrement inquiétante, c’est son mode opératoire. Ledger a confirmé le 13 octobre que ses équipes de sécurité avaient découvert un implant matériel non autorisé capable de capturer la phrase de récupération affichée lors de la configuration initiale de l’appareil. Tous les cas de vols confirmés concernaient des dispositifs achetés auprès du revendeur sud-est asiatique CryptoBilis.

Ledger n’a pas encore déterminé avec certitude comment ces composants malveillants ont été introduits dans les portefeuilles. L’entreprise a cependant renforcé les exigences de sécurité imposées à ses revendeurs et suspendu temporairement les ventes de hardware wallets autorisés dans plusieurs marchés d’Asie du Sud-Est.

La police de Singapour a de son côté signalé deux affaires liées à des portefeuilles altérés, avec des pertes estimées à environ 3,5 millions de dollars singapouriens. Les investigations préliminaires confirment la présence de composants capables d’intercepter les seed phrases ou les clés privées. Ledger affirme pour l’instant qu’aucune preuve ne montre une compromission de ses systèmes internes ou de ses canaux de vente directs.

Pourquoi Cette Attaque Change La Donne

Les portefeuilles matériels étaient jusqu’ici considérés comme l’un des moyens les plus sûrs de stocker des cryptomonnaies. L’idée d’un implant physique capable d’espionner la phrase de récupération au moment même de sa génération bouleverse cette confiance. Il ne s’agit plus seulement d’un malware logiciel ou d’une faille de firmware, mais d’une manipulation physique de l’appareil avant même qu’il n’arrive entre les mains de l’utilisateur.

Cette méthode suppose une chaîne d’approvisionnement compromise. Soit le revendeur a été infiltré, soit des appareils ont été interceptés et modifiés en cours de route. Dans les deux cas, la leçon est claire : acheter un hardware wallet via un canal non officiel ou un revendeur peu contrôlé expose à des risques majeurs, même si le fabricant d’origine est réputé.

Les victimes n’ont souvent aucun moyen de détecter la présence de l’implant à l’œil nu. L’appareil fonctionne normalement, affiche la phrase de récupération, et c’est précisément à ce moment que le composant malveillant enregistre l’information. Une fois la seed phrase en possession de l’attaquant, tous les fonds stockés sur le portefeuille deviennent accessibles sans aucune restriction.

Le Rôle Des Bridges Et Des Mélangeurs

Après le vol, l’attaquant a multiplié les étapes pour rendre le suivi plus difficile. Les bridges ont permis de faire passer les fonds d’une blockchain à une autre, tandis que les swaps ont transformé les tokens en actifs plus faciles à diluer. Tornado Cash a ensuite servi de dernière étape pour une partie importante des ETH.

Même si Tornado Cash fait l’objet de sanctions et de surveillances accrues, il reste un outil fréquemment utilisé dans ce type d’opérations. Le découpage en de nombreuses transactions de montants standards (100, 10, 1 ou 0,1 ETH) vise à rendre le traçage plus complexe. Pourtant, les outils d’analyse on-chain comme ceux d’Arkham parviennent encore à relier une partie des flux à des adresses contrôlées par le même acteur.

Le gel de 10 millions d’USDT par Tether constitue l’une des rares bonnes nouvelles de cette affaire. Cette intervention montre que les émetteurs de stablecoins disposent encore de leviers pour freiner les mouvements de fonds volés, du moins lorsqu’il s’agit de tokens centralisés comme l’USDT.

Les Réactions De Ledger Et Les Mesures Prises

Ledger a réagi en confirmant l’existence de l’implant et en rappelant que tous les cas investigués impliquaient des appareils provenant de CryptoBilis. L’entreprise a renforcé ses contrôles sur les revendeurs et suspendu certaines ventes dans la région. Elle insiste sur le fait que ses canaux officiels et ses systèmes internes ne semblent pas avoir été compromis.

Cette distinction est importante. Elle signifie que les utilisateurs qui achètent directement auprès de Ledger ou de revendeurs strictement autorisés et contrôlés ne devraient pas être exposés au même risque. En revanche, ceux qui passent par des intermédiaires moins scrupuleux ou des plateformes de revente non officielles restent vulnérables.

La suspension des ventes dans plusieurs marchés d’Asie du Sud-Est montre que Ledger prend la situation au sérieux. Il reste à voir si d’autres cas similaires apparaîtront dans d’autres régions du monde ou si l’attaque était limitée à ce revendeur précis.

Que Faire Si Vous Possédez Un Ledger Acheté Via Un Revendeur

La première précaution consiste à vérifier l’origine exacte de votre appareil. Si vous l’avez acquis auprès de CryptoBilis ou d’un canal non officiel, la prudence s’impose. Même si aucun vol n’a encore eu lieu, la seed phrase a pu être compromise dès la configuration initiale.

Dans ce cas, la recommandation la plus sûre est de créer un nouveau portefeuille avec un appareil provenant d’un canal de confiance, de générer une nouvelle phrase de récupération, puis de transférer les fonds vers cette nouvelle adresse. Ne réutilisez jamais une seed phrase qui a pu être exposée, même brièvement.

Il est également conseillé de surveiller régulièrement les adresses associées à votre portefeuille. Des outils d’alerte on-chain existent pour vous prévenir en cas de mouvement inattendu. Enfin, évitez autant que possible de stocker des montants importants sur un seul appareil, surtout s’il n’a pas été acheté directement auprès du fabricant.

Les Leçons Pour L’Ensemble De L’Écosystème

Cette affaire met en lumière une faille rarement discutée : la sécurité de la chaîne d’approvisionnement des hardware wallets. Les fabricants peuvent verrouiller leurs logiciels et leurs firmwares, mais si un composant physique malveillant est ajouté avant la livraison, toutes ces protections deviennent inutiles.

Les utilisateurs doivent désormais considérer l’origine de l’appareil comme un critère de sécurité aussi important que le choix de la marque. Acheter un Ledger d’occasion, via une marketplace ou un revendeur non vérifié, expose à des risques que beaucoup sous-estimaient jusqu’ici.

Du côté des fabricants, on peut s’attendre à un renforcement des contrôles physiques, à des scellés plus sophistiqués, à des vérifications d’intégrité plus poussées, et peut-être à de nouvelles procédures de configuration qui réduisent le risque d’interception de la seed phrase.

Un Suivi Qui Continue

Arkham Intelligence poursuit son travail de traçage. Les 30,44 millions de dollars encore détenus dans des adresses liées à l’attaquant restent sous surveillance. Les 10 millions d’USDT gelés ne peuvent plus bouger, mais le reste continue de circuler. Les 13,84 millions déplacés ces dernières 48 heures montrent que l’acteur est toujours actif.

Il est encore trop tôt pour savoir si les autorités parviendront à identifier et interpeller les responsables. Les techniques de mélange et de bridging compliquent considérablement le travail. Pourtant, chaque nouvelle transaction laisse des traces. Les analystes on-chain ont déjà prouvé qu’ils pouvaient reconstruire une grande partie du parcours des fonds.

Cette affaire restera probablement comme l’un des piratages les plus importants de l’année 2026, non seulement par le montant volé, mais surtout par la méthode employée. Un implant matériel capable de capturer la seed phrase au moment de sa génération représente une escalade dans les techniques d’attaque contre les portefeuilles matériels.

Ce Qu’il Faut Retenir

Le drainer CryptoBilis a démontré qu’aucun système n’est totalement à l’abri lorsque la chaîne d’approvisionnement est compromise. Les 95 millions de dollars volés, les 10 millions gelés et les fonds encore en mouvement rappellent que la vigilance doit s’exercer à chaque étape, de l’achat de l’appareil jusqu’à la gestion quotidienne des clés.

Pour les utilisateurs, le message est clair : privilégiez toujours les canaux de vente officiels, vérifiez l’intégrité de votre appareil, et ne considérez jamais une seed phrase comme totalement sécurisée si l’origine du portefeuille est douteuse. Pour l’industrie, c’est un signal d’alarme. La sécurité physique des hardware wallets doit désormais être traitée avec le même sérieux que la sécurité logicielle.

Alors que l’enquête se poursuit et que les fonds continuent de circuler, une chose est certaine : cette affaire ne sera pas la dernière. Elle marque cependant un tournant dans la façon dont les utilisateurs et les fabricants devront penser la protection des actifs numériques à l’avenir.

Les prochains mois diront si d’autres implants similaires sont découverts et si de nouvelles mesures techniques ou réglementaires émergent pour limiter ce type de risque. En attendant, la prudence reste la meilleure défense.