Karpelès prototype un détecteur de wallets Ledger piégés à 200 $

Mark Karpelès, ancien patron de Mt. Gox et aujourd'hui chercheur en sécurité, a présenté le 18 octobre 2026 un prototype de détecteur capable d'identifier les implants espions dissimulés dans certains hardware wallets Ledger, sans ouvrir l'appareil. Le dispositif tient dans un instrument RF du commerce (NanoVNA) couplé à une sonde, pour un budget total d'environ 200 $. Karpelès annonce la publication libre des plans du PCB. Cryptoast documente le prototype, à partir du post de Karpelès sur X du 18 octobre.

Comment ça marche

Le NanoVNA est un analyseur de réseau vectoriel compact qui émet des ondes radio et mesure le signal réfléchi via une sonde placée au contact du boîtier. Un implant comportant une antenne — même repliée dans le padding d'écran — réfléchit un signal distinctif à des fréquences caractéristiques.

Démonstration menée par Karpelès :

• Ledger Nano X non modifié : pas de pic significatif sur la bande balayée.
• Second Ledger Nano X, avec une antenne placée volontairement par Karpelès pour simuler un implant : pic à ~824 MHz, fréquence utilisée par certains réseaux mobiles. Ouverture ultérieure du boîtier : antenne présente, confirmant la détection.

L'approche se compare à l'autre méthode avancée — la pesée — jugée peu fiable par Karpelès : les Nano X authentiques varient de ~2 g entre eux, alors que les implants connus pèsent ~1,1 g. L'enveloppe de bruit avale le signal.

État du projet

• Statut : prototype en test, non commercialisable à ce stade.
• Coût matériel : ~200 $ (NanoVNA du commerce + sonde + impression).
• Publication : Karpelès prévoit de publier les plans du PCB en libre accès. Aucune date de release ni dépôt GitHub n'est encore associé.
• Couverture initiale : limitée à certains types d'implants et antennes connus. Karpelès cherche notamment des Ledger Stax piégés pour étendre la détection à ce modèle.
• Extension prévue : Trezor et OneKey.

Citation (Karpelès, X, 18 octobre) : « Detecting a spy implant without cracking your device open is possible. »

À quoi ça répond

La série d'implants dans des Ledger — documentée depuis début octobre — a été confirmée par Ledger et attribuée principalement au revendeur CryptoBilis en Asie du Sud-Est. Le module caché capture la sortie d'affichage et les pressions boutons sur le bus SPI entre le secure element et l'écran, reconstitue la seed phrase, puis l'exfiltre via une eSIM 4G/LTE intégrée. Le secure element Ledger n'est pas compromis — l'implant le contourne en lisant le canal d'affichage côté hôte.

Chronologie publique (couverture Cryptoast, Bleeping Computer, Gizmodo) :

• ~16 septembre 2026 : premier post de Karpelès avec photos d'un implant.
• 8 octobre 2026 : nouvelle alerte, détails sur l'eSIM et la revente en Asie du Sud-Est.
• 10 octobre 2026 : Karpelès signale un implant avec carte SIM dans un Nano X neuf.
• Mi-octobre : MediaMarktSaturn retire les Ledger de ses rayons physiques et de son site en Europe (~1 070 magasins MediaMarkt et Saturn).
• 18 octobre 2026 : annonce du prototype de détecteur.

Pourquoi c'est utile

La parade recommandée jusqu'ici pour un utilisateur suspicieux était :

1. Ne pas acheter Ledger hors du canal officiel.
2. Comparer visuellement la soudure et l'intérieur de l'appareil — ce qui exige d'ouvrir le boîtier, opération destructrice qui invalide la garantie et compromet la revente.
3. Dans le cas des revendeurs tiers déjà en circulation, migrer les fonds vers une nouvelle seed sur un appareil réputé propre.

Un détecteur non invasif à 200 $ change l'économie du triage : un revendeur, un atelier de réparation, voire un utilisateur averti peuvent scanner un parc d'appareils avant de signer la moindre transaction. Pour un fabricant, c'est aussi un outil d'audit de supply chain en aval.

Limites à surveiller

1. Faux négatifs possibles sur des implants sans antenne RF — un module purement filaire sans communication sortante distincte serait invisible à la mesure réfléchie.
2. Faux positifs probables sur les futures générations avec composants radio légitimes (BLE, NFC) si la base de référence n'évolue pas.
3. Portée du modèle : la méthode est validée sur Nano X à ce stade. Les Nano S Plus, Flex et Stax ont des form factors et des agencements internes différents ; Karpelès indique chercher des Stax piégés pour étalonner.
4. Risque opérationnel : un attaquant qui connaît la méthode peut adapter la géométrie de l'implant pour minimiser la signature RF à la bande scannée par défaut.

Suite

1. Publication des plans PCB par Karpelès. Open source attendu, licence non précisée.
2. Reproduction indépendante du setup par une seconde équipe (Donjon de Ledger, Tibane Labs, communauté hardware).
3. Protocole de scan : la méthode utile en pratique dépend d'un playbook standardisé (bandes à balayer, seuil de détection, procédure de vérification destructive en cas de pic).

Contexte

C'est le quatrième épisode du dossier « Ledger implants » depuis début octobre, après la confirmation par Ledger du vecteur SPI, le retrait des produits par MediaMarktSaturn et les premières plaintes clients consolidées. Karpelès occupe une place particulière dans ce dossier : condamné dans l'affaire Mt. Gox, il a reconverti son activité publique dans la rétro-ingénierie de hardware wallets, et il est désormais la source primaire la plus active sur cette campagne précise.