Skip to content
Blockchain Posts

exploit

Ledger piégés : la plus grosse victime connue est un escroc, 60 BTC envolés selon Chainalysis

Chainalysis identifie l'une des plus grosses victimes du vol Ledger : un opérateur de task scams, 60+ BTC (~4,8 M$) vidés le 9 octobre après transfert sur trois adresses le 22 septembre.

par 4 min de lecture
exploitledgerbitcoinchainalysisattribution

Chainalysis a identifié le 15 octobre l'une des plus grosses victimes connues du vol de fonds sur les wallets Ledger piégés distribués par le revendeur sud-est asiatique CryptoBilis : un opérateur de task scams (faux emplois payés à la tâche), dont les trois adresses Ledger ont été vidées pour 60+ BTC, soit environ 4,8 millions de dollars. L'enquête relayée par Journal du Coin est confirmée par Cryptopolitan et cryptonews.net ; le tracing complet, sur six chaînes, est publié par Bitquery.

Chainalysis écrit : « L'une des plus grosses victimes du vol Ledger était elle-même un escroc. »

Chronologie du vol

Les trois adresses Ledger de la victime, suivies par Chainalysis et Bitquery :

  • 22 septembre 2026 : l'escroc transfère le produit de son task scam vers trois nouvelles adresses Ledger.
  • 9 octobre 2026 : les attaquants vident les trois adresses, chacune en une transaction, environ 17 jours après l'ouverture.
  • 10 octobre 2026 : Ledger confirme avoir identifié un implant matériel dans l'appareil d'une victime.
  • 15 octobre 2026 : Chainalysis publie l'identification du task scammer sur X ; Bitquery met à jour son tableau de bord d'enquête.

Le délai de 17 jours entre dépôt et retrait recoupe le fonctionnement de l'implant tel que décrit par Ledger : captation de l'écran et des pressions boutons au moment de la configuration, exfiltration des 24 mots via eSIM LTE, puis attente d'une accumulation significative avant drain.

Nature de l'arnaque amont

Le task scam, dans la description de Chainalysis et Cryptopolitan : la victime recrutait des « employés » en ligne pour effectuer de fausses ventes et faux avis, puis les forçait à déposer des fonds pour « solder un solde négatif » avant retrait. Les 60+ BTC vidés le 9 octobre sont le produit cumulé de cette opération, déposés sur un Ledger CryptoBilis.

C'est la deuxième chaîne d'escroquerie documentée touchée par le vol : les premiers rapports publics faisaient état d'un détenteur anonyme victime à hauteur de 80 BTC selon Lookonchain. La réconciliation entre les deux chiffres n'a pas été publiée ; les deux victimes sont distinctes dans le reporting Chainalysis.

Volume global, selon Bitquery

Bitquery agrège le vol total à ~102 M$, répartis sur 324 wallets et six blockchains :

  • Bitcoin, Tron, Ethereum sont les chaînes principales de dépôt.
  • Le blanchiment a transité par Tornado Cash (côté ETH) et Zcash (depuis Bitcoin via Thorchain-RUNE puis conversion).
  • Tether a gelé environ 10 M$ d'USDT, selon l'enquêteur on-chain tanuki42.
  • Une partie des USDC a été retirée les 11 et 12 octobre, en amont d'un éventuel gel Circle.

Point sur les appareils

Ledger a demandé à ses revendeurs d'Asie du Sud-Est et de Hong Kong de suspendre les ventes et retirer les appareils des rayons et vitrines. Le revendeur CryptoBilis (Indonésie, Malaisie, Philippines) a été nommé publiquement comme distributeur des appareils piégés.

Le modèle de Ledger exact impacté n'est pas précisé dans le reporting de Journal du Coin ; Ledger indique que la détection d'intrusion du Ledger Atom présenté le 14 octobre ne couvrira pas les Nano X, Flex et Stax déjà en circulation.

Ce qu'il faut surveiller

  1. Nouvelles identifications de victimes à mesure que Chainalysis et Bitquery publient leurs enquêtes.
  2. Gels supplémentaires côté Tether, Circle et Thorchain : le traceur public de Bitquery suit en temps réel.
  3. Rappel officiel et liste publique des numéros de série CryptoBilis affectés.
  4. Suite judiciaire : Ledger n'a pas publié de plainte pénale à ce stade. Les équipes de Chainalysis-Bitquery ont de quoi tracer les cash-out exchange.

Contexte

L'affaire des Ledger piégés CryptoBilis est le troisième vol multi-victimes ciblant des wallets hardware distribués par un revendeur en 2025-2026 (OneKey Southeast Asia, novembre 2025 a été plus marginal, et le Ledger Donjon LTE eSIM d'octobre 2026 a touché la distribution MediaMarkt Europe). L'identification Chainalysis publie la première victime documentée dont la ressource volée est elle-même d'origine criminelle, et illustre une distinction utile pour les enquêteurs : la nature de la victime amont ne modifie pas la mécanique de l'implant ni la responsabilité des opérateurs du vol, mais elle complique le narratif public — et peut peser sur les décisions des exchanges où les fonds arrivent in fine.

Articles liés