Ledger : Le Donjon décrit un implant LTE à eSIM, MediaMarktSaturn retire tous les Ledger en Europe

Le Donjon, équipe sécurité de Ledger, publie ce 13 octobre sur X la première description technique d'éditeur de l'implant trouvé dans un signer vendu par CryptoBilis : un microcontrôleur additionnel, placé dans le boîtier, lit les 24 mots de la recovery phrase affichés à l'écran pendant la configuration et les exfiltre via LTE à l'aide d'une eSIM provisionnée. Cryptoast et Journal du Coin relaient la description, Ledger n'ayant pas encore publié d'avis sur son blog. Le même jour, le groupe MediaMarktSaturn retire par précaution les produits Ledger de ses magasins et de ses sites e-commerce dans tous les pays où il opère.

Ce que le Donjon décrit

Trois éléments techniques, repris par les deux papiers :

• Un composant séparé se trouve dans l'enceinte de l'appareil. Il n'est pas intégré à la puce sécurisée (Secure Element) et n'exécute pas le système d'exploitation Ledger.
• Lorsque l'écran affiche les 24 mots de la phrase de récupération pendant la configuration initiale, le microcontrôleur de l'implant lit et décode les mots.
• Une eSIM provisionnée transmet les mots décodés hors de l'appareil via LTE.

Ledger ajoute que l'implant ne modifie pas le Secure Element, ne touche pas le système d'exploitation et n'altère pas les transactions ni les signatures. L'éditeur qualifie l'opération d'« attaque de chaîne d'approvisionnement physique », pas d'une faille logicielle. Le CTO Charles Guillemet indique sur X que Ledger « révise ses contrôles de revendeurs et ses protections anti-sabotage » ; le CEO Pascal Gauthier précise que « l'enquête est en cours pour identifier qui a altéré ces appareils et à quel maillon de la distribution ».

Le mécanisme recoupe celui que ce site a couvert le 10 octobre, après la publication par Mark Karpelès de photos d'un Nano X acheté neuf en Malaisie, contenant un circuit secondaire avec modem LTE, eSIM et antenne — notre article du 10. La nouveauté du 13 : Ledger valide la description « LTE + eSIM + lecture de l'écran de récupération » sous son propre nom, alors qu'elle ne circulait jusqu'ici qu'au travers de la recherche et des photos de tiers.

MediaMarktSaturn retire Ledger de tous ses pays

Un porte-parole du groupe MediaMarktSaturn, cité par Cointelegraph et repris par les deux outlets français, confirme la mesure : « Les produits ont été retirés de notre gamme dans l'ensemble de nos pays », « par mesure de précaution ». Le groupe exploite les enseignes MediaMarkt et Saturn et compte plus de 1 000 magasins dans 11 pays européens (Allemagne, Autriche, Belgique, Espagne, Hongrie, Italie, Luxembourg, Pays-Bas, Pologne, Suède, Suisse — Grèce et Turquie en complément via le groupe).

Ledger confirme sur X que la suspension s'est faite en coordination avec elle, suite au signalement d'un client allemand connu sur X sous @0xJohannes_. Celui-ci dit avoir acheté deux Ledger dans deux magasins MediaMarkt distincts et avoir trouvé dans les deux appareils des modifications internes et des câbles compatibles avec un module cellulaire. Ledger précise qu'aucun fonds n'a été perdu dans ce cas allemand et qu'« aucune indication » ne pointe vers une compromission de son infrastructure, de ses systèmes ou de ses services. Les vols confirmés, selon Ledger, impliquent toujours uniquement des appareils vendus par CryptoBilis en Asie du Sud-Est. Les appareils suspects seront analysés par le Donjon.

L'analyste Darkfost cite par ailleurs une liste de revendeurs européens potentiellement approvisionnés par le distributeur Aqipa GmbH — notamment Saturn, Fnac-Darty, Boulanger et MediaMarkt Suisse. Aqipa est distributeur officiel Ledger depuis août 2023. Aucune compromission n'y est démontrée. Fnac-Darty et Boulanger n'ont pas répondu aux sollicitations de Cryptoast.

Chiffres on-chain et actions des contreparties

• Specter : plus de 86 M$ retracés sur Ethereum, Tron et Bitcoin.
• Bitquery : 92,9 M$ sur 311 portefeuilles et 5 blockchains.
• CoinDesk reprend un plafond de 93,2 M$ sur plus de 300 portefeuilles.
• Tether a gelé 10 M$ en USDT liés au cluster. Le groupe avait au préalable converti une partie en USDD via SUN.io pour contourner la blacklist.
• Ledger n'endosse aucun des totaux publics.

Que surveiller

1. Un teardown du Donjon avec photos et nomenclature. La description est posée ; il manque la pièce physique à l'appui, notamment la carte où siège l'eSIM et l'IMSI de l'opérateur mobile utilisé.
2. Une compromission avérée au-delà des deux appareils de Johannes. Le retrait MediaMarktSaturn est préventif. Un second acheteur européen nommé avec un appareil altéré ferait basculer l'affaire en compromission de distribution avérée en Europe.
3. La position d'Aqipa GmbH. Le silence du distributeur sur l'inspection des appareils expédiés à Saturn, Fnac-Darty et Boulanger est un trou qui va devoir se combler.
4. Trezor et Tangem. Les deux marques vendent via CryptoBilis en Asie du Sud-Est et ont suspendu leurs ventes là-bas, mais sans communiqué dédié sur de possibles implants. Trezor a par ailleurs annoncé cette semaine qu'il réduit son réseau de revendeurs après les récentes alertes sur la chaîne d'approvisionnement.
5. La prochaine mobilisation on-chain. Les clusters Specter et Bitquery sont silencieux depuis le gel Tether. Toute sortie de USDD ou passage vers un actif privé serait le signal à retenir.

Contexte

L'altération de chaîne d'approvisionnement sur portefeuille matériel est désormais un événement de perte confirmé à neuf chiffres, avec un canal de transmission documenté. L'empreinte retail dépasse CryptoBilis seul : MediaMarktSaturn retire Ledger de ses 11 pays par précaution, pas sur une compromission avérée en Europe — et c'est cette précaution qui fait partie de l'actualité. Pour l'acheteur de portefeuille matériel, toute marque confondue, l'hypothèse de travail passe de « un boîtier scellé d'un revendeur agréé est sûr » à « le Secure Element atteste la puce, pas le boîtier qui l'héberge ». Tant qu'un constructeur n'exposera pas une attestation physique côté utilisateur qui couvre la carte mère entière, chaque membre de la catégorie porte ce risque résiduel.