Le PDG de Ledger affirme que tout le monde se fait pirater !

Pascal Gauthier, PDG de Ledger, s'est exprimé sur Bloomberg Crypto le 10 novembre et a déclaré que tout le monde finirait par être victime d'un piratage à un moment ou à un autre. Il a ajouté que cela valait également pour Ledger, et que la situation en matière de menaces s'aggravait d'année en année.

C'est tout à fait juste en tant que constat. C'est un peu moins convaincant venant de celui dont l'entreprise commercialise un appareil conçu pour vous donner l'impression du contraire. Crypto X l'a remarqué en quelques heures.

La question derrière la réponse

Les animateurs Isabelle Lee et Tim Stenovec ont demandé comment Ledger pouvait rassurer ses clients après les événements d’octobre. Ils n’avaient pas tort. Le 9 octobre, des utilisateurs ayant acheté des Ledger via CryptoBilis, un revendeur agréé couvrant la Malaisie, l’Indonésie et les Philippines, ont commencé à signaler que leurs portefeuilles avaient été vidés. Le service d’assistance de Ledger a conseillé aux acheteurs de ce revendeur de ne pas configurer leurs appareils. Un jour plus tard, il a confirmé qu’au moins un appareil concerné contenait un implant matériel non autorisé.

Selon Ledger, cet implant copiait les phrases de récupération et les transmettait via une connexion mobile. L’élément sécurisé (Secure Element) lui-même n’a pas été compromis. La puce a donc rempli sa fonction. Tout ce qui l’entourait, en revanche, n’a pas fonctionné comme prévu.

Les estimations des pertes varient. Bitquery a chiffré le préjudice à environ 102 millions de dollars pour 324 portefeuilles dans sa mise à jour du 12 octobre, tandis que d’autres outils de suivi ont avancé des chiffres compris entre 72 et 93 millions de dollars. Gauthier a avancé le chiffre d’environ 90 millions de dollars sur Bloomberg. Tether a gelé environ 10 millions de dollars en USDT, et une partie des ETH volés est passée par Tornado Cash.

La défense des 0,01%

L’argument de Gauthier reposait sur un ratio. Selon lui, 90 millions de dollars représentent environ 0,01% de ce que Ledger protège, et sont bien inférieurs aux quelque 6 milliards de dollars perdus lors de la faille de Binance. BTC-ECHO estime ce piratage du 29 octobre à 6,4 milliards de dollars et indique que le FBI l’attribue à des pirates nord-coréens. D’autres médias parlent de 6,3 milliards de dollars. Quoi qu’il en soit, ce n’est pas une somme négligeable.

Il a également déclaré que les plateformes centralisées constituaient une cible de choix, car elles concentrent d’énormes quantités de cryptomonnaies en un seul endroit, citant notamment FTX et Bybit. Selon le résumé de Wu Blockchain, il a ajouté que le marché avait toujours besoin des banques et de Binance. D’un point de vue plus global, il a estimé le montant des vols de cryptomonnaies à environ 9 milliards de dollars l’année dernière et à environ 12 milliards de dollars depuis le début de l’année 2026, les attaques assistées par l’IA et, à terme, l’informatique quantique venant compliquer la situation.

Une mise en garde concernant ces chiffres. À première vue, 0,01% implique que Ledger sécurise environ 900 milliards de dollars, et ce dénominateur est une estimation de Ledger lui-même. Personne ne l’a vérifiée de manière indépendante.

Chronologie

L’article de BeInCrypto a attiré l’attention d’un large public, et les réactions n’ont pas été tendres. Un utilisateur, 0xdxve, a demandé pourquoi quelqu’un prendrait la peine de stocker des cryptomonnaies sur un Ledger si tout le monde se fait pirater de toute façon. Bert a qualifié cette déclaration d’étrange de la part du PDG d’un portefeuille matériel. Jeremy a déclaré qu’il miserait massivement à la baisse sur Ledger si l’entreprise était cotée en bourse. StarPlatinum a souligné que l’activité même de Ledger repose sur un appareil conçu pour empêcher les piratages.

Je comprends la colère. Mais je pense aussi qu’une grande partie de ces réactions passe à côté de ce qui s’est réellement passé. Il ne s’agissait pas d’une défaillance de la puce sécurisée. C’était une défaillance de la chaîne d’approvisionnement en amont du client, ce qui correspond au type d’attaque de processus dont Gauthier avait déjà parlé en 2019 comme étant à l’origine de la plupart des piratages de cryptomonnaies, selon une ancienne interview accordée à Breaker. Il a toujours été cohérent. Il a simplement choisi une semaine difficile pour rester cohérent.

Ce que Ledger n’a pas détecté à temps

La question la plus épineuse est celle de la rapidité. L’ancien PDG de Mt. Gox, Mark Karpelès, a publié le 16 septembre des photos d’un dispositif d’espionnage implanté dans un Nano X, plusieurs semaines avant la première alerte publique de Ledger. Lui et Gauthier se sont ensuite livrés à un échange de piques en public à ce sujet, selon BTC-ECHO.

Puis la nouvelle s’est répandue. Un client allemand ayant acheté un Nano X chez MediaMarkt a également signalé la présence d’un dispositif d’espionnage, et un autre acheteur, Johannes, a indiqué qu’un deuxième appareil provenant d’un autre magasin de la chaîne en était équipé. MediaMarktSaturn a suspendu les ventes de Ledger dans 11 pays le 13 octobre. Ledger affirme qu’aucune perte n’a été confirmée en dehors de l’Asie du Sud-Est, et The Block a rapporté qu’aucun fonds n’avait été perdu dans le cas allemand. Trezor a par la suite déclaré avoir trouvé un appareil altéré provenant du même revendeur CryptoBilis, selon 24/7 Wall St.

Les prochains produits de Ledger

M. Gauthier a consacré une bonne partie de l’interview au Ledger Atom, un téléphone sécurisé doté d’un écran fiable. Il a expliqué que l’entreprise l’avait lancé alors qu’elle était la cible d’attaques. Les livraisons sont prévues pour juillet 2027, selon l’article d’Incrypted. Ledger n’a pas précisé quand les ventes chez MediaMarkt Saturn reprendraient.