L'expert en sécurité matérielle Joe Grand, connu sous le pseudonyme Kingpin, a présenté lors de la conférence Hardwear.io 2026 à Santa Clara une analyse complète de la puce espion découverte à l'intérieur d'un Ledger Nano X contrefait. L'appareil a initialement fait surface en 2021 — des utilisateurs de Reddit se plaignaient de recevoir des portefeuilles contenant de l'électronique étrangère, les appareils eux-mêmes parvenant aux victimes via la fuite de la base de données Ledger de 2020 et les campagnes de phishing qui ont suivi.
Comment l'implant lit la phrase de récupération (seed)
Selon Grand, la carte implantée se connecte au bus SPI interne par lequel l'élément sécurisé (Secure Element) du Nano X transmet les données à l'écran OLED de l'appareil. L'implant intercepte ce trafic et, à l'aide d'un mécanisme intégré de reconnaissance de motifs, associe les données transmises aux images de lettres — c'est ainsi qu'il « lit » les mots que le propriétaire voit sur l'écran lors de la génération ou de la récupération du portefeuille. La phrase de récupération extraite est sauvegardée dans la mémoire flash de la puce, puis transmise vers l'extérieur — non pas via le Wi-Fi ou le Bluetooth, mais via le réseau cellulaire de quatrième génération, pour lequel l'implant intègre son propre modem et une eSIM.
Pour placer l'électronique supplémentaire à l'intérieur du boîtier, les malfaiteurs ont réduit la taille de la batterie et remplacé le thermistor d'origine par une résistance fixe — cela permet à l'indicateur de charge d'afficher toujours 100%, masquant l'ingénierie.
Pas le premier cas avec des portefeuilles matériels
Grand a rappelé que de telles attaques sur la chaîne d'approvisionnement ne concernaient pas seulement Ledger. Un schéma similaire avait été identifié auparavant avec le Trezor One et le Trezor Model T — dans ces appareils, le microcontrôleur verrouillé d'origine était remplacé par une version déverrouillée avec un micrologiciel malveillant, qui générait des phrases de récupération non pas aléatoires, mais préalablement connues des attaquants. Les appareils contrefaits étaient vendus via des places de marché russes.
La compromission se produit au stade de la vente — l'acheteur reçoit un appareil physiquement modifié au lieu de l'original
Extérieurement, ces portefeuilles sont presque indiscernables des vrais — la contrefaçon n'est trahie que par des détails mineurs d'assemblage
Les données sont volées non pas via l'interface USB ou l'application, mais par un canal de communication caché, indépendant de l'ordinateur de la victime
Le chercheur a noté que de nouvelles modifications de l'implant avaient déjà été enregistrées — ce qui signifie que les attaquants continuent d'améliorer le schéma. Comme prochaines étapes, Grand prévoit d'intercepter et de décrypter le trafic cellulaire échangé par la puce, afin d'en savoir plus sur les responsables de l'attaque et son efficacité.
Les conseils de Ledger
La société recommande aux propriétaires de vérifier l'apparence de l'appareil avec des photos de référence et d'acheter les portefeuilles uniquement directement auprès du fabricant ou des revendeurs agréés, et non via des places de marché et des intermédiaires. Ledger a également déclaré envisager des mesures de protection physique supplémentaires pour ses futurs produits.
La question reste ouverte de savoir si l'appareil infecté a passé le contrôle d'authenticité standard du Secure Element lors de la connexion à l'application Ledger Live — ce point n'est pas éclairci dans la présentation de Grand. À en juger par la mécanique d'attaque décrite, l'implant intercepte passivement les données sur le bus SPI entre l'élément sécurisé et l'écran, sans interférer avec la puce elle-même, donc la vérification aurait pu s'effectuer indépendamment du fonctionnement du module espion.
L'histoire de l'implant dans le Nano X montre que le risque ne concerne pas la partie logicielle du portefeuille, mais la chaîne d'approvisionnement physique elle-même — de l'usine à la boîte aux lettres de l'acheteur. Même une application fonctionnant correctement et un écran authentique ne garantissent pas l'absence d'électronique étrangère à l'intérieur du boîtier.
Les portefeuilles matériels Ledger sont librement vendus sur les places de marché russes.
Avis de l'IA
D'un point de vue d'analyse de données automatisée, l'histoire de l'implant dans le Ledger Nano X n'est qu'une facette d'un problème plus large de confiance dans les portefeuilles matériels. La vulnérabilité ici a touché le canal physique de transmission de la phrase de récupération via le bus SPI, mais un effet similaire en termes de conséquences peut provenir d'un défaut au niveau du micrologiciel : dans le portefeuille Coldcard, une erreur vieille de cinq ans dans le générateur de nombres aléatoires a conduit à des clés prévisibles et à des pertes de centaines de millions de dollars. La situation démontre que la protection de la phrase de récupération ne repose pas sur un seul maillon — fabricant de puce, canal d'approvisionnement ou code du micrologiciel — mais sur l'ensemble de la chaîne simultanément.
L'aspect technique qui reste hors du champ de l'article est la vérification indépendante de l'intégrité du Secure Element lors de la connexion à l'application Ledger Live. Dans quelle mesure un tel mécanisme est-il fiable contre un intercepteur passif qui n'interfère pas avec le fonctionnement de la puce elle-même ?
