🔍 Contexte

Publication de Tibane Labs (octobre 2026) documentant une investigation sur des Ledger Nano X falsifiés équipés d’implants matériels conçus pour voler les phrases de récupération (seed phrases) des portefeuilles crypto. L’investigation couvre trois générations de dispositifs, de août 2025 à septembre 2026.

🛠️ Mécanisme d’attaque

Les implants interceptent le bus SPI entre l’élément sécurisé et l’écran OLED du Ledger Nano X. Un microcontrôleur embarqué effectue une reconnaissance optique des glyphes affichés, reconstitue les 24 mots de récupération, les stocke en flash, puis les exfiltre via un modem LTE cellulaire avec eSIM.

📦 Trois générations documentées

Génération 1 (prototype, août 2025) :

  • Carte additionnelle verte collée dans le boîtier, câblage cuivre émaillé artisanal
  • MCU ARM Cortex-M0+ non marqué (QFN-20, 3×3 mm)
  • Modem LTE : Luat Air700E, eSIM MFF2 (profil Vodafone NL DATA ONLY), antenne bobinée 8 cm
  • Batterie réduite à 70 mAh, résistance NTC fixe 10 kΩ, jauge de batterie court-circuitée
  • Présenté par Joe Grand (Grand Idea Studio) à hardwear.io USA 2026

Génération 2 (Specimen A, Yahoo! Auctions Japon) :

  • Flex circuit polyimide (Kapton) personnalisé, sérigraphié (U1–U4, R14, C14)
  • Connexion sur les test pads GND, VBAT et SPI display du Nano X
  • MCU : STM32G431KBU6 (ARM Cortex-M4, 128 KB flash, UFQFPN-32), marquage intact, daté semaine 51/2025
  • eSIM 2×2 mm (8 pads), module LTE blindé, antenne plate imprimée
  • Batterie de remplacement sans circuit de protection

Génération 3 (Specimen B, Amazon Japan, vendeur Chine, expédié depuis Malaisie) :

  • Flex PCB orange recouvert de peinture noire assortie au Ledger
  • Marquages MCU et eSIM abrasés pour empêcher l’identification
  • Batterie originale conservée (espace libéré en retirant la mousse derrière l’OLED)
  • Modem : Nordic Semiconductor nRF9151 (LTE-M/NB-IoT), lot daté semaine 39/2025
  • eSIM MFF2 5×6 mm, MCU QFN haute densité (non identifiable)
  • Antenne personnalisée AC-A2016-NANO-V1.1, L-shaped, conçue spécifiquement pour le Nano X
  • Conception optimisée pour installation en série (auto-alignement par découpe)

💰 Impact financier et incident CryptoBilis

Le 9 octobre 2026, Ledger suspend CryptoBilis, revendeur autorisé en Malaisie, Indonésie et Philippines, suite à des signalements de fonds volés. Les pertes estimées dépassent 86 millions de dollars (Bitcoin, Ethereum, Tron) selon l’investigateur on-chain Specter ; tanuki42 lie plus de 72 millions à huit adresses. CryptoBilis aurait changé de propriétaire début 2026, avec un actionnaire basé en Chine selon des captures non vérifiées.

🌐 Éléments géographiques et supply chain

  • Specimen B expédié depuis la Malaisie, vendu par un tiers basé en Chine sur Amazon Japan
  • Specimen A probablement distribué via un revendeur japonais (tenbaiyā) sans connaissance du contenu
  • Tibane Labs note une coïncidence géographique entre CryptoBilis (Malaisie) et l’expédition de Specimen B, sans établir de lien formel

📄 Nature de l’article

Publication de recherche technique et d’investigation matérielle (hardware teardown) par Tibane Labs, documentant l’évolution d’une supply chain attack ciblant les portefeuilles hardware crypto, avec analyse forensique des trois générations d’implants.

🧠 TTPs et IOCs détectés

TTP

  • T1195.003 — Supply Chain Compromise: Compromise Hardware Supply Chain (Initial Access)
  • T1056 — Input Capture (Collection)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1025 — Data from Removable Media (Collection)
  • T1020 — Automated Exfiltration (Exfiltration)

Malware / Outils

  • Ledger Nano X Hardware Implant Gen1 (other)
  • Ledger Nano X Hardware Implant Gen2 (other)
  • Ledger Nano X Hardware Implant Gen3 (other)

🟡 Indice de vérification factuelle : 40/100 (moyenne)

  • ⬜ tibane.net — source non référencée (0pts)
  • ✅ 13435 chars — texte complet (fulltext extrait) (15pts)
  • ⬜ aucun IOC extrait (0pts)
  • ⬜ pas d’IOC à vérifier (0pts)
  • ✅ 5 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.tibane.net/research/ledger-nano-x-implant