Ledger est la marque de portefeuille matériel la plus vendue au monde, et pour la plupart des utilisateurs, elle représente une amélioration significative de la sécurité par rapport au stockage des fonds sur des bourses ou dans des portefeuilles logiciels. Cependant, Ledger a fait face à de véritables controverses — une violation majeure des données clients en 2020, une attaque de la chaîne d’approvisionnement en 2023, et une controverse importante autour de la fonctionnalité Ledger Recover. Comprendre ces événements avec précision est essentiel pour prendre une décision éclairée quant à savoir si Ledger convient à votre modèle de sécurité.
Cet article vous donne une analyse de sécurité complète et honnête du matériel, des logiciels et de l’historique de Ledger.
L’architecture de sécurité fondamentale
La puce d’élément sécurisé
La fondation de la sécurité de Ledger est la puce Secure Element (SE). C’est la même catégorie de puce utilisée dans :
- Les cartes de paiement EMV (Visa, Mastercard)
- Les passeports électroniques
- Les cartes SIM
- Les cartes d’identité gouvernementales
Les Secure Elements sont des puces physiquement renforcées conçues pour résister à :
Les Nano X et Nano S Plus utilisent la puce Secure Element ST33K1M5 avec certification CC EAL5+. Les nouveaux modèles Stax et Flex utilisent une puce certifiée CC EAL6+, une norme plus élevée. À titre de comparaison, EAL6+ est le niveau requis pour les cartes à puce utilisées dans les programmes d’ID nationaux.
L’architecture à deux puces
Les appareils Ledger utilisent deux puces séparées :
Cette séparation est une caractéristique clé de la sécurité. Même si un attaquant compromet le MCU (qui exécute l’affichage et l’USB/Bluetooth), il ne peut pas accéder aux clés privées stockées dans le Secure Element sans casser la sécurité physique de cette puce.
Le MCU et le SE communiquent via un canal interne sécurisé. Le SE vérifie l’intégrité du MCU au démarrage — si le micrologiciel du MCU a été falsifié, le SE le détecte et alerte l’utilisateur.
CC EAL5+ vs EAL6+ : Qu’est-ce que cela signifie vraiment ?
Common Criteria (CC) est une norme internationale pour évaluer la sécurité des produits informatiques. L’échelle Evaluation Assurance Level (EAL) s’étend de EAL1 (le plus bas) à EAL7 (le plus élevé).
| Niveau | Description | Cas d’usage courants |
|---|---|---|
| EAL1 | Testé fonctionnellement | Électronique grand public basique |
| EAL2 | Testé structurellement | Certains produits de sécurité grand public |
| EAL3 | Testé méthodiquement | Certains systèmes bancaires |
| EAL4 | Conçu méthodiquement | La plupart des cartes de paiement |
| EAL5+ | Conception et test semi-formels | Ledger Nano X/S Plus, passeports |
| EAL6+ | Vérification semi-formelle de la conception | Ledger Stax/Flex, certains systèmes d’ID gouvernementaux |
| EAL7 | Vérification formelle | Systèmes de grade militaire |
La différence entre EAL5+ et EAL6+ est significative — EAL6+ nécessite une vérification formelle plus rigoureuse de la conception de la puce. Cependant, EAL5+ est déjà bien au-delà de ce que la plupart des appareils électroniques grand public réalisent et représente une défense réelle contre les attaques physiques sophistiquées.
La violation de données de 2020
En juillet 2020, la base de données de commerce électronique et de marketing de Ledger a été piratée. Environ 272 000 clients ont eu leurs noms complets, adresses e-mail, numéros de téléphone et adresses physiques exposés. Environ 1 million d’adresses e-mail ont également été divulguées.
Ce qui n’a PAS été exposé :
- Les phrases de récupération
- Les clés privées
- Les fonds
- Les détails des cartes de paiement
- Les mots de passe des comptes Ledger
L’attaque a ciblé la base de données marketing de Ledger, pas les appareils matériels eux-mêmes, la blockchain, ni aucune matière cryptographique. Personne n’a perdu de crypto à la suite directe de cette violation.
Ce qui a suivi : Les clients de Ledger ont été soumis à des attaques de phishing étendues et sophistiquées. Des criminels ont envoyé des lettres physiques aux adresses personnelles prétendant être de la part de Ledger et demandant des phrases de récupération. Des e-mails imitaient la marque de Ledger pour inciter les utilisateurs à entrer leur phrase d’amorce sur des faux sites Web.
Leçon clé : Le matériel n’a jamais été compromis. Mais la violation de données a créé une menace de phishing durable pour les clients affectés. Si vous étiez un client de Ledger avant 2020, vous restez à risque de phishing plus élevé et devriez rester vigilant.
L’attaque du kit Ledger Connect de 2023
En décembre 2023, un attaquant a compromis le paquet npm pour Ledger Connect Kit — une bibliothèque JavaScript utilisée par de nombreux sites Web DeFi pour se connecter aux appareils Ledger via WalletConnect. L’attaquant a injecté du code malveillant qui invitait les utilisateurs à entrer leurs phrases d’amorce via une fausse fenêtre modale.
Ce qui a été compromis : La couche DApp/navigateur — le JavaScript s’exécutant sur les sites Web
Ce qui n’a PAS été compromis : L’appareil matériel Ledger, le micrologiciel, ou le Secure Element
L’attaque a affecté les utilisateurs de plusieurs protocoles DeFi incluant SushiSwap et d’autres pendant une fenêtre d’environ 5 heures avant que Ledger ne corrige le paquet malveillant. Ledger a estimé qu’environ 600 000 $ en crypto ont été volés aux utilisateurs qui ont entré leurs phrases d’amorce dans l’invite factice.
Leçon clé : C’était une attaque de la chaîne d’approvisionnement logicielle sur la couche Web, pas sur le matériel Ledger. Le modèle de sécurité fondamental de l’appareil matériel n’a pas été brisé. Cependant, l’attaque a démontré le risque de connecter les portefeuilles matériels aux DApps basées sur le Web — vous faites confiance non seulement au matériel, mais à toute la pile Web. N’entrez jamais votre phrase d’amorce dans une interface Web, peu importe sa légitimité apparente.
La controverse de Ledger Recover (2023)
En mai 2023, Ledger a annoncé Ledger Recover — un service d’abonnement payant qui divise votre phrase d’amorce en trois fragments chiffrés en utilisant Shamir’s Secret Sharing et stocke chacun auprès d’une société de garde différente.
Cette annonce a créé une réaction négative importante pour une raison spécifique : elle a révélé que le micrologiciel de Ledger est capable d’extraire la phrase d’amorce du Secure Element et de la transmettre via Internet — quelque chose que de nombreux utilisateurs avaient supposé être architecturalement impossible.
Position de Ledger : Ledger Recover est volontaire et nécessite le consentement explicite de l’utilisateur. Le Secure Element protège toujours les clés ; Recover utilise simplement une capacité existante pour chiffrer et exporter la semence quand l’utilisateur le demande.
Position des critiques : L’existence de cette capacité signifie que les utilisateurs doivent faire confiance au fait que Ledger ne l’activera pas sans consentement, ou qu’une mise à jour du micrologiciel malveillante (ou une contrainte gouvernementale) ne pourrait pas la forcer-activer. Cela contredit les assurances précédentes de Ledger selon lesquelles les clés ne pourraient « jamais quitter l’appareil ».
La réalité de la sécurité : Ledger Recover représente effectivement un changement dans les hypothèses de sécurité pour les appareils Ledger. Les utilisateurs qui ont besoin de la certitude absolue que leurs clés ne peuvent jamais être exportées via Internet ont maintenant une raison légitime de reconsidérer. Les utilisateurs à l’aise avec la confiance envers l’implémentation de Ledger ne sont pas exposés à un risque supplémentaire de la part de Recover s’ils ne s’abonnent pas.
Pour une analyse complète de Ledger Recover, consultez notre guide dédié.
Statut open source
Le micrologiciel du Secure Element de Ledger est partiellement open source — Ledger cite les exigences de confiance avec le fabricant de puces (ST Microelectronics) comme raison. Le Ledger OS (BOLOS) et le code source des applications sont disponibles publiquement sur GitHub.
Cette approche partiellement open source signifie que les chercheurs en sécurité indépendants ne peuvent pas auditer complètement le micrologiciel s’exécutant sur le Secure Element. En contraste, l’intégralité du micrologiciel de Trezor est open source.
Ledger a mené des audits de sécurité auprès d’entreprises tierces, mais ceux-ci ne sont pas toujours complètement publiés. C’est une limitation réelle comparée aux alternatives entièrement open source.
Comparaison avec les concurrents
| Caractéristique de sécurité | Ledger Nano X | Ledger Stax | Trezor Safe 3 | Trezor Safe 5 |
|---|---|---|---|---|
| Secure Element | Oui (EAL5+) | Oui (EAL6+) | Oui (EAL6+) | Oui (EAL6+) |
| Micrologiciel open source | Partiel | Partiel | Complet | Complet |
| Option isolée du réseau | Non | Non | Non | Non |
| Support des phrases secrètes | Oui | Oui | Oui | Oui |
| Vérification de la chaîne d’approvisionnement | Vérification authentique | Vérification authentique | Vérification authentique | Vérification authentique |
| Écran pour vérification d’adresse | Oui | Oui | Oui | Oui |
Le micrologiciel complètement open source de Trezor est un avantage significatif pour les puristes de la sécurité. La conception du Secure Element de Ledger offre une protection physique plus forte contre les attaques d’extraction matérielle. Aucun n’est objectivement « plus sûr » pour chaque utilisateur — cela dépend de votre modèle de menace.
Verdict de sécurité pratique
Pour la grande majorité des utilisateurs de crypto, les portefeuilles matériels Ledger représentent un excellent choix de sécurité approprié. Le modèle de sécurité matérielle — avec un Secure Element, une confirmation par bouton physique et une vérification d’adresse sur l’écran de l’appareil — protège contre les menaces les plus courantes du monde réel : l’hameçonnage, les logiciels malveillants, les piratages d’échange et les vulnérabilités logicielles.
Les véritables risques pour les utilisateurs de Ledger n’ont pas provenu de compromis matériels mais de :
Dans tous les cas, le matériel lui-même n’était pas la vulnérabilité — l’ingénierie sociale et le comportement de l’utilisateur l’étaient. C’est en fait un argument en faveur de la solidité du matériel de Ledger : les attaquants le contournent plutôt que de le casser.
Le résumé : Ledger est un matériel sûr. Les menaces pour les utilisateurs de Ledger proviennent des couches logicielles et d’ingénierie sociale, pas des défauts dans le Secure Element ou l’implémentation cryptographique de l’appareil.
Questions fréquemment posées
Q : Quelqu’un a-t-il jamais eu sa crypto volée directement via un exploit matériel Ledger ?
Il n’y a pas de cas publiquement documentés de fonds volés via un exploit direct du Secure Element ou de la conception matérielle fondamentale de Ledger. Les vols chez les utilisateurs de Ledger ont impliqué l’hameçonnage, l’ingénierie sociale, et les utilisateurs révélant volontairement des phrases d’amorce.
Q : Dois-je être préoccupé par la violation de données de 2020 ?
Si vous étiez un client de Ledger avant la violation, restez vigilant face au phishing. Vos fonds n’ont jamais risqué d’être en danger du fait de la violation elle-même — seules vos informations de contact personnelles ont été exposées.
Q : Le Secure Element de Ledger est-il vraiment incassable ?
Aucun matériel n’est vraiment incassable avec un temps et des ressources illimités. La certification CC EAL5+/EAL6+ signifie qu’il est extrêmement résistant aux attaques physiques dernier cri, mais les chercheurs universitaires ont démontré des vulnérabilités théoriques dans les conceptions plus anciennes du Secure Element. En pratique, les attaques pratiques sur les Secure Elements certifiés modernes sont extrêmement sophistiquées et ne sont pas accessibles aux criminels ordinaires.
Q : Dois-je être préoccupé par le fait que le micrologiciel de Ledger puisse extraire ma phrase d’amorce ?
C’est une préoccupation légitime soulevée par l’annonce de Ledger Recover. Si c’est une préoccupation majeure pour vous, le micrologiciel et l’architecture entièrement open source de Trezor pourraient mieux correspondre à votre modèle de menace.
Q : Est-il plus sûr d’acheter un Ledger directement sur le site Web de Ledger ?
Oui — achetez toujours directement sur ledger.com ou auprès de revendeurs autorisés. Un appareil acheté d’occasion ou auprès d’un vendeur non autorisé peut avoir été altéré.
Q : Les autorités gouvernementales peuvent-elles forcer Ledger à accéder à mes fonds ?
Avec la configuration standard (sans abonnement Ledger Recover), vos fonds ne sont pas accessibles à Ledger ni à aucun tiers. Les clés existent uniquement sur votre appareil et dans votre sauvegarde de phrase de récupération. Avec Ledger Recover activé, les fragments de votre graine sont détenus par des tiers et pourraient théoriquement ��tre soumis à une contrainte légale.
Guides connexes :
