Fin août 2026, une vive controverse a opposé Ledger à la société de cybersécurité TestMachine autour d’une vulnérabilité dans l’application Ethereum du fabricant français de hardware wallets (portefeuilles physiques de cryptomonnaies). Le directeur technique Charles Guillemet affirme qu’un correctif était déjà déployé avant toute divulgation publique, mais l’absence de bulletin de sécurité officiel continue d’alimenter la méfiance des utilisateurs et de la communauté crypto.
🔑 En bref
- Une faille de type race condition (concurrence) affectait le mécanisme de clear signing de l’application Ethereum de Ledger.
- Le correctif a été intégré à la version 1.22.2, publiée le 12 août 2026, avant la divulgation publique de TestMachine.
- Le CTO Charles Guillemet accuse TestMachine de chercher à « créer de la peur pour attirer l’attention ».
- Aucun bulletin de sécurité numéroté n’a été publié par l’équipe Donjon pour cette faille précise.
- Ledger recommande de mettre à jour l’application Ethereum sur l’appareil physique lui-même, et pas seulement l’interface Ledger Live.
La nature de la vulnérabilité
Le bug concernait les flux dits de clear signing, un mécanisme permettant d’afficher les détails d’une transaction sous une forme lisible sur l’écran de l’appareil Ledger, plutôt que sous forme de données brutes hexadécimales illisibles. D’après les explications de TestMachine, un site malveillant aurait pu transmettre une seconde commande à l’appareil pendant que l’utilisateur consultait encore les informations de la première transaction.
Le problème technique provenait d’une condition de concurrence sur les commandes APDU (Application Protocol Data Unit), le protocole de communication entre le logiciel hôte et l’application Ethereum tournant sur le secure element (puce sécurisée) de l’appareil Ledger. Concrètement, une application décentralisée (dApp) malveillante aurait pu substituer une transaction légitime par une autre pendant le processus de signature. Un utilisateur aurait ainsi pu croire approuver un transfert de faible montant alors qu’il accordait en réalité une approbation illimitée de ses jetons à une adresse contrôlée par un attaquant.
« Ensuite, ils ont publié un thread laissant entendre que le problème n’est pas résolu. Ce n’est pas le cas. Ce n’est pas de la recherche en sécurité. C’est créer de la peur pour attirer l’attention. »
Charles Guillemet, CTO de Ledger
Pour mesurer l’enjeu, Chainalysis estime que les attaques par hameçonnage d’approbation ont causé environ un milliard de dollars de pertes depuis mai 2021, ce qui place ce vecteur parmi les plus lucratifs du paysage crypto.
La riposte du CTO de Ledger
Charles Guillemet a répondu publiquement sur le réseau social X le 23 août 2026. Il a déclaré que la vulnérabilité avait été découverte en interne par l’équipe Donjon, la cellule de recherche offensive de Ledger, à l’aide d’outils d’intelligence artificielle dédiés à la recherche de failles. Selon lui, le correctif avait été intégré à la version 1.22.2 de l’application Ethereum, publiée le 12 août, soit environ dix jours avant la publication des conclusions de TestMachine.
Le CTO a reproché à TestMachine de ne pas avoir respecté les principes de divulgation responsable (responsible disclosure). Il a assuré que la société avait contacté le programme de bug bounty de Ledger après le déploiement du correctif, sans jamais échanger véritablement avec l’équipe dédiée. De son côté, TestMachine a indiqué avoir découvert la faille via son propre agent IA nommé Azimuth lors d’un scan autonome, l’avoir validée sur un Ledger Flex, puis avoir refusé toute récompense du programme de bug bounty.
TestMachine a par ailleurs affirmé que le code partagé rendait potentiellement d’autres modèles Ledger concernés, notamment les Nano X, Nano S Plus, Stax et Apex. Ces affirmations n’ont pas été vérifiées de manière indépendante par un tiers.
Une communication officielle critiquée
Plusieurs éléments ont alimenté les interrogations au sein de la communauté. Le journal des modifications (changelog) de la version 1.22.2 mentionnait uniquement « Security issues » sans plus de détail. Aucun bulletin de sécurité numéroté n’a été publié par l’équipe Donjon pour cette faille précise, alors que cette équipe en a déjà émis 22 par le passé.
| Date | Événement |
|---|---|
| Avant le 12 août 2026 | Découverte de la faille en interne par l’équipe Donjon |
| 12 août 2026 | Publication de la version 1.22.2 intégrant le correctif |
| 22 août 2026 | TestMachine contacte le bug bounty après le correctif |
| 23 août 2026 | Tweet de Charles Guillemet accusant TestMachine |
| Fin août 2026 | Publication des détails par TestMachine sur X |
| 24 août 2026 | Aucun cas de fonds volés vérifié à cette date |
Des utilisateurs ont relevé ce manque de communication en réponse au tweet du CTO, demandant à voir un communiqué informant les clients de cette mise à jour critique. Aucun rapport vérifié de fonds volés via cette vulnérabilité spécifique n’avait émergé au 24 août 2026. Ledger a vendu plus de sept millions d’appareils dans 180 pays, ce qui rend la question de la communication particulièrement sensible à grande échelle.
Le contexte du clear signing chez Ledger
Cette vulnérabilité frappe un domaine stratégique pour Ledger. L’entreprise a investi considérablement dans le développement du clear signing comme fonctionnalité par défaut, incluant un travail préalable avec le standard ERC-7730 visant à standardiser l’affichage des données de transaction sur les hardware wallets. Ledger a contribué à l’élaboration de ce standard avant que sa gestion ne soit confiée à la Ethereum Foundation.
L’incident s’inscrit dans un contexte où Ledger a déjà été confronté à d’autres alertes ces derniers mois, notamment des cas de faux signataires au sein de son service Recover. Un incident distinct impliquant l’application Zilliqa native de Ledger avait également exposé des clés privées après environ cinq transactions, mais il s’agit d’une vulnérabilité séparée, sans lien direct avec la faille Ethereum.
Recommandations pour les détenteurs d’appareils Ledger
- Vérifier la version de l’application Ethereum dans Ledger Live et s’assurer qu’elle est bien en 1.22.2 ou ultérieure.
- Mettre à jour l’application sur l’appareil physique lui-même, et pas seulement l’interface Ledger Live sur ordinateur ou mobile.
- Toujours relire les détails de la transaction directement sur l’écran sécurisé de l’appareil avant de signer.
- Éviter le blind signing (signature de données illisibles) lorsque c’est possible, car l’appareil ne peut pas toujours décoder chaque action d’un smart contract sous un format lisible.
- Révoquer les anciennes approbations via des outils comme revoke.cash afin de limiter la surface d’attaque.
Conclusion
L’épisode illustre la tension structurelle entre les laboratoires de sécurité externes et les éditeurs de hardware wallets, dans un marché où la confiance vaut plus que le matériel lui-même. La présence d’un correctif préalable est un point positif pour Ledger, mais l’absence de bulletin de sécurité numéroté et de communication proactive laisse un vide que TestMachine a rapidement occupé. À moyen terme, l’adoption plus large du standard ERC-7730 et une plus grande transparence sur les bulletins Donjon pourraient réduire ce type de friction, à condition que les deux parties acceptent un calendrier de divulgation clair.
Pour les utilisateurs, la priorité reste inchangée : tenir à jour le firmware (micrologiciel) et les applications de leur appareil, lire chaque transaction sur l’écran sécurisé, et limiter le recours au blind signing. Dans un secteur où 1 milliard de dollars ont été perdus en attaques d’approbation depuis 2021, ces réflexes restent la première ligne de défense.
Sources
- CryptoAst — Ledger dément une faille critique sur son app Ethereum
- Crypto Briefing — Ledger Ethereum app vulnerability fix
- CryptoNews — Ledger security
- BeInCrypto — Zilliqa et Ledger
- CoinAcademy — Ledger faille critique
- GitHub LedgerHQ/app-ethereum
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
