Le 10 octobre 2026, puis le 13 octobre, l’entreprise française Ledger a confirmé sur ses comptes officiels qu’un nombre encore indéterminé de ses portefeuilles physiques Nano X, commercialisés par un revendeur basé en Asie du Sud-Est du nom de CryptoBilis, avaient été trafiqués avant leur livraison : un implant y a été ajouté pour capter la phrase de récupération secrète de vingt-quatre mots définie par l’utilisateur au moment de la configuration, et la transmettre aux auteurs de la manipulation, selon les informations publiées le 15 octobre 2026 par franceinfo. L’entreprise a demandé à ses revendeurs officiels présents en Indonésie, à Singapour, en Thaïlande, aux Philippines, au Vietnam, en Malaisie et à Hong Kong de suspendre leurs ventes et leurs expéditions le temps de l’enquête, tandis que le revendeur mis en cause assure coopérer avec les investigations. Les canaux de distribution propres de Ledger ne seraient pas concernés, d’après l’entreprise, et aucun signe de manipulation n’aurait été détecté en Europe à la date de rédaction, toujours selon les mêmes déclarations.

La réponse tient en trois constats. D’abord, chaque professionnel de la chaîne doit prouver sa propre situation : le revendeur qui détient des appareils en stock, le distributeur qui en a déjà livré à des entreprises clientes, la société dont la trésorerie ou les encaissements transitent par l’un de ces portefeuilles, le prestataire payé en cryptoactifs dont le règlement devient introuvable. Ensuite, chacun doit agir par écrit et sans attendre : isoler les appareils suspects, migrer les fonds vers des supports sains, notifier le cocontractant et l’assureur, conserver les preuves de chaque opération, car les délais de garantie et les contrats d’assurance imposent des démarches rapides dont l’omission peut coûter le recours. Enfin, l’incident ne désigne à lui seul aucun responsable et ne chiffre aucun préjudice : les montants avancés par des tiers, dont une estimation à 102 millions de dollars pour plus de trois cents comptes avancée par la société d’analyse Bitquery, ne sont pas confirmés par Ledger, la cause exacte et le stade de la compromission restent à déterminer par l’enquête, et les contrats signés priment sur toute analyse générale. Seul le juge, pièces en main, peut dire qui doit quoi à qui.

I. Une compromission en amont qui se propage à toute la chaîne

A. Ce que Ledger a confirmé les 10 et 13 octobre 2026

Tout est parti d’alertes publiées par des utilisateurs qui, après avoir ouvert leur appareil, y ont découvert des composants électroniques inattendus. Le 10 octobre 2026, le compte d’assistance officiel de Ledger a indiqué sur le réseau X enquêter sur des signalements de fonds disparus émanant d’utilisateurs en Asie du Sud-Est, et a demandé par précaution au revendeur CryptoBilis de suspendre ses ventes et ses expéditions d’appareils Ledger, selon franceinfo. Le 13 octobre, le compte principal de l’entreprise a détaillé le mécanisme : chaque portefeuille concerné aurait été trafiqué pour y intégrer un implant qui capte la phrase de récupération secrète, cette suite de vingt-quatre mots qui permet de régénérer l’intégralité d’un portefeuille, et la communique aux voleurs. D’après la presse américaine citant les mises à jour de l’équipe de sécurité de Ledger, l’implant lirait la phrase affichée à l’écran lors de la configuration et la transmettrait ensuite par une connexion cellulaire.

Trois limites doivent être posées avec netteté, car elles commandent toutes les décisions qui suivent. Premièrement, Ledger n’a communiqué aucun montant officiel de cryptoactifs dérobés et n’a pas confirmé les estimations circulant en ligne : la société Bitquery avance 102 millions de dollars pour plus de trois cents comptes, un enquêteur indépendant cité par la presse évoque près de 87 millions répartis sur les réseaux Bitcoin, Ethereum et Tron, mais ces chiffres restent, à la date de rédaction, des estimations de tiers que l’entreprise n’a pas validées. Deuxièmement, la cause exacte, le nombre de clients touchés et l’étape à laquelle les implants ont été ajoutés ne sont pas établis : l’enquête doit encore déterminer ces points, et le revendeur mis en cause assure coopérer. Troisièmement, la portée géographique reste circonscrite aux déclarations officielles : les appareils vendus par les canaux propres de Ledger ne seraient pas concernés, des alertes apparues en Europe n’ont donné lieu à aucune confirmation de manipulation sur le continent, et l’entreprise met à disposition un guide de vérification de l’appareil, en précisant que toute ouverture ou inspection annule la garantie.

Pour les professionnels français, la conséquence est double. Ceux qui se sont fournis directement auprès de Ledger ou de ses revendeurs agréés en France ne sont pas visés par les communications officielles à ce stade, mais ils ne peuvent pas s’en contenter : leurs propres clients, leurs propres stocks et leurs propres flux peuvent avoir croisé, en amont ou en aval, des appareils issus du circuit suspecté. Et ceux qui ont acheté ou revendu des appareils d’origine incertaine, sur des places de marché ou auprès d’intermédiaires non agréés, se trouvent dans la zone d’incertitude maximale, celle où chaque jour sans vérification aggrave le risque. C’est cette propagation en cascade, du revendeur asiatique vers les distributeurs européens puis vers les entreprises utilisatrices, qui fait de cet incident un cas d’école de l’effet domino contractuel.

B. Les deux maillons professionnels directement exposés

Le premier maillon est celui des revendeurs et distributeurs. En France, les portefeuilles Ledger se vendent dans les grandes enseignes, sur les places de marché et chez des revendeurs spécialisés, comme en témoignent les requêtes mesurées par Google Ads qui associent la marque aux noms des principaux distributeurs. Tout professionnel qui détient de tels appareils en stock, qui en a livré à des clients professionnels ou qui en assure le service après-vente est désormais comptable de trois questions : d’où viennent exactement ses appareils, à qui les a-t-il vendus, et qu’a-t-il dit ou écrit à ses clients depuis le 10 octobre. Le concurrent Trezor vient d’ailleurs d’illustrer la sensibilité du sujet : selon la presse du 13 octobre 2026, ce fabricant a écrit à une partie de ses revendeurs pour leur retirer leur autorisation à compter du 1er janvier 2027 et cesser de les approvisionner, tout en les autorisant à écouler leurs stocks jusqu’à la période des fêtes, en invoquant une attaque récente de la chaîne d’approvisionnement visant, sans la nommer, une autre marque de portefeuille physique. Cette décision, qui est le fait de Trezor et n’engage que lui, montre comment un incident chez un fabricant se répercute mécaniquement sur les contrats de distribution de tout un secteur : autorisations retirées, stocks à écouler, clients à informer.

Le second maillon est celui des entreprises clientes, plus hétérogène et souvent moins conscient de son exposition. Il s’agit d’abord des sociétés qui placent une partie de leur trésorerie en cryptoactifs et la conservent sur des portefeuilles physiques, pratique qui s’est banalisée avec la professionnalisation du secteur. Il s’agit ensuite des commerçants et prestataires qui acceptent d’être payés en cryptoactifs ou qui règlent leurs propres fournisseurs par ce canal, et dont les flux transitent par ces appareils. Il s’agit enfin des prestataires informatiques, intégrateurs et conseillers qui ont recommandé, installé ou configuré de tels portefeuilles pour le compte de leurs clients, et dont la responsabilité professionnelle peut être interrogée si le dispositif conseillé se révèle compromis. Pour chacune de ces entreprises, l’incident soulève la même série de questions pratiques : l’appareil utilisé provient-il du circuit suspecté, les fonds sont-ils encore là, qui peut le prouver, et à qui faut-il le déclarer.

Le droit français applicable à cette chaîne est d’abord celui des produits. L’article 1245 du code civil dispose que « Le producteur est responsable du dommage causé par un défaut de son produit, qu’il soit ou non lié par un contrat avec la victime. » L’article 1245-3 du même code précise qu’« Un produit est défectueux au sens du présent chapitre lorsqu’il n’offre pas la sécurité à laquelle on peut légitimement s’attendre. Dans l’appréciation de la sécurité à laquelle on peut légitimement s’attendre, il doit être tenu compte de toutes les circonstances et notamment de la présentation du produit, de l’usage qui peut en être raisonnablement attendu et du moment de sa mise en circulation. » Un portefeuille physique dont un exemplaire livré communique la phrase de récupération à des tiers pourrait, s’il était établi qu’il est issu de la fabrication, ne pas offrir la sécurité à laquelle on peut légitimement s’attendre. Mais la nuance est décisive : si la compromission résulte d’une manipulation postérieure à la mise en circulation, par un tiers dans la chaîne de distribution, le débat se déplace vers la responsabilité de ce tiers et vers les obligations propres de chaque vendeur, et non vers un défaut originel du fabricant. C’est pourquoi la détermination de l’étape à laquelle les implants ont été ajoutés, que l’enquête doit encore établir, conditionne toute la suite du raisonnement juridique.

Le même chapitre du code civil règle le sort des intermédiaires. L’article 1245-5 prévoit qu’« Est assimilée à un producteur pour l’application du présent chapitre toute personne agissant à titre professionnel : 1° Qui se présente comme producteur en apposant sur le produit son nom, sa marque ou un autre signe distinctif ; 2° Qui importe un produit dans la Communauté européenne en vue d’une vente, d’une location, avec ou sans promesse de vente, ou de toute autre forme de distribution. » Un revendeur qui aurait importé en Europe des appareils destinés à la vente pourrait ainsi, selon les circonstances, se voir appliquer le régime de la responsabilité sans faute du producteur, avec les mêmes exonérations limitativement prévues par la loi. La jurisprudence donne la mesure de ces débats : dans un arrêt du 21 octobre 2020 (pourvoi numéro 19-18.689), la première chambre civile de la Cour de cassation a rappelé que le régime issu de la loi du 19 mai 1998 institue « un régime de responsabilité sans faute du producteur du fait d’un produit défectueux », et a précisé que la date de mise en circulation du produit « s’entend, dans le cas de produits fabriqués en série, de la date de commercialisation du lot dont il faisait partie ». Pour les appareils concernés, l’identification du lot, du canal d’importation et de la date de commercialisation sera donc déterminante, et chaque maillon doit dès aujourd’hui réunir les documents qui permettront de les établir : factures d’achat, bons de livraison, numéros de série, correspondances avec le fournisseur.

À côté de ce régime spécial, le droit commun de la vente s’applique entre professionnels. L’article 1641 du code civil dispose que « Le vendeur est tenu de la garantie à raison des défauts cachés de la chose vendue qui la rendent impropre à l’usage auquel on la destine, ou qui diminuent tellement cet usage que l’acheteur ne l’aurait pas acquise, ou n’en aurait donné qu’un moindre prix, s’il les avait connus. » Un implant dissimulé qui capte la phrase de récupération correspondrait, s’il était établi, à la définition même du vice caché : indécelable par un examen ordinaire, puisqu’il faut ouvrir l’appareil pour le découvrir, et rendant la chose impropre à son usage, qui est précisément de conserver des secrets. Deux bornes encadrent toutefois l’action : l’article 1642 dispose que « Le vendeur n’est pas tenu des vices apparents et dont l’acheteur a pu se convaincre lui-même. », ce qui exclut la garantie pour les défauts visibles, ce qui ne devrait pas faire obstacle ici tant l’implant est par hypothèse occulte, et l’article 1648 impose d’agir « dans un délai de deux ans à compter de la découverte du vice ». La découverte pouvant résulter des communications officielles des 10 et 13 octobre 2026, les entreprises avisées feront courir leur calendrier à partir de dates écrites et conservées. La Cour de cassation a d’ailleurs eu à trancher un litige entre professionnels sur la garantie des vices cachés dans un arrêt de sa chambre commerciale du 5 juillet 2023 (pourvoi numéro 22-11.621), où le débat portait précisément sur ce que le vendeur professionnel savait ou aurait dû savoir du vice allégué : la qualité de professionnel des deux parties n’éteint pas le débat sur la garantie, elle le déplace sur la preuve de la connaissance du vice et sur les clauses du contrat.

II. La carte des décisions, preuves à l’appui

A. Revendeurs et distributeurs : stocks, information des clients, retrait et traçabilité

La première décision du revendeur porte sur ses stocks. Tout appareil dont la provenance croise, même indirectement, le circuit suspecté doit être isolé physiquement et comptablement : mise à l’écart dans un emplacement identifié, suspension de toute vente et de toute expédition, inventaire précis avec numéros de série, dates de réception et identité du fournisseur pour chaque lot. Cette discipline n’est pas seulement commerciale : l’article L423-3 du code de la consommation dispose que « Lorsque des mesures de retrait ou de rappel sont mises en œuvre, les opérateurs économiques établissent et maintiennent à jour un état chiffré des produits retirés ou rappelés, qu’ils tiennent à la disposition des agents habilités. » Or l’article L421-1 du même code range expressément parmi les opérateurs économiques « le fabricant, le mandataire, l’importateur, le distributeur », ainsi que toute personne soumise à des obligations liées à la mise à disposition des produits sur le marché. Un distributeur français qui aurait importé ou fait importer des appareils ne peut donc pas se considérer comme un simple intermédiaire extérieur au dispositif de sécurité des produits : il doit être en mesure de dire combien d’appareils il a reçus, combien il en a vendus, à qui, et combien il en a retirés.

La deuxième décision concerne l’information des clients déjà livrés. Le vendeur professionnel est tenu d’une obligation d’information et de conseil inhérente au contrat de vente, que la Cour de cassation sanctionne avec constance : dans un arrêt du 19 juin 2024 (pourvoi numéro 21-19.972), la première chambre civile a retenu qu’une société venderesse avait « méconnu l’obligation d’information et de conseil, inhérente au contrat de vente », pour n’avoir pas informé un acheteur profane d’éléments qu’elle connaissait ou aurait dû connaître, en visant à la fois l’obligation générale de sécurité des produits et services et l’inexécution contractuelle. Transposée à notre situation, la leçon est directe : le revendeur qui a connaissance, par les communications officielles des 10 et 13 octobre 2026, d’un risque de compromission affectant les appareils qu’il a vendus, et qui n’en avertit pas ses clients professionnels, s’expose à se voir reprocher ce silence si des fonds disparaissent ensuite. Concrètement, il lui faut écrire à chaque client professionnel livré d’appareils potentiellement concernés : décrire le risque tel que Ledger l’a communiqué, sans l’amplifier ni le minimiser, renvoyer vers le guide officiel de vérification, recommander le transfert des fonds vers un support sain et conserver la preuve de chaque envoi. Cette lettre ne reconnaît aucune responsabilité : elle exécute une obligation d’information, et son absence serait bien plus dangereuse que sa rédaction.

La troisième décision est contractuelle et se joue en amont, avec le propre fournisseur du revendeur. Les conditions générales d’achat, les contrats de distribution et les garanties du fournisseur doivent être relus ligne à ligne : garantie de conformité des produits livrés, garantie d’origine et de chaîne d’approvisionnement, obligation de traçabilité par lot, clause de rappel et de retrait avec répartition des coûts, assurance du fournisseur, clause attributive de juridiction et droit applicable lorsque le fournisseur est établi hors d’Europe. L’article L217-3 du code de la consommation dispose que « Le vendeur délivre un bien conforme au contrat ainsi qu’aux critères énoncés à l’article L. 217-5 . Il répond des défauts de conformité existant au moment de la délivrance du bien au sens de l’article L. 216-1 , qui apparaissent dans un délai de deux ans à compter de celle-ci. » Si ce régime légal de la conformité protège d’abord le consommateur, les contrats entre professionnels reprennent le plus souvent une logique équivalente, et c’est sur le fondement de son propre contrat d’approvisionnement que le revendeur devra se retourner contre son fournisseur pour obtenir le remboursement des appareils retirés, la prise en charge des coûts d’information et, le cas échéant, la garantie des condamnations qu’il subirait du fait de ses propres clients. La mise en demeure du fournisseur doit donc partir vite, par écrit, avec l’inventaire des lots suspects et la référence aux clauses invoquées, car c’est elle qui fait courir les délais et fige la position du revendeur.

La quatrième décision est celle de la preuve face aux autorités et aux assureurs. En cas de contrôle, le distributeur devra produire l’état chiffré de ses retraits, ses registres d’achat et de vente, et la traçabilité de ses lots ; en cas de déclaration de sinistre, son assureur responsabilité civile professionnelle lui demandera les mêmes pièces, plus la démonstration des mesures prises dès la connaissance du risque. Les professionnels qui souhaitent être accompagnés sur ces contrats de distribution et ces partages de responsabilités peuvent se tourner vers l’accompagnement des entreprises sur leurs contrats de distribution et leurs contentieux entre professionnels proposé par le cabinet, qui décrit les interventions du cabinet en droit des affaires. Chaque courrier, chaque inventaire, chaque accusé de réception compte : dans un contentieux de chaîne, celui qui documente gagne le plus souvent contre celui qui raconte.

B. Entreprises clientes : isoler les fonds, prouver le préjudice, déclarer et agir

Pour l’entreprise qui utilise l’un de ces portefeuilles, la première urgence est patrimoniale : vérifier si des fonds ont disparu, puis empêcher toute disparition supplémentaire. La marche à suivre recommandée par le fabricant lui-même consiste à ne pas configurer un appareil issu du circuit suspecté et, pour un appareil déjà configuré, à transférer les actifs vers un nouveau support sain doté d’une nouvelle phrase de récupération. D’un point de vue probatoire, chaque étape doit laisser une trace : captures datées des soldes avant et après transfert, relevés des adresses utilisées, horodatage des opérations, conservation de l’appareil suspecté sans le réinitialiser ni le détruire, car il constitue la pièce centrale d’une éventuelle expertise. La tentation de vérifier soi-même l’intérieur de l’appareil doit être mesurée à l’avertissement officiel : selon Ledger, toute ouverture annule la garantie. Mieux vaut faire constater l’état de l’appareil par un professionnel, huissier ou expert, avant toute manipulation, afin de préserver à la fois la garantie et la preuve.

La deuxième décision est celle de la qualification pénale des faits, qui conditionne la plainte. Si des fonds ont été captés à l’aide de la phrase de récupération, plusieurs qualifications pourraient être envisagées par le parquet ou le juge d’instruction, sans préjuger de leur retenue définitive. L’article 313-1 du code pénal définit l’escroquerie comme « le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge », punie de cinq ans d’emprisonnement et de 375 000 euros d’amende. La commercialisation d’appareils présentés comme sûrs alors qu’ils auraient été préalablement trafiqués pourrait, selon les circonstances établies par l’enquête, relever de manoeuvres frauduleuses. Par ailleurs, l’article 323-1 du code pénal punit « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données », et l’article 323-3 du même code punit « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient ». La captation puis l’exploitation de la phrase de récupération pourraient ainsi intéresser ces textes relatifs aux atteintes aux systèmes de traitement automatisé de données. Le dépôt de plainte, en France, s’effectue auprès du procureur de la République ou des services d’enquête, avec constitution de partie civile possible ; il doit décrire avec précision l’appareil, son origine, sa date d’achat, les mouvements de fonds constatés et les pièces conservées. Les entreprises dont les appareils proviendraient du circuit asiatique devront vérifier la compétence des juridictions françaises au regard du lieu d’achat, du lieu du préjudice et du domicile des personnes mises en cause, question que l’enquête internationale en cours contribuera à éclairer.

La troisième décision est civile et commerciale : contre qui agir et pour quoi. L’entreprise cliente dispose d’abord d’un recours contractuel contre son propre vendeur, sur le fondement de la garantie des vices cachés ou de la non-conformité, dans le délai de deux ans à compter de la découverte du vice. Elle peut ensuite, selon sa chaîne d’achat, invoquer le régime de la responsabilité du fait des produits défectueux contre le producteur ou l’assimilé, qui est un régime sans faute mais enfermé dans des conditions strictes de délai et de preuve du défaut, du dommage et du lien de causalité. Elle devra enfin chiffrer son préjudice poste par poste : cryptoactifs détournés valorisés au jour du détournement et au jour de la demande, frais de migration et d’expertise, pertes d’exploitation si des paiements ou des encaissements ont été bloqués, atteinte à l’image si des clients ou partenaires ont été affectés. La traçabilité propre à la blockchain aide et complique à la fois : chaque mouvement est enregistré publiquement, ce qui facilite la démonstration des flux, mais l’identification des destinataires finaux et la récupération effective des fonds relèvent d’investigations techniques lourdes, dont les rapports d’analyse comme celui de Bitquery donnent une illustration sans constituer une preuve judiciaire à eux seuls.

La quatrième décision concerne l’assurance et les obligations déclaratives. Les entreprises dotées d’une assurance cyber, d’une assurance fraude ou d’une assurance responsabilité doivent déclarer le sinistre sans délai, en respectant les formes et délais du contrat, et transmettre l’inventaire des faits, les pièces conservées et la copie de la plainte. Celles qui traitent des données personnelles dans le cadre de l’incident, par exemple si des informations identifiantes ont transité avec les fonds ou si des fichiers clients étaient liés aux portefeuilles, devront apprécier avec leur délégué à la protection des données si une notification à l’autorité de contrôle s’impose au regard du règlement européen. Les prestataires qui ont recommandé ou installé les appareils pour le compte de leurs clients doivent en outre informer ces derniers par écrit, relire leurs propres contrats de prestation et leurs assurances de responsabilité civile professionnelle, et préparer la démonstration qu’ils ont agi selon les règles de l’art au jour de la recommandation, alors que la compromission n’était pas connue. Dans tous les cas, la règle d’or reste la même : écrire vite, conserver tout, ne rien réinitialiser avant constat, et ne signer aucune renonciation ni transaction sans l’avoir fait relire.

La compromission confirmée par Ledger en octobre 2026 restera comme l’illustration la plus nette de l’année de ce qu’une défaillance en amont de la chaîne fait subir à l’aval : un revendeur qui suspend ses ventes sur sept territoires, des distributeurs qui doivent trier leurs stocks et écrire à leurs clients, des entreprises qui découvrent que leur trésorerie reposait sur un support dont un tiers détenait peut-être la clé. À la date de rédaction, les montants en circulation ne sont pas confirmés par l’entreprise, la cause exacte et le stade de la compromission restent à établir, et aucune responsabilité n’est tranchée : les contrats signés priment sur toute analyse générale, et seul le juge, pièces en main, peut dire qui doit quoi à qui. Pour les professionnels de la chaîne, la carte des décisions tient en quatre gestes : isoler, migrer, notifier et conserver. Ceux qui les accomplissent cette semaine disposeront demain des preuves qui font gagner ; ceux qui attendent l’issue de l’enquête découvriront que le droit n’attend pas.