Piratage des portefeuilles Ledger : enjeux juridiques du vol de crypto-actifs

En octobre 2026, la société française Ledger, fabricant des portefeuilles matériels (« hardware wallets ») les plus répandus au monde, a confirmé enquêter sur la disparition de fonds chez des utilisateurs ayant acheté leurs appareils auprès d’un revendeur d’Asie du Sud-Est, CryptoBilis. En quelques jours, les enquêteurs on-chain de la société Bitquery ont tracé 92,9 millions de dollars drainés depuis 311 portefeuilles répartis sur cinq blockchains, un chiffre porté à 93,2 millions sur 315 portefeuilles et six chaînes dès le 11 octobre, tandis qu’un autre cabinet d’analyse, YFarmX, avance une estimation supérieure encore, de 103,4 millions de dollars sur 530 adresses. Le 10 octobre, Ledger a reconnu le mécanisme redouté : au moins un appareil vendu par ce revendeur contenait un implant matériel non autorisé, c’est-à-dire un composant électronique clandestin soudé dans le boîtier après la sortie d’usine.

L’affaire dépasse largement le montant du préjudice. Elle touche au cœur même de la promesse de sécurité qui fonde tout le marché des crypto-actifs, puisque le portefeuille matériel est vendu comme le seul dispositif capable de mettre les clés privées à l’abri d’Internet. Elle révèle surtout un angle mort que ni les utilisateurs ni les régulateurs n’avaient véritablement anticipé : la chaîne d’approvisionnement physique, c’est-à-dire le trajet de l’appareil entre l’usine et le salon du particulier. Ce sont des questions juridiques que peu de victimes anticipent, et sur lesquelles le droit français comme le droit européen commencent seulement à se positionner.

Ce qui s’est réellement passé

Un portefeuille matériel existe pour une seule raison : garder la phrase de récupération de vingt-quatre mots — la clé qui permet de reconstruire un portefeuille et d’en dépenser les fonds — totalement hors ligne. L’attaque n’a pas contourné cette protection, elle l’a court-circuitée par la bande. Selon les éléments techniques rapportés par Mark Karpelès, ancien dirigeant de la plateforme Mt. Gox, et par le responsable sécurité de la société SlowMist, un microcontrôleur, un module de téléphonie mobile LTE, une antenne et une carte eSIM ont été soudés sur les lignes d’affichage de l’écran, dissimulés dans l’épaisseur de la mousse de protection, sans que l’emballage extérieur présente la moindre trace d’effraction. L’implant n’avait donc pas à forcer la puce sécurisée (Secure Element), réputée inviolable : il se contentait de lire, mot après mot, la phrase de récupération au moment précis où elle s’affichait à l’écran lors de la configuration initiale, avant de la transmettre par le réseau cellulaire intégré. L’attaquant reconstruisait ensuite le portefeuille hors ligne, sur son propre matériel, et n’avait plus qu’à attendre que les dépôts s’accumulent.

Les fonds ont été vidés de façon synchronisée, en quarante-sept minutes, sur TRON, Bitcoin, Ethereum, BNB Chain et Polygon. Les plus lourdes pertes ont été enregistrées sur TRON, avec environ 70,2 millions d’USDT et des TRX, soit près de 70,5 millions de dollars sur 131 portefeuilles ; les détenteurs de Bitcoin ont perdu 203,8 BTC, environ 16,8 millions de dollars, sur 122 portefeuilles ; Ethereum a été touché à hauteur de 1 230 ETH, de stablecoins et d’une quantité importante de jetons PEPE, soit environ 3,7 millions de dollars sur 33 portefeuilles. Vingt-cinq portefeuilles TRON ont signé une même transaction d’approbation dans une fenêtre de trois secondes, indice très fort qu’un opérateur unique détenait déjà toutes les clés, ce qu’une campagne de hameçonnage classique ne permettrait pas de coordonner. Les recherches de Bitquery ont même mis au jour une phase de répétition entamée dès le 25 septembre, avec des transferts de quelques dollars destinés à tester les portefeuilles avant le vol, preuve d’une opération préparée de longue date plutôt que d’un coup opportuniste. Le profil des victimes n’est d’ailleurs pas uniforme : au moins un portefeuille TRON vidé avait reçu 33,5 millions d’USDT depuis le 1er octobre et les redistribuait vers vingt-neuf adresses, ce qui ressemble davantage à une trésorerie d’entreprise qu’à une épargne personnelle.

Une série d’incidents qui fragilise durablement la confiance

Cette affaire n’est pas la première à fragiliser la réputation de Ledger, mais elle est la première d’une nature différente. En 2020, la société avait déjà subi une fuite massive de données clients, exposant les noms, adresses postales et numéros de téléphone de plusieurs centaines de milliers d’utilisateurs, sans qu’aucun fonds ne soit dérobé ; cette fuite a nourri pendant des années des campagnes d’hameçonnage et d’extorsion. En décembre 2023, l’incident dit du « Connect Kit » a mis en cause une bibliothèque logicielle compromise, qui a conduit pendant quelques heures des utilisateurs à signer des transactions malveillantes. Dans les deux cas, la faille était logicielle ou informationnelle. L’affaire CryptoBilis est d’une autre nature : elle se situe au niveau matériel, dans la chaîne physique, après que les appareils ont quitté l’usine française et avant qu’ils ne parviennent aux acheteurs. La même année 2026, un incident comparable avait touché le portefeuille Coldcard, ce qui confirme que le sujet n’est pas propre à un fabricant mais à un modèle industriel.

Cette distinction est juridiquement décisive. Une faille logicielle se corrige par une mise à jour ; une faille matérielle introduite dans le circuit de distribution met en cause la responsabilité de tous les acteurs de la chaîne, du fabricant au revendeur, en passant par les intermédiaires logistiques. Elle interroge également la notion même de « revendeur agréé » : l’affaire démontre qu’un statut officiel ne garantit nullement l’intégrité du produit livré, et que le consommateur n’a aucun moyen pratique de vérifier, à la réception, qu’un boîtier scellé ne contient pas un composant espion.

La responsabilité contractuelle du fabricant et du revendeur

Juridiquement, la première arme des victimes se situe sur le terrain contractuel, celui du contrat de vente. Le vendeur d’un portefeuille matériel est tenu à une obligation de délivrance conforme au sens de l’article 1603 du Code civil : il doit livrer une chose conforme à ce qui a été convenu, c’est-à-dire un appareil apte à sécuriser des crypto-actifs. Mais c’est surtout la garantie des vices cachés de l’article 1641 du Code civil qui constitue le levier le plus solide. L’appareil livré avec un implant espion est affecté d’un vice qui le rend impropre à l’usage auquel il est destiné — protéger les actifs — et ce vice existait au moment de la délivrance. Dès lors que le vice est antérieur à la vente, qu’il est suffisamment grave et qu’il était indécelable par un acquéreur normal, la garantie légale joue de plein droit, indépendamment de toute faute prouvée du vendeur. La victime dispose alors du choix entre rendre l’appareil et se faire restituer le prix, ou conserver l’appareil et obtenir une indemnisation du préjudice subi, laquelle peut couvrir la totalité des fonds détournés.

À cette garantie s’ajoute, lorsque l’acheteur a la qualité de consommateur, la garantie légale de conformité des articles L. 217-3 et suivants du Code de la consommation, qui pèse en premier lieu sur le vendeur professionnel, qu’il soit fabricant ou distributeur. Un revendeur ne peut donc s’exonérer en invoquant le fait d’un tiers, c’est-à-dire de l’attaquant : seule la force majeure, entendue comme un événement imprévisible, irrésistible et extérieur, permettrait de l’écarter, et la jurisprudence en fait une lecture restrictive. Une clause contractuelle limitant ou excluant la responsabilité du vendeur serait en outre présumée abusive, donc inopposable au consommateur, en application de l’article R. 212-1 du Code de la consommation. Il faut enfin rappeler que le vendeur est débiteur d’une obligation d’information et, plus largement, d’une obligation de sécurité, qui l’oblige à alerter sans délai ses clients lorsqu’il découvre qu’un lot d’appareils est compromis — ce que Ledger a fait en demandant à son revendeur de suspendre ventes et expéditions et en conseillant aux acheteurs des quatre-vingt-dix derniers jours de ne pas initialiser leur appareil ou de transférer leurs actifs vers un nouveau portefeuille généré avec une nouvelle phrase.

La difficulté pratique est double. D’une part, le revendeur CryptoBilis est établi en Indonésie, en Malaisie et aux Philippines, ce qui complique l’identification du cocontractant réel, la notification d’une mise en demeure et l’exécution d’une éventuelle décision. D’autre part, le fabricant français contestera probablement devoir répondre des actes d’un distributeur indépendant avec lequel il n’a pas de lien contractuel direct avec l’acheteur. C’est précisément là que le contentieux devient un exercice de stratégie procédurale, où il faut articuler responsabilité contractuelle à l’égard du vendeur et responsabilité extracontractuelle à l’égard du fabricant.

La responsabilité du fait des produits défectueux

Le second terrain, souvent négligé, est celui de la responsabilité du fait des produits défectueux, régie par les articles 1245 et suivants du Code civil, issus de la transposition de la directive européenne de 1985. Ce régime présente un avantage majeur : il permet d’engager la responsabilité du producteur sans démontrer de faute, dès lors que le produit est défectueux et que le dommage en résulte. Un portefeuille matériel dont l’intégrité physique a été altérée et qui, de ce fait, ne protège plus les clés privées, présente indéniablement un défaut de sécurité au sens de l’article 1245-3. Le producteur peut s’exonérer en démontrant, notamment, que le défaut n’existait pas lorsqu’il a mis le produit en circulation, ce qui sera au cœur du débat : Ledger soutiendra que l’implant a été introduit après la sortie d’usine, et la victime devra établir, par l’expertise, la traçabilité du composant. Ce régime a été profondément modernisé par la directive européenne 2024/2853, adoptée en 2024, qui étend la notion de produit aux logiciels et aux services numériques, allonge les délais et allège la charge de la preuve dans les cas de défaut complexe, en permettant au juge de présumer le défaut lorsque la victime se heurte à des difficultés techniques excessives. Cette réforme, dont la transposition est en cours, dessine un cadre nettement plus favorable aux victimes de failles liées à la chaîne d’approvisionnement.

L’angle pénal et la qualification du vol de crypto-actifs

Sur le plan pénal, les auteurs de l’attaque encourent des qualifications lourdes. Le vol est caractérisé au sens de l’article 311-1 du Code pénal, la soustraction frauduleuse de la chose d’autrui s’appliquant aux crypto-actifs dès lors que la jurisprudence leur reconnaît la nature de bien. L’escroquerie, prévue à l’article 313-1, peut être retenue si la tromperie — la vente d’un appareil faussement conforme — est établie, et la circonstance aggravante de la bande organisée, prévue à l’article 313-2, porte les peines à dix ans d’emprisonnement et un million d’euros d’amende. S’y ajoutent l’accès et le maintien frauduleux dans un système de traitement automatisé de données, réprimés par les articles 323-1 et suivants du Code pénal, l’introduction frauduleuse de données et l’entrave au fonctionnement du système, ainsi que le blanchiment aggravé de l’article 324-1 et le recel de l’article 321-1 pour tous ceux qui, en aval, auraient détenu ou converti les fonds en connaissance de cause. L’association de malfaiteurs, réprimée par l’article 450-1, est également envisageable au vu du degré de préparation de l’opération.

Le point le plus délicat concerne la responsabilité éventuelle du revendeur lui-même. Si l’enquête démontrait qu’il a sciemment commercialisé des appareils trafiqués, il encourrait une responsabilité pénale directe, voire une complicité au sens de l’article 121-7 du Code pénal. À défaut, sa négligence dans le contrôle de la chaîne logistique pourrait fonder une responsabilité civile, sans que l’on puisse pour l’heure préjuger de sa participation. Enfin, la victime peut se constituer partie civile au cours d’une instruction pénale et solliciter des mesures conservatoires, notamment le gel des fonds. Dans ce dossier, environ dix millions de dollars d’USDT répartis sur vingt portefeuilles auraient été gelés par l’émetteur Tether, et le Bitcoin dérobé n’avait pas bougé, ce qui laisse entrevoir une possibilité réelle de restitution — encore faut-il agir vite, car les fonds non gelés continuent d’être déplacés.

Compétence juridictionnelle et loi applicable

La dimension internationale est un obstacle majeur. Saisir un tribunal français contre un revendeur asiatique suppose de s’appuyer sur les règles du règlement Bruxelles I bis, en visant soit le lieu d’exécution du contrat pour l’action contractuelle, soit le lieu où le dommage s’est produit pour l’action délictuelle. La loi applicable se détermine selon les règlements Rome I, pour la matière contractuelle, et Rome II, pour la matière délictuelle, dont l’article 5 désigne en principe la loi du pays où le dommage est subi, mais qui permet aussi de retenir la loi du pays où le produit a été mis en circulation. Une clause attributive de juridiction ou une clause compromissoire insérée dans les conditions générales du revendeur pourrait détourner le litige vers une juridiction étrangère ou un arbitrage, mais de telles clauses sont inopposables au consommateur dans les conditions posées par le Code de la consommation. Enfin, l’obtention d’un jugement français ne suffit pas : encore faut-il le faire reconnaître et exécuter dans le pays où le revendeur détient des biens, ce qui suppose l’absence d’opposition à l’exequatur et, souvent, une coopération judiciaire internationale.

La preuve et l’expertise technique

L’issue du litige reposera largement sur la preuve. Trois éléments sont indispensables. Le premier est le constat d’huissier sur les échanges avec le vendeur, la facture, le bon de commande et les conditions générales acceptées, afin d’identifier précisément le cocontractant et la date de livraison. Le deuxième est l’expertise technique de l’appareil, seule capable d’établir la présence et la nature de l’implant et de démontrer qu’il existait avant la réception. Le troisième est l’analyse blockchain, c’est-à-dire la traçabilité on-chain, qui relie les adresses drainées aux fonds et permet de suivre leur cheminement. Les rapports de sociétés spécialisées comme Bitquery ou YFarmX, dont les chiffres divergent d’ailleurs sensiblement — 93,2 millions sur 315 portefeuilles pour l’une, 103,4 millions sur 530 adresses pour l’autre — illustrent la difficulté d’établir un montant incontestable, ce qui rend d’autant plus nécessaire une expertise contradictoire. Il faut souligner que la collecte de ces preuves doit être menée dans le respect du RGPD, sous peine de voir leur valeur contestée en justice.

Le recouvrement des fonds

Le recouvrement est le volet le plus incertain. Deux cas de figure doivent être distingués. Lorsque les fonds reposent encore sur des adresses identifiables et n’ont pas transité par un mélangeur, ils peuvent faire l’objet d’une saisie pénale, prévue notamment par les articles 706-141 et suivants du Code de procédure pénale, ou d’un gel par l’émetteur du jeton, comme l’a fait Tether pour environ dix millions de dollars d’USDT. À l’inverse, les fonds ayant traversé un mélangeur comme Tornado Cash ou ayant été convertis en stablecoins difficilement traçables sont, en pratique, irrécupérables. La coopération internationale, via Europol, Interpol et les commissions rogatoires internationales, est indispensable dès lors que l’attaquant opère depuis l’étranger, et elle est notoirement lente. Il faut ajouter que les autorités européennes, dans le cadre du règlement sur les transferts de fonds, ont renforcé les obligations d’identification des portefeuilles dits auto-hébergés, ce qui pourrait faciliter demain la traçabilité, mais qui ne règle pas les cas déjà survenus.

L’encadrement réglementaire européen

Cette affaire intervient alors que l’Europe durcit considérablement ses exigences. Le règlement MiCA, applicable depuis 2024, encadre les prestataires de services sur crypto-actifs et impose des obligations de sécurité et de transparence, sans couvrir directement les fabricants de matériel. Le régime français des prestataires de services sur actifs numériques, dit PSAN, issu de la loi PACTE de 2019, place ces intermédiaires sous le contrôle de l’AMF, avec enregistrement obligatoire pour certains services. La directive NIS2, transposée en 2024, impose aux opérateurs essentiels et importants des obligations de cybersécurité et de notification des incidents, et le règlement sur la cyber-résilience, dit Cyber Resilience Act, dont l’application s’étale jusqu’en 2027, crée des obligations de sécurité pour les produits comportant des éléments numériques, tout au long de leur cycle de vie et de leur chaîne d’approvisionnement. Enfin, le renforcement de la lutte contre le blanchiment, à travers le dispositif TRACFIN et la directive européenne DAC8 sur l’échange automatique d’informations relatives aux crypto-actifs, complète ce paysage. Le cas Ledger démontre précisément que la responsabilité du fait des produits ne peut plus s’arrêter à la sortie d’usine : le maillon faible est le distributeur, et le droit européen commence seulement à en tirer les conséquences.

Les conséquences fiscales, souvent oubliées

Les victimes sous-estiment fréquemment l’impact fiscal. En droit français, les plus-values sur crypto-actifs réalisées par des particuliers relèvent de l’article 150 VH bis du Code général des impôts. Un vol ne constitue pas, en soi, une cession imposable, mais la perte subie n’est pas nécessairement déductible : le particulier ne peut, en règle générale, imputer une moins-value de crypto-actifs sur d’autres revenus, alors qu’une entreprise pourrait, sous conditions, comptabiliser une créance irrécouvrable. Cette asymétrie crée une double peine pour le particulier, qui perd ses actifs sans compensation fiscale. Il convient donc de documenter rigoureusement la perte, par un constat et un rapport d’analyse, à la fois pour les besoins de la procédure et pour justifier sa situation auprès de l’administration si elle venait à être interrogée.

L’action de groupe et ses limites

L’action de groupe, introduite en droit français par la loi de 2014 puis élargie, permettrait en théorie à plusieurs centaines de victimes de mutualiser leurs frais et de peser collectivement face à un fabricant. En pratique, son périmètre reste limité, les préjudices corporels et matériels relevant de régimes distincts, et la procédure est longue. Elle demeure néanmoins une piste à explorer, notamment pour obtenir une reconnaissance de responsabilité globale et négocier un règlement transactionnel, qui reste souvent la voie la plus rapide vers une indemnisation partielle.

Ce que doit faire un détenteur victime

Pour un détenteur de crypto-actifs, la leçon est immédiate : acheter directement au fabricant, ou auprès d’un revendeur dont la chaîne logistique est vérifiable, ne relève pas de la paranoïa mais de la prudence élémentaire, et il faut vérifier l’intégrité physique de l’appareil et ne jamais utiliser une phrase de récupération pré-imprimée. Mais cela ne suffit pas une fois le dommage survenu. La victime d’un tel piratage doit documenter les faits sans délai, conserver l’appareil et son emballage sans y toucher, faire constater son état par huissier, réunir factures et échanges, et engager une action coordonnée sur les terrains civil, pénal et conservatoire, dont les délais sont comptés. La prescription est courte : deux ans pour l’action en garantie des vices cachés à compter de la découverte du vice, cinq ans pour l’action en responsabilité contractuelle ou délictuelle, et des délais spécifiques pour la garantie légale de conformité. Chaque jour compte, et l’inaction est, en la matière, le premier facteur de perte définitive.

Pour aller plus loin

Le piratage des portefeuilles Ledger s’inscrit dans une série de contentieux numériques qui s’installent durablement dans le prétoire. Nous avons consacré une analyse voisine à la violation massive de données et à la cybersécurité, ainsi qu’à l’ensemble de nos publications en droit pénal. Si vous avez été victime d’un tel piratage, la première étape est d’établir un diagnostic précis de votre dossier : contactez le cabinet Ellipsis Avocats.

Questions fréquentes sur le piratage des portefeuilles Ledger

Puis-je obtenir le remboursement de mes crypto-actifs volés après le piratage d’un portefeuille Ledger ?

Oui, c’est juridiquement envisageable, mais cela suppose d’identifier un débiteur solvable et une faute. Le vendeur est tenu de délivrer un produit conforme et exempt de vice caché (articles 1603 et 1641 du code civil, articles L. 217-3 et suivants du code de la consommation) : un portefeuille matériel compromis avant la vente peut donc engager sa responsabilité. Le fabricant peut également être recherché sur le terrain de la responsabilité du fait des produits défectueux. L’indemnisation porte sur la valeur des actifs au jour du dommage, qu’il faut documenter précisément.

Contre qui agir : Ledger, le revendeur CryptoBilis, ou les deux ?

Les deux peuvent être mis en cause, mais sur des fondements différents. Le revendeur répond en première ligne de la garantie légale de conformité et des vices cachés, car c’est lui qui a vendu l’appareil. Le fabricant peut être recherché pour un produit défectueux ou un manquement à ses obligations de sécurité et d’information. Une action coordonnée, civile et pénale, permet de maximiser les chances de recouvrement et d’éviter qu’une partie s’exonère en renvoyant la responsabilité à l’autre.

Quel est le délai pour agir après un piratage de portefeuille crypto ?

Les délais sont courts. L’action en garantie des vices cachés se prescrit par deux ans à compter de la découverte du vice. L’action en responsabilité contractuelle ou délictuelle se prescrit par cinq ans à compter du dommage. La garantie légale de conformité obéit à des délais spécifiques. Chaque jour compte : la conservation des preuves et la mise en demeure rapide conditionnent l’issue du dossier.

Le vol de crypto-actifs est-il pénalement punissable en France ?

Oui. Le vol est puni par l’article 311-1 du code pénal, et l’escroquerie par l’article 313-1. Les qualifications peuvent être aggravées en raison du procédé technique employé, du caractère organisé des faits ou du préjudice. Une plainte, idéalement avec constitution de partie civile, permet d’appuyer une demande d’expertise et de gel des avoirs, et de faire jouer la coopération internationale.

Faut-il déclarer aux impôts les crypto-actifs volés ?

La disparition des actifs pour cause de vol ne fait pas disparaître, à elle seule, les obligations déclaratives : les cessions imposables restent à déclarer et les comptes détenus à l’étranger restent à mentionner. Le vol peut toutefois être invoqué pour corriger la situation et justifier l’absence de plus-value. Un accompagnement fiscal est recommandé, surtout si des cessions ont eu lieu avant le piratage.

Me Marc Montagnier, avocat au cabinet Ellipsis Avocats, accompagne les victimes de fraudes et de piratages liés aux crypto-actifs dans la constitution de leur dossier, la mise en cause des vendeurs et la recherche de leurs fonds. Cet article est informatif et ne constitue pas un conseil juridique personnalisé.