L’enquêteur on-chain ZachXBT a publié sur Telegram une charge frontale contre les hardware wallets, qualifiés de « complete garbage ». Il déconseille de les utiliser pour signer des transactions ou stocker des fonds importants, et recommande à la place un iPhone dédié. Ledger concentre ses critiques les plus dures, après un premier semestre 2026 marqué par des arnaques à répétition autour de ses produits.
Pour résumer
- ZachXBT déconseille les hardware wallets pour signer et stocker
- Ledger critiqué pour des mises à jour qui cassent les fonctions de base
- Il recommande un iPhone dédié comme appareil de signature
Une charge frontale postée sur Telegram
Le message ne laisse aucune place au doute. Dans un post publié sur Telegram, ZachXBT écrit que tous les hardware wallets sont « complete garbage » et qu’il déconseille de s’en servir pour des tâches importantes comme la signature de transactions ou le stockage de fonds.
La sortie pèse par son émetteur. L’enquêteur est devenu une référence du secteur en documentant publiquement des détournements, dans la lignée d’épisodes comme le hack qui avait frappé Trust Wallet fin 2025. Quand il parle sécurité, l’industrie écoute.
La formule ne cible pas un fabricant en particulier au départ. C’est toute la catégorie qui est déclarée inapte aux tâches critiques, du stockage de long terme à la signature quotidienne. Le reproche est fonctionnel avant d’être technique.
Le fond de sa critique ne porte pas sur les puces des hardware wallets elles-mêmes. ZachXBT n’identifie aucune nouvelle vulnérabilité matérielle et ne prétend pas que tous les appareils partagent les mêmes faiblesses techniques. C’est la couche logicielle qui concentre ses attaques.
Ledger, ses mises à jour et six mois d’incidents
Le fabricant français, dominant sur le marché, en prend pour son grade. ZachXBT pointe des mises à jour régulières de l’interface de Ledger Live effectuées « sans bonne raison » et qui finissent par casser des actions simples au moment de signer.
La critique tombe un mois après la refonte du logiciel maison. Ledger explique dans sa note officielle sur le passage de Ledger Live à Ledger Wallet avoir intégré l’achat, le swap, le staking et le rendement dans une seule application. Pour ses détracteurs, chaque intégration ajoutée élargit la surface d’attaque et augmente le risque de régression dans les flux de signature.
La logique commerciale derrière cette refonte est limpide. Transformer un utilitaire de signature en plateforme de services génère du revenu récurrent. La logique sécuritaire fait davantage débat, car un logiciel de wallet devient d’autant plus difficile à auditer qu’il embarque de fonctions.
Le premier semestre 2026 nourrit la défiance. En avril, une fausse application Ledger Live hébergée sur l’App Store d’Apple a siphonné environ 9,5 M$, dont les fonds du musicien G. Love. En janvier, une seule victime a perdu plus de 282 M$ en Bitcoin et Litecoin dans une arnaque par ingénierie sociale.
Le point commun de ces affaires dérange. La plupart ont exploité la couche humaine autour de l’appareil plutôt que l’appareil lui-même, un terrain où les gros détournements se suivent, à l’image du hack de Kelp DAO et de ses 292 M$ envolés au printemps.
À voir également sur Cryptonomic :
- Les ETF Ethereum captent 96 M$, BlackRock en tête
- Fiscalité crypto UK : Londres reporte l’impôt DeFi à 2027
- Faillite crypto : Zapper et Sablier ferment ensemble
Un iPhone dédié comme appareil de signature
La solution avancée par ZachXBT surprend par sa simplicité. Il recommande d’utiliser un iPhone dédié comme appareil de signature, qu’il juge plus sûr que les hardware wallets traditionnels pour l’usage courant.
L’argument renverse un dogme installé depuis dix ans. Le boîtier spécialisé était présenté comme le sommet de la pyramide de sécurité, et voilà qu’une figure de l’investigation on-chain lui préfère un smartphone grand public, à condition qu’il soit réservé à cet usage.
Le raisonnement s’appuie sur un constat simple. Les pertes récentes ne viennent pas de puces cassées mais d’humains trompés, par une fausse application ou une manœuvre d’ingénierie sociale. Un appareil grand public verrouillé et strictement dédié réduit précisément cette surface d’exposition quotidienne.
La question de la confiance dans les infrastructures dépasse d’ailleurs les wallets, comme l’avait montré le retrait de Kraken et Chainlink de LayerZero après un épisode de sécurité. Le secteur réévalue régulièrement ses briques critiques.
À court terme, la sortie ajoute une pression d’image sur Ledger au pire moment, en plein déploiement de sa nouvelle application. À moyen terme, elle pourrait pousser les fabricants vers un design plus minimaliste du logiciel de signature. Le débat sur la custody personnelle est relancé.
Affaire à suivre sur Cryptonomic.
