Avis Ledger : ce que protège un Ledger, et ce qui a mal tourné

Cinq signers et une application

Ledger SAS, installée à Paris, appelle ses hardware wallets des signers. L'appareil ne contient jamais vos cryptos, qui restent sur leur blockchain : il contient les clés et signe les transactions dès que vous les validez.

Les cinq fonctionnent avec Ledger Wallet, l'application gratuite pour ordinateur et smartphone qui a remplacé Ledger Live en octobre 2025. Elle existe en onze langues.

Comment Ledger protège vos clés

Les clés sont générées et stockées sur un secure element, une puce conçue pour résister à la lecture et à la manipulation. Comme la validation se fait sur l'appareil, un logiciel malveillant sur votre ordinateur peut proposer une transaction, mais pas la confirmer.

L'application est open source sous licence MIT, tout comme les applications de cryptos installées sur l'appareil. La couche la plus basse, qui dialogue directement avec la puce de STMicroelectronics, reste fermée : selon Ledger, son contrat avec le fabricant de la puce en interdit la publication, et un laboratoire externe audite à la place chaque version du système.

Un historique d'incidents

• 2020, données clients. La base de données e-commerce et marketing de Ledger a été volée puis publiée en décembre sur un forum : plus d'un million d'adresses e-mail, ainsi que les noms, adresses postales et numéros de téléphone d'environ 272 000 clients. Aucun fonds ni aucun appareil n'a été touché, mais la fuite nourrit encore des tentatives de phishing par courrier, SMS et e-mail.
• 2023, Ledger Recover. Le projet de stocker une copie chiffrée de la phrase de récupération chez des sociétés externes a provoqué une levée de boucliers chez des utilisateurs persuadés que les clés ne quittaient jamais l'appareil. Ledger a suspendu le lancement, puis a sorti Recover plus tard sous forme d'abonnement payant, à activer soi-même.
• 2023, Connect Kit. Le compte npm d'un ancien employé, victime de phishing, a servi à piéger la bibliothèque qu'utilisent les sites web pour communiquer avec les appareils Ledger. Les personnes qui ont validé les fausses transactions ont perdu environ 600 000 $, que Ledger s'est engagé à rembourser ; les appareils eux-mêmes n'ont pas été compromis.
• 2026, CryptoBilis (en cours). Ledger enquête sur des wallets vidés appartenant à des acheteurs de CryptoBilis, un revendeur agréé d'Asie du Sud-Est, et a confirmé le 10 octobre la présence d'un implant matériel non autorisé dans l'appareil d'une victime. Selon Ledger, rien n'indique que ses propres systèmes aient été compromis ; la société n'a pas confirmé les montants de pertes cités dans la presse. Les acheteurs récents de CryptoBilis sont invités à transférer leurs fonds vers un nouvel appareil, avec une nouvelle phrase de récupération.

Coûts et cryptos

En plus du prix unique de l'appareil, vous payez les frais de réseau, ainsi qu'un abonnement mensuel si vous choisissez Recover. Le 26 octobre 2026, la boutique Ledger (s’ouvre dans un nouvel onglet) affichait le Nano S Plus à 59 €, le Nano X à 99 €, le Nano Gen5 à 179 €, le Flex à 249 € et le Stax à 399 €. Ledger propose souvent des promotions : c'est donc le total du panier qui compte.

D'après Ledger, chaque crypto qui a sa propre page sur ce site fonctionne dans Ledger Wallet sans application tierce, du bitcoin et de Cardano jusqu'à Sui et Hedera. Chainlink et Uniswap sont des jetons ERC-20 : ils apparaissent donc sous votre compte Ethereum, qui a besoin d'un peu d'ETH pour le gas. HYPE n'apparaît que sur HyperEVM ; un solde sur HyperCore, la couche de trading d'Hyperliquid, s'affiche à zéro.

L'écran Acheter confie l'achat à un prestataire distinct, comme MoonPay, Transak ou Revolut, qui fixe les frais et vérifie votre identité ; Ledger affirme ne rien facturer lui-même. Notre comparaison couvre l'autre voie : acheter sur une plateforme agréée MiCA puis retirer vers l'appareil.

Retirer depuis une plateforme européenne

Ouvrez Recevoir dans Ledger Wallet, laissez l'appareil afficher l'adresse et vérifiez chaque caractère par rapport à ce que vous collez dans la plateforme. Ne comparer que les premiers et derniers caractères, prévient Ledger, c'est précisément ce sur quoi misent les arnaques par empoisonnement d'adresse (address poisoning).

Avec la règle du voyage (Travel Rule) de l'UE, la plateforme vous demandera une preuve que l'adresse vous appartient dès qu'un retrait dépasse 1 000 €. L'option hardware wallet de Bitpanda vous renvoie pour cela vers l'application, idéalement sur ordinateur. Kraken accepte une signature depuis un wallet EVM, un petit test en satoshis ou une déclaration sur l'honneur. Signer ne déplace aucun fonds.

Transférer vos cryptos sur un Ledger ne les cache pas au fisc. Avec DAC8, une plateforme agréée dans l'UE déclare à l'administration fiscale de votre pays de résidence la valeur totale que vous avez envoyée vers des adresses auto-hébergées, crypto-actif par crypto-actif.

Les bons réflexes avec un Ledger

• Conservez la phrase de récupération sur papier ou sur métal et ne la saisissez nulle part ailleurs. Ledger n'appelle jamais ses clients et ne leur envoie ni SMS ni message pour la leur demander.
• Installez Ledger Wallet depuis ledger.com plutôt que via un résultat de recherche ou une publicité, et ignorez les colis inattendus censés contenir un appareil de remplacement.
• Un appareil authentique n'arrive jamais avec une phrase ou un code PIN déjà configurés. Le Genuine Check de Ledger vérifie la puce, mais, de l'aveu même de Ledger, il ne peut pas détecter une modification physique du matériel.

Vous comparez les marques ? Consultez Trezor vs Ledger, notre avis Trezor ou notre sélection du meilleur hardware wallet selon votre usage.