La police de Singapour a détecté des composants matériels malveillants dans certains portefeuilles crypto Ledger achetés dans des commerces de la cité-État. Au moins deux cas ont été signalés depuis le 10 septembre, entraînant des pertes d’environ 3,5 millions de dollars singapouriens, soit quelque 2,7 millions de dollars américains. La police de Singapour a signalé ces appareils dans un avis publié mercredi.
Les premières investigations ont révélé que certains composants pouvaient servir à récupérer des phrases de récupération ou des clés privées. Des personnes non autorisées pouvaient ensuite ouvrir les portefeuilles et transférer des actifs à l’insu des propriétaires et sans leur consentement. L’avis ne cite aucun magasin. La police est en contact avec Ledger, qui enquête sur les cas concernés. Sa propre enquête se poursuit. La police a averti les utilisateurs de ne pas saisir leurs phrases de récupération ni effectuer de transactions sur des appareils qu’ils soupçonnent d’avoir été compromis.
La police de Singapour met en garde contre le partage des clés et des phrases de récupération
La police de Singapour a également mis en garde contre la remise de clés ou de phrases de récupération à qui que ce soit, y compris aux personnes se faisant passer pour des fournisseurs de portefeuilles, des plateformes d’échange ou des policiers. Le premier signalement à Singapour a été déposé environ un mois avant la publication, le 9 octobre, de l’incident plus vaste. Ce jour-là, Ledger a demandé la suspension des ventes et des expéditions de CryptoBilis, un revendeur agréé en Indonésie, en Malaisie et aux Philippines.
À l’époque, Cryptopolitan rapportait que plus de 86 millions de dollars en Bitcoin, Ethereum et Tron auraient été dérobés dans les portefeuilles vendus par le magasin. Ledger n’a pas confirmé ce montant. Le 10 octobre, Ledger a déclaré avoir découvert un implant matériel non autorisé sur l’appareil d’un client. La puce, dissimulée dans le boîtier du Nano X, a lu à l’écran la phrase de récupération de 24 mots pendant la configuration, puis l’a transmise par LTE au moyen d’une carte SIM intégrée.
L’équipe de sécurité Donjon de Ledger a déclaré que la puce n’avait eu aucun effet sur l’élément sécurisé, le système d’exploitation ni le processus de signature. C’est pourquoi elle n’a jamais déclenché le test d’authenticité « Genuine Check » de l’entreprise. Dans les jours qui ont suivi, deux signalements à Singapour ont été révélés. Mark Karpelès, ancien PDG de Mt. Gox, a déclaré avoir acheté à l’aéroport de Singapour un Ledger Flex muni d’un implant espion. Un propriétaire a affirmé qu’un appareil acheté chez le détaillant informatique local Challenger avait été trafiqué et que Ledger lui avait ensuite envoyé un appareil de remplacement.
Le 13 octobre, Ledger a demandé aux détaillants d’Indonésie, de Singapour, de Thaïlande, des Philippines, du Vietnam, de Malaisie et de Hong Kong de suspendre la vente de ses produits. Dans une publication du 28 octobre, Ledger a déclaré que toutes les pertes confirmées concernaient des appareils vendus par un nombre limité de revendeurs. L’entreprise n’a confirmé aucun détournement lié à un appareil acheté hors d’Asie du Sud-Est et ne voit aucun signe de compromission de son infrastructure, de ses systèmes ou de son canal de vente directe.
« Les chiffres qui circulent en ligne proviennent de tiers, et Ledger ne les a pas entièrement vérifiés », a déclaré l’entreprise le 22 octobre. La solution de plus long terme de Ledger est l’Atom, un appareil à 849 dollars dévoilé par l’entreprise lors de son événement Op3n à Paris, le 15 octobre. L’Atom ne sera pas expédié avant l’été 2027 au plus tôt, et ses protections contre les manipulations ne seront pas ajoutées aux appareils Nano, Flex et Stax déjà en circulation.
L’article « La police de Singapour met en garde les habitants contre des portefeuilles Ledger compromis » a d’abord été publié sur Coinfea.