😬 Chez Ledger, on a découvert une vulnérabilité dans le principe « ce que vous voyez, vous le signez »

Des chercheurs ont mis en évidence un problème dans l’application Ethereum pour Ledger : lors de la consultation d’une transaction, l’appareil pouvait recevoir une nouvelle commande avant la fin de la précédente. Ainsi, les données que l’utilisateur voyait à l’écran pouvaient différer des paramètres du véritable accusé signé.

L’ironie est évidente : le « Clear Signing » a justement été conçu pour faire de l’écran Ledger la source de vérité — « what you see is what you sign ».

La vulnérabilité concernait les versions de l’application Ethereum antérieures à la 1.22.3. Ledger a publié un correctif et recommande de mettre à jour l’application. Point important : l’entreprise ne signale pas l’exploitation de ce problème contre des utilisateurs.

Donc ce n’est pas une histoire « Ledger piraté ». C’est plutôt un enseignement bien plus intéressant : même un wallet matériel ne peut pas simplement vous afficher un écran et vous dire « faites-moi confiance ». La sécurité doit couvrir toute la chaîne, de la réception des données jusqu’au moment de la signature.

Je l’ai toujours dit : l’inscription « Secure » sur la boîte n’est pas un sortilège. En crypto, la sécurité s’arrête là où vous cessez de vérifier ce que vous signez réellement. Désormais, chez Ledger, il y a une raison supplémentaire de rappeler cela à ses utilisateurs : abonnez-vous au @MoonMan567 si vous voulez voir ce genre d’histoires sans vernis marketing.