Confirmé les 8 et 9 oct. : l’incident Ledger + CryptoBilis* est plus grave que ce qui avait été rapporté.
*Ce que dit Ledger :* $JCT $RLC $KAIA
- Enquête sur des vols visant des utilisateurs d’*Asie du Sud-Est* ayant acheté des appareils par l’intermédiaire du revendeur *CryptoBilis* (orthographié CryptoBilis/CryptoBillis)
- *Mesure prise :* Ledger a ordonné à CryptoBilis de *suspendre toutes les ventes et expéditions* et a conseillé à toute personne ayant acheté auprès de ce revendeur au cours des *90 derniers jours* de *ne PAS initialiser* l’appareil s’il n’a pas encore été configuré. S’il est déjà configuré, *créez un nouveau portefeuille avec une toute nouvelle phrase de récupération sur un appareil sûr*, puis transférez immédiatement les fonds.
*Étendue de l’incident :*
- Alerte de CZ : il semble s’agir d’un problème dans la chaîne d’approvisionnement — un distributeur unique est soupçonné d’avoir vendu des appareils *contrefaits ou altérés*.
- L’enquêteur on-chain *Specter* : *des centaines de portefeuilles* vidés sur BTC/ETH/Tron.
- Estimations des pertes : *tanuki42*, chercheur en sécurité, estime les pertes à *plus de 72 M$* ; Specter à *plus de 86 M$*, et le montant continue d’augmenter — il ne s’agit pas de quelques utilisateurs seulement.
- La cause n’est pas encore confirmée : cartes contenant une phrase de récupération préétablie, micrologiciel modifié ou QR code d’hameçonnage lors de la configuration qui transmet la phrase de récupération à l’attaquant — l’enquête est en cours.
Il s’agit d’un incident différent du piratage du paquet npm Ledger Connect Kit en décembre 2023 (600 000 $) : ici, le problème concerne le canal de distribution du matériel.
Si vous avez acheté auprès de CryptoBilis : consultez la procédure de vérification officielle de Ledger — un Ledger authentique est *toujours vierge* lors de sa première mise sous tension, génère sa phrase de récupération hors ligne et n’est jamais accompagné d’une fiche de récupération préremplie.
*DERNIÈRE MINUTE 🚨 Ledger enquête sur des vols en Asie du Sud-Est via le revendeur CryptoBilis — vendeur suspendu — Pertes estimées entre 72 et 86 M$ ou plus, sur des centaines de portefeuilles (BTC/ETH/Tron) — Appareils contrefaits ou altérés possibles — Conseil : n’initialisez pas les appareils CryptoBilis achetés au cours des 90 derniers jours ; adoptez immédiatement une nouvelle phrase de récupération 🔒*
*Ce que dit Ledger :* $JCT $RLC $KAIA
- Enquête sur des vols visant des utilisateurs d’*Asie du Sud-Est* ayant acheté des appareils par l’intermédiaire du revendeur *CryptoBilis* (orthographié CryptoBilis/CryptoBillis)
- *Mesure prise :* Ledger a ordonné à CryptoBilis de *suspendre toutes les ventes et expéditions* et a conseillé à toute personne ayant acheté auprès de ce revendeur au cours des *90 derniers jours* de *ne PAS initialiser* l’appareil s’il n’a pas encore été configuré. S’il est déjà configuré, *créez un nouveau portefeuille avec une toute nouvelle phrase de récupération sur un appareil sûr*, puis transférez immédiatement les fonds.
*Étendue de l’incident :*
- Alerte de CZ : il semble s’agir d’un problème dans la chaîne d’approvisionnement — un distributeur unique est soupçonné d’avoir vendu des appareils *contrefaits ou altérés*.
- L’enquêteur on-chain *Specter* : *des centaines de portefeuilles* vidés sur BTC/ETH/Tron.
- Estimations des pertes : *tanuki42*, chercheur en sécurité, estime les pertes à *plus de 72 M$* ; Specter à *plus de 86 M$*, et le montant continue d’augmenter — il ne s’agit pas de quelques utilisateurs seulement.
- La cause n’est pas encore confirmée : cartes contenant une phrase de récupération préétablie, micrologiciel modifié ou QR code d’hameçonnage lors de la configuration qui transmet la phrase de récupération à l’attaquant — l’enquête est en cours.
Il s’agit d’un incident différent du piratage du paquet npm Ledger Connect Kit en décembre 2023 (600 000 $) : ici, le problème concerne le canal de distribution du matériel.
Si vous avez acheté auprès de CryptoBilis : consultez la procédure de vérification officielle de Ledger — un Ledger authentique est *toujours vierge* lors de sa première mise sous tension, génère sa phrase de récupération hors ligne et n’est jamais accompagné d’une fiche de récupération préremplie.
*DERNIÈRE MINUTE 🚨 Ledger enquête sur des vols en Asie du Sud-Est via le revendeur CryptoBilis — vendeur suspendu — Pertes estimées entre 72 et 86 M$ ou plus, sur des centaines de portefeuilles (BTC/ETH/Tron) — Appareils contrefaits ou altérés possibles — Conseil : n’initialisez pas les appareils CryptoBilis achetés au cours des 90 derniers jours ; adoptez immédiatement une nouvelle phrase de récupération 🔒*