Ledger a suspendu les ventes de CryptoBilis, son revendeur en Asie du Sud-Est, après que des portefeuilles appartenant à des clients ayant acheté des appareils par son intermédiaire ont été vidés, pour un montant estimé entre 72 et près de 90 millions de dollars.

Le fabricant de portefeuilles matériels a déclaré enquêter sur les pertes et avoir demandé à CryptoBilis de suspendre toutes les ventes et expéditions d’appareils Ledger dans l’attente des conclusions de l’enquête. Ledger a conseillé aux utilisateurs ayant acheté un appareil auprès de ce revendeur au cours des 90 derniers jours de ne pas configurer les appareils encore inutilisés, et de transférer leurs actifs vers un nouvel appareil Ledger doté d’une nouvelle phrase de récupération si leur appareil est déjà utilisé. L’entreprise a indiqué qu’elle tiendrait ses clients informés de l’avancée de l’enquête.

Les estimations des pertes sur la blockchain varient. L’analyste Specter a suivi dix adresses de collecte et comptabilisé les fonds entrants provenant de centaines de portefeuilles de victimes sur Ethereum, TRON et Bitcoin. Il estime les pertes totales à plus de 86 millions de dollars, et ce chiffre continue d’augmenter. L’analyste tanuki42 les évalue à plus de 72 millions de dollars, tandis que MistTrack les estime à près de 90 millions. Ledger n’a confirmé aucun montant en dollars.

CryptoBilis affirme être le revendeur agréé des produits Ledger en Malaisie et vendre des appareils en Indonésie, en Malaisie et aux Philippines. L’entreprise n’a pas répondu à une demande de commentaire.

Le mécanisme présumé serait une altération de la chaîne d’approvisionnement plutôt qu’une faille dans les logiciels de Ledger. Le fondateur de Binance, Changpeng Zhao, a déclaré que les informations disponibles indiquaient une attaque de la chaîne d’approvisionnement visant un seul fournisseur, et qu’un petit nombre de personnes auraient probablement acheté des appareils contrefaits ou altérés. De son côté, la chercheuse en sécurité Taylor Monahan a affirmé qu’il n’existait aucune vulnérabilité zero-day dans les produits Ledger et a averti que déplacer précipitamment ses fonds exposait les utilisateurs à un risque d’hameçonnage supérieur à celui de l’incident lui-même.

Une partie des fonds volés a déjà été déplacée. Le suivi sur la blockchain montre que l’attaquant présumé a blanchi environ 430 ETH, d’une valeur d’environ 1,07 million de dollars, via le mélangeur Tornado Cash. Les portefeuilles suivis par Arkham et liés aux vols détiennent encore environ 70,6 millions de dollars. Tether a gelé les USDT présents sur des adresses liées aux vols. L’attaquant a ensuite commencé à échanger les USDT contre des USDD, un stablecoin basé sur Tron que Tether ne peut pas geler.

Ledger a refusé de faire d’autres commentaires. Son enquête est en cours.