#ledger确认用户设备遭植入未授权硬件
Il n’a pas touché à votre clé privée, il a simplement regardé votre écran
▪️ Le fabricant a confirmé la présence d’un dispositif matériel non autorisé dans au moins un appareil concerné
▪️ Le procédé consistait à installer un microcontrôleur dans l’appareil et à le relier au câble de données de l’écran
▪️ Lors de la configuration du portefeuille, la phrase de récupération affichée à l’écran a été enregistrée mot à mot puis transmise à l’extérieur
▪️ Selon les estimations on-chain, environ 311 portefeuilles seraient concernés, pour un montant d’environ 92,9 millions de dollars
Toute la sécurité d’un portefeuille matériel repose sur une hypothèse : la clé privée ne quitte jamais l’appareil. Ce dispositif n’a pas remis cette hypothèse en cause : il n’a pas lu la clé privée, il a enregistré l’écran.
L’élément sécurisé protège contre la lecture de la clé privée, mais il ne peut pas contrôler ce qui s’affiche à l’écran. Il faut bien que la phrase de récupération soit visible pour pouvoir la recopier ; ces quelques secondes où les mots s’affichent un à un constituent la fenêtre d’attaque.
Le plus difficile à détecter, c’est que rien ne semble anormal. L’appareil démarre normalement, la vérification réussit, les signatures sont effectuées comme d’habitude et l’emballage est intact. Tout ce que l’utilisateur peut voir est conforme : le problème se trouve dans le circuit qu’il ne voit pas.
Le module est dissimulé sous le rembourrage de l’écran. Pour le repérer, il faut démonter l’appareil ; mais dès qu’on l’ouvre, il perd son statut de produit « d’origine » et sa garantie. Le moyen de vérifier détruit précisément l’objet qu’on cherche à vérifier.
Il faudra surveiller trois choses : la publication par le fabricant de la liste complète des lots concernés, la mise en place de contrôles à l’ouverture par les distributeurs, et la redéfinition éventuelle du label « revendeur officiel agréé ».
Si votre phrase de récupération s’est déjà affichée sur un appareil acheté par un canal non officiel, continueriez-vous à l’utiliser ?
$BTC
Il n’a pas touché à votre clé privée, il a simplement regardé votre écran
▪️ Le fabricant a confirmé la présence d’un dispositif matériel non autorisé dans au moins un appareil concerné
▪️ Le procédé consistait à installer un microcontrôleur dans l’appareil et à le relier au câble de données de l’écran
▪️ Lors de la configuration du portefeuille, la phrase de récupération affichée à l’écran a été enregistrée mot à mot puis transmise à l’extérieur
▪️ Selon les estimations on-chain, environ 311 portefeuilles seraient concernés, pour un montant d’environ 92,9 millions de dollars
Toute la sécurité d’un portefeuille matériel repose sur une hypothèse : la clé privée ne quitte jamais l’appareil. Ce dispositif n’a pas remis cette hypothèse en cause : il n’a pas lu la clé privée, il a enregistré l’écran.
L’élément sécurisé protège contre la lecture de la clé privée, mais il ne peut pas contrôler ce qui s’affiche à l’écran. Il faut bien que la phrase de récupération soit visible pour pouvoir la recopier ; ces quelques secondes où les mots s’affichent un à un constituent la fenêtre d’attaque.
Le plus difficile à détecter, c’est que rien ne semble anormal. L’appareil démarre normalement, la vérification réussit, les signatures sont effectuées comme d’habitude et l’emballage est intact. Tout ce que l’utilisateur peut voir est conforme : le problème se trouve dans le circuit qu’il ne voit pas.
Le module est dissimulé sous le rembourrage de l’écran. Pour le repérer, il faut démonter l’appareil ; mais dès qu’on l’ouvre, il perd son statut de produit « d’origine » et sa garantie. Le moyen de vérifier détruit précisément l’objet qu’on cherche à vérifier.
Il faudra surveiller trois choses : la publication par le fabricant de la liste complète des lots concernés, la mise en place de contrôles à l’ouverture par les distributeurs, et la redéfinition éventuelle du label « revendeur officiel agréé ».
Si votre phrase de récupération s’est déjà affichée sur un appareil acheté par un canal non officiel, continueriez-vous à l’utiliser ?
$BTC