Une puce espionne cachée dans un portefeuille matériel : comment 80 millions de dollars ont été dérobés
CZ vient de relayer une alerte de sécurité qui m’a donné des frissons dans le dos :
En Malaisie, un revendeur officiellement agréé de Ledger, en activité depuis plusieurs années, a été racheté par des pirates informatiques. Ils ont implanté des micro-puces espionnes dans les portefeuilles, les ont reconditionnés puis expédiés. Les appareils « neufs et authentiques » reçus par les clients transmettaient leurs clés privées depuis le premier jour. Le montant dérobé dépasse les 80 millions de dollars. Et le pire, c’est que les pirates ont aussi contraint le revendeur à signer un accord de confidentialité : l’affaire a été étouffée pendant longtemps avant d’éclater au grand jour.
Décryptage de cette chaîne d’attaque :
1. Le point d’entrée n’était ni une plateforme d’échange douteuse ni un lien d’hameçonnage, mais la chaîne d’approvisionnement : le matériel que vous achetez est lui-même contrefait.
2. La puce a transmis votre clé privée dès que vous avez généré votre phrase de récupération. Tout ce que vous y transférez ensuite profite à quelqu’un d’autre.
3. L’emballage, le film plastique et les autocollants de sécurité sont tous identiques aux originaux. À l’œil nu, impossible pour un particulier de faire la différence.
Trois vérifications à faire vous-même, dès maintenant :
1. Où avez-vous acheté votre portefeuille matériel ? Si vous l’avez acheté ailleurs que sur la boutique officielle, auprès d’un revendeur tiers ou sur une plateforme de seconde main, le niveau de risque est au maximum.
2. Ledger propose une vérification de l’authenticité de l’appareil (Genuine Check dans Ledger Live). Si vous ne l’avez pas encore effectuée, faites-le sans tarder.
3. Ne concentrez pas vos actifs importants sur un seul appareil : répartissez-les. C’est un conseil rabâché, mais en cas de problème, c’est la seule mesure qui fonctionne vraiment.
Mon avis : le plus effrayant dans cette affaire, ce n’est pas les 80 millions de dollars, mais le fait qu’elle brise la croyance selon laquelle « portefeuille matériel = sécurité absolue ». Un portefeuille hors ligne protège des attaques via Internet, mais pas d’un appareil trafiqué avant même sa sortie d’usine. À l’avenir, je n’achèterai mes portefeuilles matériels que directement auprès du fabricant. Même si c’est un peu plus cher, tant pis.
#安全 $BTC
CZ vient de relayer une alerte de sécurité qui m’a donné des frissons dans le dos :
En Malaisie, un revendeur officiellement agréé de Ledger, en activité depuis plusieurs années, a été racheté par des pirates informatiques. Ils ont implanté des micro-puces espionnes dans les portefeuilles, les ont reconditionnés puis expédiés. Les appareils « neufs et authentiques » reçus par les clients transmettaient leurs clés privées depuis le premier jour. Le montant dérobé dépasse les 80 millions de dollars. Et le pire, c’est que les pirates ont aussi contraint le revendeur à signer un accord de confidentialité : l’affaire a été étouffée pendant longtemps avant d’éclater au grand jour.
Décryptage de cette chaîne d’attaque :
1. Le point d’entrée n’était ni une plateforme d’échange douteuse ni un lien d’hameçonnage, mais la chaîne d’approvisionnement : le matériel que vous achetez est lui-même contrefait.
2. La puce a transmis votre clé privée dès que vous avez généré votre phrase de récupération. Tout ce que vous y transférez ensuite profite à quelqu’un d’autre.
3. L’emballage, le film plastique et les autocollants de sécurité sont tous identiques aux originaux. À l’œil nu, impossible pour un particulier de faire la différence.
Trois vérifications à faire vous-même, dès maintenant :
1. Où avez-vous acheté votre portefeuille matériel ? Si vous l’avez acheté ailleurs que sur la boutique officielle, auprès d’un revendeur tiers ou sur une plateforme de seconde main, le niveau de risque est au maximum.
2. Ledger propose une vérification de l’authenticité de l’appareil (Genuine Check dans Ledger Live). Si vous ne l’avez pas encore effectuée, faites-le sans tarder.
3. Ne concentrez pas vos actifs importants sur un seul appareil : répartissez-les. C’est un conseil rabâché, mais en cas de problème, c’est la seule mesure qui fonctionne vraiment.
Mon avis : le plus effrayant dans cette affaire, ce n’est pas les 80 millions de dollars, mais le fait qu’elle brise la croyance selon laquelle « portefeuille matériel = sécurité absolue ». Un portefeuille hors ligne protège des attaques via Internet, mais pas d’un appareil trafiqué avant même sa sortie d’usine. À l’avenir, je n’achèterai mes portefeuilles matériels que directement auprès du fabricant. Même si c’est un peu plus cher, tant pis.
#安全 $BTC