Cette affaire révélée d’attaque physique de la chaîne d’approvisionnement de Ledger a sonné l’alarme la plus grave pour tous les acteurs de la blockchain qui comptent sur la protection offerte par les portefeuilles matériels.
En Malaisie, une boutique qui arborait depuis des années le titre de revendeur officiel agréé a reçu des appareils directement sortis d’usine, mais ne les a pas expédiés tels quels aux utilisateurs : elle a procédé à leur détournement physique hors ligne. Grâce à une technique de micro-soudure extrêmement précise, des pirates ont dissimulé une puce espion miniature sur la carte mère de chaque portefeuille matériel Ledger.
Cette puce supplémentaire agissait comme un dispositif d’écoute physique caché. Au moment où l’utilisateur recevait un appareil neuf, encore scellé, et créait sa phrase de récupération ainsi que ses clés privées comme à l’accoutumée, la puce interceptait et enregistrait discrètement ces informations essentielles au niveau matériel. Ensuite, au moyen du module sans fil préconfiguré de la puce ou d’un protocole de communication falsifié, les pirates retransmettaient les clés privées vers un serveur distant.
L’ensemble de l’opération ne nécessitait ni que les attaquants disposent de compétences avancées en exploitation de failles logicielles, ni qu’ils incitent les utilisateurs à signer un contrat malveillant. Il suffisait que les clés privées soient exposées au moment de leur génération sur l’appareil physique. Dès lors, même si vous déconnectiez ensuite l’appareil d’Internet et le rangiez dans un coffre-fort, tous les actifs associés à votre nom n’étaient déjà plus que des chiffres que les attaquants pouvaient retirer à tout moment.
La plupart des gens achètent un portefeuille matériel pour se protéger du phishing en ligne et des vulnérabilités des contrats intelligents. Mais cette « attaque de l’intermédiaire » visant la chaîne d’approvisionnement matérielle hors ligne frappe précisément le point aveugle le plus vulnérable de la sécurité physique.
Le statut de revendeur officiellement agréé ne garantit pas en soi l’intégrité physique de l’appareil. Il atteste seulement d’une relation commerciale et ne peut empêcher une modification malveillante par l’un des intermédiaires de la chaîne de distribution.
Une véritable gestion autonome de ses actifs sur la blockchain ne peut reposer aveuglément sur la logique d’un seul appareil. Un portefeuille matériel n’est qu’un outil destiné à protéger les clés privées contre leur exposition en ligne ; il ne peut pas se défendre contre une implantation physique à l’échelle de la chaîne d’approvisionnement.
Faire entièrement dépendre la sécurité de ses actifs d’un seul appareil physique est dangereux. Pour les sommes importantes, les architectures à signatures multiples (Multi-Sig) ou les solutions de portefeuilles hors ligne provenant de circuits d’approvisionnement totalement distincts restent indispensables. Après tout, lorsque les intérêts en jeu sont considérables, plus un appareil matériel a transité de main en main, plus il est difficile de garantir la parfaite intégrité de ses circuits internes.
#Ledger确认用户设备遭植入未授权硬件
En Malaisie, une boutique qui arborait depuis des années le titre de revendeur officiel agréé a reçu des appareils directement sortis d’usine, mais ne les a pas expédiés tels quels aux utilisateurs : elle a procédé à leur détournement physique hors ligne. Grâce à une technique de micro-soudure extrêmement précise, des pirates ont dissimulé une puce espion miniature sur la carte mère de chaque portefeuille matériel Ledger.
Cette puce supplémentaire agissait comme un dispositif d’écoute physique caché. Au moment où l’utilisateur recevait un appareil neuf, encore scellé, et créait sa phrase de récupération ainsi que ses clés privées comme à l’accoutumée, la puce interceptait et enregistrait discrètement ces informations essentielles au niveau matériel. Ensuite, au moyen du module sans fil préconfiguré de la puce ou d’un protocole de communication falsifié, les pirates retransmettaient les clés privées vers un serveur distant.
L’ensemble de l’opération ne nécessitait ni que les attaquants disposent de compétences avancées en exploitation de failles logicielles, ni qu’ils incitent les utilisateurs à signer un contrat malveillant. Il suffisait que les clés privées soient exposées au moment de leur génération sur l’appareil physique. Dès lors, même si vous déconnectiez ensuite l’appareil d’Internet et le rangiez dans un coffre-fort, tous les actifs associés à votre nom n’étaient déjà plus que des chiffres que les attaquants pouvaient retirer à tout moment.
La plupart des gens achètent un portefeuille matériel pour se protéger du phishing en ligne et des vulnérabilités des contrats intelligents. Mais cette « attaque de l’intermédiaire » visant la chaîne d’approvisionnement matérielle hors ligne frappe précisément le point aveugle le plus vulnérable de la sécurité physique.
Le statut de revendeur officiellement agréé ne garantit pas en soi l’intégrité physique de l’appareil. Il atteste seulement d’une relation commerciale et ne peut empêcher une modification malveillante par l’un des intermédiaires de la chaîne de distribution.
Une véritable gestion autonome de ses actifs sur la blockchain ne peut reposer aveuglément sur la logique d’un seul appareil. Un portefeuille matériel n’est qu’un outil destiné à protéger les clés privées contre leur exposition en ligne ; il ne peut pas se défendre contre une implantation physique à l’échelle de la chaîne d’approvisionnement.
Faire entièrement dépendre la sécurité de ses actifs d’un seul appareil physique est dangereux. Pour les sommes importantes, les architectures à signatures multiples (Multi-Sig) ou les solutions de portefeuilles hors ligne provenant de circuits d’approvisionnement totalement distincts restent indispensables. Après tout, lorsque les intérêts en jeu sont considérables, plus un appareil matériel a transité de main en main, plus il est difficile de garantir la parfaite intégrité de ses circuits internes.
#Ledger确认用户设备遭植入未授权硬件