⚡ Le portefeuille froid n’a pas été piraté. C’est le trajet jusqu’à vous qui l’a été.
Les fabricants de portefeuilles matériels vendent tous la même promesse : les clés privées ne touchent jamais Internet. Cette semaine, des acheteurs d’Asie du Sud-Est ont découvert que cette promesse avait une condition préalable que personne n’avait écrite dans le manuel.
Le 9 octobre, des utilisateurs de Ledger en Indonésie, en Malaisie et aux Philippines ont ouvert l’application et découvert un solde nul. Ils n’avaient effectué aucun transfert, ni cliqué sur aucun lien. L’argent était parti tout seul.
Ce jour-là, Ledger a reconnu sur X enquêter sur un lot de produits provenant du distributeur sud-est-asiatique CryptoBilis. L’entreprise lui a demandé de cesser les ventes. Elle a aussi conseillé aux personnes ayant acheté un appareil au cours des trois derniers mois de ne pas l’allumer, et à celles qui l’utilisaient déjà de transférer leurs actifs vers un nouveau portefeuille et de créer une nouvelle phrase de récupération. Le lendemain, le 10 octobre, Ledger a confirmé qu’un appareil appartenant à une victime dissimulait une carte électronique implantée sans autorisation.
Pendant près d’une demi-semaine, les observateurs n’ont fait que spéculer. Bitquery a retracé les fonds de six chaînes de blocs où des portefeuilles avaient été vidés, et avancé un chiffre : 93,2 millions de dollars, répartis sur 315 portefeuilles. Les chaînes concernées : TRON, Bitcoin, Ethereum, Solana, BNB Chain et Polygon. Les dix premières adresses rendues publiques ne représentaient que 86 millions de dollars. Le reste se trouvait sur les chaînes Solana et dans cinq adresses TRON que personne n’avait répertoriées.
La méthode n’avait rien de compliqué. Deux semaines de répétition. 21 petites transactions de test sur TRON, 20 sur Ethereum. Puis le passage à l’acte, le 9 octobre : TRON a été vidé en premier, et les six chaînes l’ont été en 47 minutes. Sur TRON, 25 portefeuilles ont signé la même autorisation en moins de 3 secondes. Huit minutes plus tôt, 30 autres portefeuilles avaient cédé le contrôle à la même clé. Quelqu’un avait déjà toutes les clés en main, et les a déplacées vite et sans accroc.
La destination des fonds est également bien connue. Tether a gelé 10 millions de dollars en USDT, répartis sur 20 portefeuilles. Dix autres millions de dollars en USDD se trouvent dans le portefeuille des voleurs. Ceux-là, impossible de les geler. En deux jours, 2 990 ETH sont passés par Tornado Cash, puis sont ressortis via Zcash ; 5,35 millions de dollars ont été convertis en USDC, que Circle peut geler. Au matin du 11 octobre, environ 81 millions de dollars étaient encore traçables sur la chaîne.
Comment la carte implantée dérobait-elle les données ? Des chercheurs ont démonté un Nano X trafiqué. La puce sécurisée était intacte, et le système de Ledger n’avait pas été compromis. Le problème se trouvait dans l’écran. Une carte de la taille d’un grain de riz était soudée aux lignes de données de l’écran. Lorsque vous configuriez votre portefeuille, elle lisait un à un les pixels des 24 mots qui s’affichaient à l’écran, puis les transmettait à l’aide de son propre module cellulaire, de sa carte SIM et de son antenne. L’appareil fonctionnait normalement : rien ne semblait anormal.
Un détail est encore plus glaçant. Selon les chiffres de Bitquery, six des dix portefeuilles vidés avaient reçu des fonds pendant la période de rappel de 90 jours de Ledger, et plus de huit sur dix avaient été approvisionnés après juin de cette année. Les anciens acheteurs ne devraient pas croire qu’ils sont à l’abri.
Le micrologiciel n’était pas défectueux. Et il ne s’agissait pas d’une attaque inédite. Le problème s’est produit pendant le trajet entre l’usine et l’acheteur. La puce sécurisée a défendu son périmètre, mais la chaîne d’approvisionnement, elle, n’a pas tenu.
Au moment où j’écris ces lignes, les quatre sources de cotation affichent le BTC entre 83 498 et 83 614 dollars, en hausse d’environ 1 % sur 24 heures. L’ETH est autour de 2 543 dollars.
Mettre ses cryptos dans un portefeuille froid, c’est sécuriser le côté appareil. Cette semaine l’a prouvé : avant même que la boîte arrive entre vos mains, quelqu’un a déjà touché à la clé.
$BTC $ETH
#中本聪国际社区Baoluo币商资本 #Ledger #Portefeuille matériel
Les fabricants de portefeuilles matériels vendent tous la même promesse : les clés privées ne touchent jamais Internet. Cette semaine, des acheteurs d’Asie du Sud-Est ont découvert que cette promesse avait une condition préalable que personne n’avait écrite dans le manuel.
Le 9 octobre, des utilisateurs de Ledger en Indonésie, en Malaisie et aux Philippines ont ouvert l’application et découvert un solde nul. Ils n’avaient effectué aucun transfert, ni cliqué sur aucun lien. L’argent était parti tout seul.
Ce jour-là, Ledger a reconnu sur X enquêter sur un lot de produits provenant du distributeur sud-est-asiatique CryptoBilis. L’entreprise lui a demandé de cesser les ventes. Elle a aussi conseillé aux personnes ayant acheté un appareil au cours des trois derniers mois de ne pas l’allumer, et à celles qui l’utilisaient déjà de transférer leurs actifs vers un nouveau portefeuille et de créer une nouvelle phrase de récupération. Le lendemain, le 10 octobre, Ledger a confirmé qu’un appareil appartenant à une victime dissimulait une carte électronique implantée sans autorisation.
Pendant près d’une demi-semaine, les observateurs n’ont fait que spéculer. Bitquery a retracé les fonds de six chaînes de blocs où des portefeuilles avaient été vidés, et avancé un chiffre : 93,2 millions de dollars, répartis sur 315 portefeuilles. Les chaînes concernées : TRON, Bitcoin, Ethereum, Solana, BNB Chain et Polygon. Les dix premières adresses rendues publiques ne représentaient que 86 millions de dollars. Le reste se trouvait sur les chaînes Solana et dans cinq adresses TRON que personne n’avait répertoriées.
La méthode n’avait rien de compliqué. Deux semaines de répétition. 21 petites transactions de test sur TRON, 20 sur Ethereum. Puis le passage à l’acte, le 9 octobre : TRON a été vidé en premier, et les six chaînes l’ont été en 47 minutes. Sur TRON, 25 portefeuilles ont signé la même autorisation en moins de 3 secondes. Huit minutes plus tôt, 30 autres portefeuilles avaient cédé le contrôle à la même clé. Quelqu’un avait déjà toutes les clés en main, et les a déplacées vite et sans accroc.
La destination des fonds est également bien connue. Tether a gelé 10 millions de dollars en USDT, répartis sur 20 portefeuilles. Dix autres millions de dollars en USDD se trouvent dans le portefeuille des voleurs. Ceux-là, impossible de les geler. En deux jours, 2 990 ETH sont passés par Tornado Cash, puis sont ressortis via Zcash ; 5,35 millions de dollars ont été convertis en USDC, que Circle peut geler. Au matin du 11 octobre, environ 81 millions de dollars étaient encore traçables sur la chaîne.
Comment la carte implantée dérobait-elle les données ? Des chercheurs ont démonté un Nano X trafiqué. La puce sécurisée était intacte, et le système de Ledger n’avait pas été compromis. Le problème se trouvait dans l’écran. Une carte de la taille d’un grain de riz était soudée aux lignes de données de l’écran. Lorsque vous configuriez votre portefeuille, elle lisait un à un les pixels des 24 mots qui s’affichaient à l’écran, puis les transmettait à l’aide de son propre module cellulaire, de sa carte SIM et de son antenne. L’appareil fonctionnait normalement : rien ne semblait anormal.
Un détail est encore plus glaçant. Selon les chiffres de Bitquery, six des dix portefeuilles vidés avaient reçu des fonds pendant la période de rappel de 90 jours de Ledger, et plus de huit sur dix avaient été approvisionnés après juin de cette année. Les anciens acheteurs ne devraient pas croire qu’ils sont à l’abri.
Le micrologiciel n’était pas défectueux. Et il ne s’agissait pas d’une attaque inédite. Le problème s’est produit pendant le trajet entre l’usine et l’acheteur. La puce sécurisée a défendu son périmètre, mais la chaîne d’approvisionnement, elle, n’a pas tenu.
Au moment où j’écris ces lignes, les quatre sources de cotation affichent le BTC entre 83 498 et 83 614 dollars, en hausse d’environ 1 % sur 24 heures. L’ETH est autour de 2 543 dollars.
Mettre ses cryptos dans un portefeuille froid, c’est sécuriser le côté appareil. Cette semaine l’a prouvé : avant même que la boîte arrive entre vos mains, quelqu’un a déjà touché à la clé.
$BTC $ETH
#中本聪国际社区Baoluo币商资本 #Ledger #Portefeuille matériel