Derrière huit millions d’appareils vendus, quelqu’un a glissé dans un portefeuille matériel une puce capable d’envoyer des SMS toute seule 🦖
🚨 行情变了群里说
Mardi, l’équipe de recherche en sécurité de Ledger, Donjon, a confirmé que certains appareils de signature vendus par le distributeur sud-est-asiatique CryptoBilis dissimulaient un module matériel non autorisé. Celui-ci surveillait spécifiquement l’écran de l’appareil : dès que la phrase de récupération apparaissait, il en lisait les 24 mots, puis envoyait les données en temps réel via le réseau LTE grâce à une eSIM intégrée ⚠️
Le plus aberrant dans cette affaire, c’est que le module ne touche ni à la puce sécurisée, ni au système, ni à la signature des transactions. L’appareil semble parfaitement normal entre vos mains, mais quelqu’un a déjà raflé vos cryptos.
Les chiffres sont parlants : ce module est un composant indépendant, alimenté séparément et qui ne s’appuie que sur l’écran. À ce jour, les autorités ont confirmé qu’un seul appareil était concerné. Le détective on-chain Specter a estimé le montant présumé du vol à plus de 86 millions de dollars. Un autre média spécialisé en sécurité a revu l’estimation à la hausse, à 103 millions de dollars, sur trois blockchains : Ethereum, Tron et Bitcoin. De son côté, Ledger affirme avoir vendu plus de huit millions de portefeuilles matériels en dix ans 📉
La chronologie est courte : vendredi 9 octobre, un utilisateur signale le vol de ses fonds ; samedi, l’entreprise confirme qu’un appareil a bel et bien été trafiqué ; ce n’est que mardi que le mode opératoire est dévoilé. À présent, la chaîne européenne MediaMarkt a retiré les produits Ledger de ses rayons, le distributeur CryptoBilis a suspendu toutes ses ventes, et même Trezor et OneKey se sont empressés de prendre leurs distances.
À mon avis, il ne s’agit pas d’un piratage logiciel, mais d’une brèche dans la chaîne d’approvisionnement. Le principal argument de vente d’un portefeuille matériel, c’est que les clés privées ne sont jamais connectées à Internet. Mais si l’appareil a été ouvert avant même d’arriver entre vos mains, cette promesse ne vaut plus rien. Cela explique aussi pourquoi de plus en plus d’institutions préfèrent confier leurs fonds à un dépositaire : vous pouvez protéger vos clés privées, sans pour autant maîtriser l’étape de la livraison.
Un point à surveiller : des hackers éthiques ont déjà souligné qu’en renforçant les contrôles anti-effraction en usine et la responsabilisation tout au long de la chaîne de distribution, on pourrait considérablement augmenter le coût de ce type d’attaque. Le vrai motif d’inquiétude n’est donc pas une entreprise en particulier, mais tous les circuits de distribution de matériel dépourvus de responsabilité de bout en bout.
On en parle dans les commentaires : oseriez-vous encore lire à voix haute votre phrase de récupération devant votre portefeuille matériel ?
Chaque jour, je vous tiens au courant des sujets brûlants de la sécurité crypto. Pas seulement pour vous dire ce qui se passe, mais aussi pour vous aider à comprendre les mécanismes et les opportunités qui se cachent derrière 👀🚀
🚨 行情变了群里说
Mardi, l’équipe de recherche en sécurité de Ledger, Donjon, a confirmé que certains appareils de signature vendus par le distributeur sud-est-asiatique CryptoBilis dissimulaient un module matériel non autorisé. Celui-ci surveillait spécifiquement l’écran de l’appareil : dès que la phrase de récupération apparaissait, il en lisait les 24 mots, puis envoyait les données en temps réel via le réseau LTE grâce à une eSIM intégrée ⚠️
Le plus aberrant dans cette affaire, c’est que le module ne touche ni à la puce sécurisée, ni au système, ni à la signature des transactions. L’appareil semble parfaitement normal entre vos mains, mais quelqu’un a déjà raflé vos cryptos.
Les chiffres sont parlants : ce module est un composant indépendant, alimenté séparément et qui ne s’appuie que sur l’écran. À ce jour, les autorités ont confirmé qu’un seul appareil était concerné. Le détective on-chain Specter a estimé le montant présumé du vol à plus de 86 millions de dollars. Un autre média spécialisé en sécurité a revu l’estimation à la hausse, à 103 millions de dollars, sur trois blockchains : Ethereum, Tron et Bitcoin. De son côté, Ledger affirme avoir vendu plus de huit millions de portefeuilles matériels en dix ans 📉
La chronologie est courte : vendredi 9 octobre, un utilisateur signale le vol de ses fonds ; samedi, l’entreprise confirme qu’un appareil a bel et bien été trafiqué ; ce n’est que mardi que le mode opératoire est dévoilé. À présent, la chaîne européenne MediaMarkt a retiré les produits Ledger de ses rayons, le distributeur CryptoBilis a suspendu toutes ses ventes, et même Trezor et OneKey se sont empressés de prendre leurs distances.
À mon avis, il ne s’agit pas d’un piratage logiciel, mais d’une brèche dans la chaîne d’approvisionnement. Le principal argument de vente d’un portefeuille matériel, c’est que les clés privées ne sont jamais connectées à Internet. Mais si l’appareil a été ouvert avant même d’arriver entre vos mains, cette promesse ne vaut plus rien. Cela explique aussi pourquoi de plus en plus d’institutions préfèrent confier leurs fonds à un dépositaire : vous pouvez protéger vos clés privées, sans pour autant maîtriser l’étape de la livraison.
Un point à surveiller : des hackers éthiques ont déjà souligné qu’en renforçant les contrôles anti-effraction en usine et la responsabilisation tout au long de la chaîne de distribution, on pourrait considérablement augmenter le coût de ce type d’attaque. Le vrai motif d’inquiétude n’est donc pas une entreprise en particulier, mais tous les circuits de distribution de matériel dépourvus de responsabilité de bout en bout.
On en parle dans les commentaires : oseriez-vous encore lire à voix haute votre phrase de récupération devant votre portefeuille matériel ?
Chaque jour, je vous tiens au courant des sujets brûlants de la sécurité crypto. Pas seulement pour vous dire ce qui se passe, mais aussi pour vous aider à comprendre les mécanismes et les opportunités qui se cachent derrière 👀🚀