Une puce cachée dans le boîtier d’un portefeuille. Il suffit de jeter un œil à l’écran lors de la configuration de l’appareil : les 24 mots sont envoyés via le réseau mobile. 86 millions de dollars se seraient ainsi volatilisés 🦖
⚡ 有大动静群里说
Le 13 octobre, le géant des portefeuilles matériels Ledger a demandé aux distributeurs d’Indonésie, de Singapour, de Thaïlande, des Philippines, du Vietnam, de Malaisie et de Hong Kong de cesser immédiatement toute vente et de retirer tous les appareils des rayons. La raison : l’entreprise a confirmé elle-même que certains appareils avaient été trafiqués ⚠️
Le plus inquiétant avec cette puce, c’est qu’elle ne touche ni au micrologiciel ni à la puce sécurisée qui stocke les clés. Elle ne fait qu’une chose : espionner l’écran pendant la configuration initiale. Dès que la phrase de récupération de 24 mots apparaît, elle décode les mots, puis les envoie via le réseau LTE grâce à une eSIM intégrée. Autrement dit, l’apparence de l’appareil, son emballage et la vérification de sa signature sont parfaitement normaux. Impossible de s’en rendre compte 🔐
Tout a commencé le 9 octobre, quand des problèmes ont été signalés sur des appareils vendus par le distributeur sud-est-asiatique CryptoBilis. Le 10 octobre, Ledger a officiellement confirmé qu’un appareil avait été compromis. L’enquêteur on-chain Specter a suivi des mouvements suspects sur Ethereum, Tron et Bitcoin, pour un montant dépassant les 86 millions de dollars. Deux autres chercheurs estiment le montant entre 72 et 86 millions de dollars. Ledger souligne toutefois ne pas encore avoir vérifié combien de personnes sont touchées ni le montant total des pertes.
Les répercussions touchent désormais tout le secteur. Le grand distributeur européen d’électronique MediaMarkt a annoncé le retrait de tous les produits Ledger de ses magasins et de ses plateformes en ligne. Son concurrent Trezor a également annoncé, le même jour, le 13 octobre, une réduction du nombre de ses revendeurs agréés, qui prendra effet le 1er janvier 2027. Il cesse immédiatement de les approvisionner et précise qu’aucun élément ne prouve que ses propres appareils aient été compromis. Cette décision est motivée par les récents incidents touchant la chaîne d’approvisionnement 💥
À mon avis, cette attaque n’a pas percé le chiffrement, mais le dernier maillon du modèle commercial des portefeuilles matériels : le réseau de distribution. Le secteur répète depuis longtemps que les portefeuilles matériels sont les plus sûrs, car les clés restent hors ligne et que l’appareil est acheté directement auprès d’un revendeur officiel. Or, cet incident prouve précisément que si quelqu’un peut s’introduire dans le maillon de la distribution, l’appareil que vous avez entre les mains — d’apparence neuve, avec un emballage intact et un micrologiciel sans problème — peut tout de même être un appareil espion.
Le plus compliqué, c’est qu’il est impossible de vérifier soi-même qu’un appareil est sain avec les méthodes habituelles. On peut vérifier la signature d’un micrologiciel modifié et contrôler le numéro de série d’une puce remplacée. Mais avec un module externe indépendant qui se contente de lire l’écran et d’envoyer des SMS, l’appareil continue de fonctionner comme si de rien n’était. C’est aussi pour cela que Ledger ne peut que faire cesser les ventes dans toute la région : l’entreprise elle-même ne sait pas encore à quel stade de la chaîne de distribution l’appareil a été infiltré.
Pour les détenteurs de cryptomonnaies, trois points méritent d’être suivis. Premièrement, les conclusions de l’enquête s’étendront-elles à des marchés hors d’Asie du Sud-Est ? Deuxièmement, le durcissement des contrôles sur les circuits de distribution entraînera-t-il une hausse forcée des achats directs auprès des fabricants ? Troisièmement, les portefeuilles multisignatures deviendront-ils la norme pour les particuliers, et non plus seulement pour les institutions ? En utilisant des appareils de différents fabricants pour créer une configuration multisignature, la compromission d’un seul appareil ne suffit pas à déplacer les fonds.
Dites-nous en commentaire : avez-vous acheté votre portefeuille matériel sur un canal officiel ou auprès d’un tiers ? Que vérifiez-vous après l’avoir déballé ?
Chaque jour, je vous aide à suivre l’actualité brûlante des cryptomonnaies. Pas seulement pour savoir ce qui se passe, mais aussi pour comprendre les mécanismes et les opportunités qui se cachent derrière 👀🚀
⚡ 有大动静群里说
Le 13 octobre, le géant des portefeuilles matériels Ledger a demandé aux distributeurs d’Indonésie, de Singapour, de Thaïlande, des Philippines, du Vietnam, de Malaisie et de Hong Kong de cesser immédiatement toute vente et de retirer tous les appareils des rayons. La raison : l’entreprise a confirmé elle-même que certains appareils avaient été trafiqués ⚠️
Le plus inquiétant avec cette puce, c’est qu’elle ne touche ni au micrologiciel ni à la puce sécurisée qui stocke les clés. Elle ne fait qu’une chose : espionner l’écran pendant la configuration initiale. Dès que la phrase de récupération de 24 mots apparaît, elle décode les mots, puis les envoie via le réseau LTE grâce à une eSIM intégrée. Autrement dit, l’apparence de l’appareil, son emballage et la vérification de sa signature sont parfaitement normaux. Impossible de s’en rendre compte 🔐
Tout a commencé le 9 octobre, quand des problèmes ont été signalés sur des appareils vendus par le distributeur sud-est-asiatique CryptoBilis. Le 10 octobre, Ledger a officiellement confirmé qu’un appareil avait été compromis. L’enquêteur on-chain Specter a suivi des mouvements suspects sur Ethereum, Tron et Bitcoin, pour un montant dépassant les 86 millions de dollars. Deux autres chercheurs estiment le montant entre 72 et 86 millions de dollars. Ledger souligne toutefois ne pas encore avoir vérifié combien de personnes sont touchées ni le montant total des pertes.
Les répercussions touchent désormais tout le secteur. Le grand distributeur européen d’électronique MediaMarkt a annoncé le retrait de tous les produits Ledger de ses magasins et de ses plateformes en ligne. Son concurrent Trezor a également annoncé, le même jour, le 13 octobre, une réduction du nombre de ses revendeurs agréés, qui prendra effet le 1er janvier 2027. Il cesse immédiatement de les approvisionner et précise qu’aucun élément ne prouve que ses propres appareils aient été compromis. Cette décision est motivée par les récents incidents touchant la chaîne d’approvisionnement 💥
À mon avis, cette attaque n’a pas percé le chiffrement, mais le dernier maillon du modèle commercial des portefeuilles matériels : le réseau de distribution. Le secteur répète depuis longtemps que les portefeuilles matériels sont les plus sûrs, car les clés restent hors ligne et que l’appareil est acheté directement auprès d’un revendeur officiel. Or, cet incident prouve précisément que si quelqu’un peut s’introduire dans le maillon de la distribution, l’appareil que vous avez entre les mains — d’apparence neuve, avec un emballage intact et un micrologiciel sans problème — peut tout de même être un appareil espion.
Le plus compliqué, c’est qu’il est impossible de vérifier soi-même qu’un appareil est sain avec les méthodes habituelles. On peut vérifier la signature d’un micrologiciel modifié et contrôler le numéro de série d’une puce remplacée. Mais avec un module externe indépendant qui se contente de lire l’écran et d’envoyer des SMS, l’appareil continue de fonctionner comme si de rien n’était. C’est aussi pour cela que Ledger ne peut que faire cesser les ventes dans toute la région : l’entreprise elle-même ne sait pas encore à quel stade de la chaîne de distribution l’appareil a été infiltré.
Pour les détenteurs de cryptomonnaies, trois points méritent d’être suivis. Premièrement, les conclusions de l’enquête s’étendront-elles à des marchés hors d’Asie du Sud-Est ? Deuxièmement, le durcissement des contrôles sur les circuits de distribution entraînera-t-il une hausse forcée des achats directs auprès des fabricants ? Troisièmement, les portefeuilles multisignatures deviendront-ils la norme pour les particuliers, et non plus seulement pour les institutions ? En utilisant des appareils de différents fabricants pour créer une configuration multisignature, la compromission d’un seul appareil ne suffit pas à déplacer les fonds.
Dites-nous en commentaire : avez-vous acheté votre portefeuille matériel sur un canal officiel ou auprès d’un tiers ? Que vérifiez-vous après l’avoir déballé ?
Chaque jour, je vous aide à suivre l’actualité brûlante des cryptomonnaies. Pas seulement pour savoir ce qui se passe, mais aussi pour comprendre les mécanismes et les opportunités qui se cachent derrière 👀🚀