De l’arrêt des ventes chez un distributeur au retrait dans sept territoires : où sont passés les 86 millions de dollars de Ledger ?
Le 9 octobre, Ledger a demandé au distributeur sud-est asiatique CryptoBilis de cesser ses ventes. Selon des estimations on-chain, le vol lié à cette affaire dépasserait 86 millions de dollars (environ 42 millions en ETH / 17,6 millions en BTC / 16,5 millions en USDT ; non confirmé officiellement).
Le 10 octobre, il a été confirmé que des appareils contenaient un dispositif matériel implanté sans autorisation.
Aujourd’hui, la mesure s’étend au retrait des produits de tous les distributeurs dans sept territoires d’Asie du Sud-Est et à Hong Kong. Le même jour, le géant européen de la distribution
MediaMarktSaturn a suspendu les ventes dans toute l’Europe — des câbles et modules cellulaires anormaux ont été découverts dans des appareils d’utilisateurs en Allemagne.
Le point crucial de l’analyse technique : l’implant est dissimulé dans le boîtier de l’appareil et lit ce qui s’affiche à l’écran. Lors de l’initialisation, il décode les 24 mots de récupération, puis les transmet à l’extérieur via LTE, au moyen d’une eSIM intégrée. Il ne touche pas à la puce sécurisée, ne modifie pas le micrologiciel et n’intervient pas dans la signature. Tous les contrôles d’authenticité sont passés.
En clair : l’attaquant n’a pas forcé le coffre-fort ; il s’est placé derrière vous pour « jeter un œil » pendant que vous notiez votre mot de passe, tout en transmettant les informations en temps réel avec sa propre carte SIM. C’est pourquoi les consignes officielles sont de changer d’appareil et de créer une nouvelle phrase de récupération.
Cette fois, ce ne sont pas seulement des fonds qui ont été perdus, mais aussi l’idée reçue du secteur selon laquelle « distributeur agréé = confiance ». CryptoBilis était un revendeur officiellement agréé, et pourtant il a pu être compromis. Le modèle de sécurité des portefeuilles matériels le montre : le trajet entre l’usine et vos mains constitue la plus grande surface d’attaque. Le modèle de confiance passe de « acheter un appareil authentique » à « s’assurer que toute la chaîne d’approvisionnement est sûre ». L’audit machine de chaque appareil tout au long de son parcours deviendra la norme du secteur. Trezor et OneKey ont également mis fin à leur coopération avec ce distributeur.
Liste des mesures à prendre :
① Si vous avez acheté un appareil auprès de CryptoBilis au cours des 90 derniers jours : s’il n’a pas été initialisé, ne l’allumez pas ; s’il l’a déjà été, transférez immédiatement vos actifs et créez une nouvelle phrase de récupération.
② Achetez uniquement sur le site officiel, mais n’oubliez pas que les vérifications d’authenticité ne protègent pas contre un implant capable de lire l’écran.
③ Les équipes officielles ne vous appelleront jamais pour vous demander vos 24 mots. Les e-mails, faux sites et courriers physiques usurpant l’identité du service client profitent tous de la confusion pour passer à l’action.
④ Pour les sommes importantes, utilisez une configuration multisignature. La leçon du point de défaillance unique d’un appareil vaut 86 millions de dollars.
Avertissement sur les risques : les 86 millions de dollars correspondent à une estimation tierce, non confirmée officiellement ; le lieu de l’implantation n’a pas été identifié ; aucun fonds n’a été signalé comme perdu à la suite des anomalies constatées sur les appareils en Europe ; aucun plan de rappel ou d’indemnisation n’a été annoncé. Veuillez vous fier aux canaux officiels de Ledger.
#Ledger要求东南亚及香港经销商暂停销售
Le 9 octobre, Ledger a demandé au distributeur sud-est asiatique CryptoBilis de cesser ses ventes. Selon des estimations on-chain, le vol lié à cette affaire dépasserait 86 millions de dollars (environ 42 millions en ETH / 17,6 millions en BTC / 16,5 millions en USDT ; non confirmé officiellement).
Le 10 octobre, il a été confirmé que des appareils contenaient un dispositif matériel implanté sans autorisation.
Aujourd’hui, la mesure s’étend au retrait des produits de tous les distributeurs dans sept territoires d’Asie du Sud-Est et à Hong Kong. Le même jour, le géant européen de la distribution
MediaMarktSaturn a suspendu les ventes dans toute l’Europe — des câbles et modules cellulaires anormaux ont été découverts dans des appareils d’utilisateurs en Allemagne.
Le point crucial de l’analyse technique : l’implant est dissimulé dans le boîtier de l’appareil et lit ce qui s’affiche à l’écran. Lors de l’initialisation, il décode les 24 mots de récupération, puis les transmet à l’extérieur via LTE, au moyen d’une eSIM intégrée. Il ne touche pas à la puce sécurisée, ne modifie pas le micrologiciel et n’intervient pas dans la signature. Tous les contrôles d’authenticité sont passés.
En clair : l’attaquant n’a pas forcé le coffre-fort ; il s’est placé derrière vous pour « jeter un œil » pendant que vous notiez votre mot de passe, tout en transmettant les informations en temps réel avec sa propre carte SIM. C’est pourquoi les consignes officielles sont de changer d’appareil et de créer une nouvelle phrase de récupération.
Cette fois, ce ne sont pas seulement des fonds qui ont été perdus, mais aussi l’idée reçue du secteur selon laquelle « distributeur agréé = confiance ». CryptoBilis était un revendeur officiellement agréé, et pourtant il a pu être compromis. Le modèle de sécurité des portefeuilles matériels le montre : le trajet entre l’usine et vos mains constitue la plus grande surface d’attaque. Le modèle de confiance passe de « acheter un appareil authentique » à « s’assurer que toute la chaîne d’approvisionnement est sûre ». L’audit machine de chaque appareil tout au long de son parcours deviendra la norme du secteur. Trezor et OneKey ont également mis fin à leur coopération avec ce distributeur.
Liste des mesures à prendre :
① Si vous avez acheté un appareil auprès de CryptoBilis au cours des 90 derniers jours : s’il n’a pas été initialisé, ne l’allumez pas ; s’il l’a déjà été, transférez immédiatement vos actifs et créez une nouvelle phrase de récupération.
② Achetez uniquement sur le site officiel, mais n’oubliez pas que les vérifications d’authenticité ne protègent pas contre un implant capable de lire l’écran.
③ Les équipes officielles ne vous appelleront jamais pour vous demander vos 24 mots. Les e-mails, faux sites et courriers physiques usurpant l’identité du service client profitent tous de la confusion pour passer à l’action.
④ Pour les sommes importantes, utilisez une configuration multisignature. La leçon du point de défaillance unique d’un appareil vaut 86 millions de dollars.
Avertissement sur les risques : les 86 millions de dollars correspondent à une estimation tierce, non confirmée officiellement ; le lieu de l’implantation n’a pas été identifié ; aucun fonds n’a été signalé comme perdu à la suite des anomalies constatées sur les appareils en Europe ; aucun plan de rappel ou d’indemnisation n’a été annoncé. Veuillez vous fier aux canaux officiels de Ledger.
#Ledger要求东南亚及香港经销商暂停销售