Ledger répond officiellement à une attaque par implantation matérielle : le problème vient d’un distributeur d’Asie du Sud-Est, la puce d’origine n’a pas été compromise
16 octobre — Le fabricant français de portefeuilles matériels Ledger a publié récemment un rapport sur son blog officiel, dévoilant pour la première fois l’intégralité de la chaîne d’attaque ayant permis d’implanter des puces espionnes dans des appareils Ledger vendus par le distributeur d’Asie du Sud-Est CryptoBilis.
Ledger a confirmé que les attaquants avaient dissimulé derrière l’écran de l’appareil une puce espionne équipée d’un microcontrôleur et d’un module eSIM. Celle-ci transmettait en temps réel, via le réseau LTE, la phrase de récupération de 24 mots affichée lors de l’initialisation par les utilisateurs. En revanche, la puce de sécurité de l’appareil n’a pas été touchée et les données des transactions n’ont pas été modifiées.
Le traçage sur la blockchain indique que les sorties de fonds anormales se sont principalement produites entre le 9 et le 10 octobre. L’incident a été découvert pour la première fois sur un Nano X acheté en Malaisie le 9 octobre par Mark Karpelès, ancien PDG de Mt. Gox.
L’enquête a confirmé la présence d’un implant non autorisé dans au moins un appareil Ledger. À ce jour, toutes les pertes confirmées sont liées au réseau de distribution de CryptoBilis.
Selon les estimations de l’organisme d’enquête blockchain Specter, cet implant non autorisé aurait causé des pertes estimées à 86 millions de dollars. L’estimation indépendante de Bitquery dépasse quant à elle les 93 millions de dollars, pour 311 portefeuilles concernés. Tether a depuis apporté son concours au gel d’environ 10 millions de dollars en USDT liés à l’incident.
L’incident a rapidement provoqué une réaction en chaîne dans le secteur. CryptoBilis a ensuite annoncé la suspension de la vente et de la livraison de toutes les marques de portefeuilles matériels en Malaisie, aux Philippines et en Indonésie, la fermeture temporaire de ses magasins physiques et le lancement d’un audit indépendant.
À la suite de ces événements, Trezor et OneKey ont retiré le fournisseur CryptoBilis de leur réseau agréé. En Europe, MediaMarkt a retiré les produits Ledger de ses rayons.
Ledger souligne qu’il s’agit d’une attaque physique visant la chaîne d’approvisionnement, et non d’une intrusion logicielle ou dans ses systèmes internes. L’entreprise recommande à tous les clients ayant acheté leur appareil auprès de CryptoBilis au cours des 90 derniers jours de considérer leur phrase de récupération comme compromise, de transférer immédiatement leurs actifs et de générer une nouvelle phrase de récupération. Ils ne doivent pas continuer à utiliser leur appareil d’origine.
En résumé, cet incident montre que même si un portefeuille matériel est fiable en lui-même, l’ajout malveillant d’une porte dérobée matérielle à une étape de la distribution peut toujours exposer la phrase de récupération. Il rappelle également aux utilisateurs qu’ils doivent impérativement acheter leurs portefeuilles matériels auprès des canaux de vente officiels.
#Ledger钱包
16 octobre — Le fabricant français de portefeuilles matériels Ledger a publié récemment un rapport sur son blog officiel, dévoilant pour la première fois l’intégralité de la chaîne d’attaque ayant permis d’implanter des puces espionnes dans des appareils Ledger vendus par le distributeur d’Asie du Sud-Est CryptoBilis.
Ledger a confirmé que les attaquants avaient dissimulé derrière l’écran de l’appareil une puce espionne équipée d’un microcontrôleur et d’un module eSIM. Celle-ci transmettait en temps réel, via le réseau LTE, la phrase de récupération de 24 mots affichée lors de l’initialisation par les utilisateurs. En revanche, la puce de sécurité de l’appareil n’a pas été touchée et les données des transactions n’ont pas été modifiées.
Le traçage sur la blockchain indique que les sorties de fonds anormales se sont principalement produites entre le 9 et le 10 octobre. L’incident a été découvert pour la première fois sur un Nano X acheté en Malaisie le 9 octobre par Mark Karpelès, ancien PDG de Mt. Gox.
L’enquête a confirmé la présence d’un implant non autorisé dans au moins un appareil Ledger. À ce jour, toutes les pertes confirmées sont liées au réseau de distribution de CryptoBilis.
Selon les estimations de l’organisme d’enquête blockchain Specter, cet implant non autorisé aurait causé des pertes estimées à 86 millions de dollars. L’estimation indépendante de Bitquery dépasse quant à elle les 93 millions de dollars, pour 311 portefeuilles concernés. Tether a depuis apporté son concours au gel d’environ 10 millions de dollars en USDT liés à l’incident.
L’incident a rapidement provoqué une réaction en chaîne dans le secteur. CryptoBilis a ensuite annoncé la suspension de la vente et de la livraison de toutes les marques de portefeuilles matériels en Malaisie, aux Philippines et en Indonésie, la fermeture temporaire de ses magasins physiques et le lancement d’un audit indépendant.
À la suite de ces événements, Trezor et OneKey ont retiré le fournisseur CryptoBilis de leur réseau agréé. En Europe, MediaMarkt a retiré les produits Ledger de ses rayons.
Ledger souligne qu’il s’agit d’une attaque physique visant la chaîne d’approvisionnement, et non d’une intrusion logicielle ou dans ses systèmes internes. L’entreprise recommande à tous les clients ayant acheté leur appareil auprès de CryptoBilis au cours des 90 derniers jours de considérer leur phrase de récupération comme compromise, de transférer immédiatement leurs actifs et de générer une nouvelle phrase de récupération. Ils ne doivent pas continuer à utiliser leur appareil d’origine.
En résumé, cet incident montre que même si un portefeuille matériel est fiable en lui-même, l’ajout malveillant d’une porte dérobée matérielle à une étape de la distribution peut toujours exposer la phrase de récupération. Il rappelle également aux utilisateurs qu’ils doivent impérativement acheter leurs portefeuilles matériels auprès des canaux de vente officiels.
#Ledger钱包