Le 9 octobre, le coffre-fort auquel le monde des cryptos faisait le plus confiance a été forcé. Le système de chiffrement de Ledger était intact, et personne n’avait cliqué sur un lien de phishing : le problème se situait bien en amont. Avant même que l’appareil n’arrive entre vos mains, quelqu’un avait déjà vu votre phrase de récupération.
Revenons d’abord sur les faits. Le 9 octobre, le détective on-chain Specter a repéré une avalanche de signalements sur X et Reddit faisant état de vols touchant des utilisateurs de Ledger. En suivant les traces sur la blockchain, il a découvert que plus de 300 portefeuilles avaient été vidés et leurs fonds rassemblés sur plusieurs réseaux, dont Bitcoin, Ethereum et Tron. Des chercheurs indépendants estiment les pertes entre 86 et 93 millions de dollars. Ledger a ensuite publié deux déclarations confirmant que, dans tous les cas vérifiés, les appareils provenaient du même revendeur d’Asie du Sud-Est, CryptoBilis. Et un implant matériel non autorisé a bel et bien été retrouvé dans l’un des appareils concernés.
Mark Karpelès, ancien PDG de Mt. Gox, a démonté un appareil encore dans son emballage et découvert comment cet implant fonctionnait. Sous le rembourrage de l’écran se cachait un petit module : un microcontrôleur connecté au câble de données SPI de l’écran, un module LTE doté d’une eSIM et une antenne. Lorsque vous allumez l’appareil et générez votre phrase de récupération, les mots s’affichent un par un à l’écran, en attendant que vous les notiez. Le module, lui, écoute en douce les données de l’écran, enregistre les 24 mots dans leur intégralité, puis les transmet aux attaquants par le réseau mobile. La suite est simple : les attaquants utilisent la phrase de récupération pour vider directement le portefeuille.
Le plus rageant, c’est que la vérification d’authenticité de Ledger pouvait être passée. L’élément sécurisé était authentique, la phrase de récupération aussi, et la signature également. L’élément sécurisé garantit que la clé privée ne peut pas être exportée, mais il ne peut pas empêcher quelqu’un de photographier l’écran. La clé privée n’a jamais quitté l’appareil, mais la phrase de récupération, elle, a été copiée pendant les quelques secondes où elle était affichée.
Ce qui donne encore plus froid dans le dos, c’est que ce dispositif a déjà connu trois générations. La toute première était assemblée à la main avec des fils soudés, et il fallait même remplacer la batterie par un modèle plus petit. Pour la deuxième génération, le montage utilisait un circuit imprimé flexible. La troisième, la plus inquiétante, conserve le boîtier ouvert, la batterie et la carte mère d’origine ; seule une fine antenne noire a été ajoutée le long du bord supérieur du boîtier. Ce n’est pas du bricolage individuel, mais une attaque de la chaîne d’approvisionnement, portée par un réseau organisé disposant de capacités de recherche et développement et capable de faire évoluer son dispositif.
Qu’est-ce que cela signifie pour nous, les petits investisseurs ? Je vais le résumer en trois points. Premièrement, n’achetez vos portefeuilles matériels que sur le site officiel. Même si un revendeur semble parfaitement légitime, même si le prix est inférieur de quelques dizaines d’euros, n’y touchez pas. Cette fois, tous les appareils compromis provenaient de revendeurs ; aucun appareil vendu directement sur le site officiel n’a été touché. Deuxièmement, à la réception de votre appareil, ne vous précipitez pas pour l’utiliser. Vérifiez les scellés de l’emballage, soupesez l’appareil et inspectez-le pour repérer tout élément suspect. Au moindre doute, contactez directement le service officiel. Pour être honnête, l’antenne de troisième génération est bien dissimulée et une simple inspection au toucher ne suffira peut-être pas à la repérer. La solution la plus sûre reste donc le premier point : acheter uniquement sur le site officiel. Dans ses consignes, Ledger recommande de ne pas initialiser les appareils qui ne l’ont pas encore été, et de remplacer la phrase de récupération sur ceux déjà utilisés. Troisièmement, Ledger ne vous appellera jamais et ne vous enverra jamais de message privé pour vous demander vos 24 mots. Toute personne qui vous les réclame est un escroc. Après cette affaire, les tentatives de phishing par des individus se faisant passer pour le service client officiel vont certainement se multiplier.
Et voici une suite à l’humour bien noir. Le 16 octobre, Chainalysis a révélé qu’un escroc qui montait des arnaques aux missions avait stocké l’argent extorqué sur un Ledger équipé de ce type d’implant. Résultat : des attaquants lui ont dérobé 60 bitcoins d’un coup, soit environ 4,9 millions de dollars. Un escroc s’est fait voler par d’autres escrocs ; sur la blockchain, personne n’est à l’abri.
Mon avis tient en une phrase : un portefeuille matériel peut vous protéger des pirates, mais pas de votre envie de faire une bonne affaire. Chaque centime économisé sur l’achat d’un portefeuille, c’est votre patrimoine tout entier que vous mettez en jeu.
Où avez-vous acheté votre portefeuille matériel : sur le site officiel ou chez un revendeur ? Dites-le en commentaire, je veux voir combien d’entre vous, comme moi, ont déjà choisi un vendeur tiers par commodité.
#硬件钱包 #Ledger #防骗 #AttaqueDeLaChaîneDApprovisionnement
—— Xiao Kai, le « poireau » du Web3
Avertissement : cet article est un partage d’apprentissage personnel et ne constitue en aucun cas un conseil en investissement. Les marchés comportent des risques ; investissez avec prudence.
Revenons d’abord sur les faits. Le 9 octobre, le détective on-chain Specter a repéré une avalanche de signalements sur X et Reddit faisant état de vols touchant des utilisateurs de Ledger. En suivant les traces sur la blockchain, il a découvert que plus de 300 portefeuilles avaient été vidés et leurs fonds rassemblés sur plusieurs réseaux, dont Bitcoin, Ethereum et Tron. Des chercheurs indépendants estiment les pertes entre 86 et 93 millions de dollars. Ledger a ensuite publié deux déclarations confirmant que, dans tous les cas vérifiés, les appareils provenaient du même revendeur d’Asie du Sud-Est, CryptoBilis. Et un implant matériel non autorisé a bel et bien été retrouvé dans l’un des appareils concernés.
Mark Karpelès, ancien PDG de Mt. Gox, a démonté un appareil encore dans son emballage et découvert comment cet implant fonctionnait. Sous le rembourrage de l’écran se cachait un petit module : un microcontrôleur connecté au câble de données SPI de l’écran, un module LTE doté d’une eSIM et une antenne. Lorsque vous allumez l’appareil et générez votre phrase de récupération, les mots s’affichent un par un à l’écran, en attendant que vous les notiez. Le module, lui, écoute en douce les données de l’écran, enregistre les 24 mots dans leur intégralité, puis les transmet aux attaquants par le réseau mobile. La suite est simple : les attaquants utilisent la phrase de récupération pour vider directement le portefeuille.
Le plus rageant, c’est que la vérification d’authenticité de Ledger pouvait être passée. L’élément sécurisé était authentique, la phrase de récupération aussi, et la signature également. L’élément sécurisé garantit que la clé privée ne peut pas être exportée, mais il ne peut pas empêcher quelqu’un de photographier l’écran. La clé privée n’a jamais quitté l’appareil, mais la phrase de récupération, elle, a été copiée pendant les quelques secondes où elle était affichée.
Ce qui donne encore plus froid dans le dos, c’est que ce dispositif a déjà connu trois générations. La toute première était assemblée à la main avec des fils soudés, et il fallait même remplacer la batterie par un modèle plus petit. Pour la deuxième génération, le montage utilisait un circuit imprimé flexible. La troisième, la plus inquiétante, conserve le boîtier ouvert, la batterie et la carte mère d’origine ; seule une fine antenne noire a été ajoutée le long du bord supérieur du boîtier. Ce n’est pas du bricolage individuel, mais une attaque de la chaîne d’approvisionnement, portée par un réseau organisé disposant de capacités de recherche et développement et capable de faire évoluer son dispositif.
Qu’est-ce que cela signifie pour nous, les petits investisseurs ? Je vais le résumer en trois points. Premièrement, n’achetez vos portefeuilles matériels que sur le site officiel. Même si un revendeur semble parfaitement légitime, même si le prix est inférieur de quelques dizaines d’euros, n’y touchez pas. Cette fois, tous les appareils compromis provenaient de revendeurs ; aucun appareil vendu directement sur le site officiel n’a été touché. Deuxièmement, à la réception de votre appareil, ne vous précipitez pas pour l’utiliser. Vérifiez les scellés de l’emballage, soupesez l’appareil et inspectez-le pour repérer tout élément suspect. Au moindre doute, contactez directement le service officiel. Pour être honnête, l’antenne de troisième génération est bien dissimulée et une simple inspection au toucher ne suffira peut-être pas à la repérer. La solution la plus sûre reste donc le premier point : acheter uniquement sur le site officiel. Dans ses consignes, Ledger recommande de ne pas initialiser les appareils qui ne l’ont pas encore été, et de remplacer la phrase de récupération sur ceux déjà utilisés. Troisièmement, Ledger ne vous appellera jamais et ne vous enverra jamais de message privé pour vous demander vos 24 mots. Toute personne qui vous les réclame est un escroc. Après cette affaire, les tentatives de phishing par des individus se faisant passer pour le service client officiel vont certainement se multiplier.
Et voici une suite à l’humour bien noir. Le 16 octobre, Chainalysis a révélé qu’un escroc qui montait des arnaques aux missions avait stocké l’argent extorqué sur un Ledger équipé de ce type d’implant. Résultat : des attaquants lui ont dérobé 60 bitcoins d’un coup, soit environ 4,9 millions de dollars. Un escroc s’est fait voler par d’autres escrocs ; sur la blockchain, personne n’est à l’abri.
Mon avis tient en une phrase : un portefeuille matériel peut vous protéger des pirates, mais pas de votre envie de faire une bonne affaire. Chaque centime économisé sur l’achat d’un portefeuille, c’est votre patrimoine tout entier que vous mettez en jeu.
Où avez-vous acheté votre portefeuille matériel : sur le site officiel ou chez un revendeur ? Dites-le en commentaire, je veux voir combien d’entre vous, comme moi, ont déjà choisi un vendeur tiers par commodité.
#硬件钱包 #Ledger #防骗 #AttaqueDeLaChaîneDApprovisionnement
—— Xiao Kai, le « poireau » du Web3
Avertissement : cet article est un partage d’apprentissage personnel et ne constitue en aucun cas un conseil en investissement. Les marchés comportent des risques ; investissez avec prudence.