Cette fois, le problème ne venait pas des serveurs de Ledger : l’appareil avait été trafiqué avant même d’être livré à l’utilisateur.
Une enquête rendue publique le 9 octobre révèle qu’un utilisateur ayant acheté un Ledger auprès du revendeur sud-est-asiatique CryptoBilis a signalé le vol de ses actifs. Des enquêteurs indépendants estiment que le montant concerné pourrait dépasser 93 millions de dollars. Après démontage, ils ont découvert qu’au moins un appareil contenait un module matériel non autorisé : lors de l’initialisation de l’appareil, au moment où s’affichait à l’écran la série de 24 mots de récupération, celui-ci pouvait lire ces mots et les transmettre directement aux attaquants via un module LTE (eSIM). Le 13 octobre, Ledger a demandé sur X aux revendeurs de sept marchés — Indonésie, Singapour, Thaïlande, Philippines, Vietnam, Malaisie et Hong Kong — de suspendre les ventes et de retirer les produits. La mesure est nettement plus large que lorsqu’un seul revendeur avait été désigné précédemment.
Pourquoi cette affaire mérite-t-elle réflexion ? Parce que tout le modèle de confiance des portefeuilles matériels repose sur l’hypothèse que « la clé privée ne quitte pas la puce ». Or, cette fois, ce n’est pas la cryptographie qui a été contournée, mais la chaîne d’approvisionnement : un composant matériel tiers a été inséré entre l’écran et la puce sécurisée. Les signatures du micrologiciel et les vérifications du code source ouvert ne peuvent pas l’arrêter : il est physiquement présent et se fait passer pour un appareil sorti d’usine. Ledger souligne que ses infrastructures, ses systèmes et ses canaux de vente directe n’ont pas été compromis. Le problème se limite à la revente par des tiers dans certaines régions, et aucun cas de vol touchant des acheteurs d’autres régions n’a encore été confirmé.
Mon analyse : la limite de sécurité d’un portefeuille matériel n’a jamais été la puce, mais l’endroit où l’on se le procure. Les portefeuilles hors ligne déplacent la surface d’attaque d’Internet vers la logistique et les rayons des magasins, précisément la couche la plus difficile à auditer. Après tout, les $BTC d’une personne et ses principaux actifs se trouvent souvent dans ce petit boîtier métallique qui tient dans la paume de la main. Deux points restent à éclaircir : à quel maillon de la chaîne de distribution le sabotage a eu lieu et qui l’a effectué ; et si l’analyse des appareils récupérés par Ledger Donjon révélera d’autres lots concernés.
La question revient donc, au bout du compte, à chaque détenteur de cryptomonnaies : êtes-vous prêt à passer par un revendeur local pour économiser quelques dizaines d’unités monétaires et recevoir l’appareil plus vite, ou préférez-vous attendre une livraison directe depuis le site officiel et vérifier vous-même chaque élément de l’emballage inviolable ?
#Ledger demande aux revendeurs d’Asie du Sud-Est et de Hong Kong de suspendre les ventes
Une enquête rendue publique le 9 octobre révèle qu’un utilisateur ayant acheté un Ledger auprès du revendeur sud-est-asiatique CryptoBilis a signalé le vol de ses actifs. Des enquêteurs indépendants estiment que le montant concerné pourrait dépasser 93 millions de dollars. Après démontage, ils ont découvert qu’au moins un appareil contenait un module matériel non autorisé : lors de l’initialisation de l’appareil, au moment où s’affichait à l’écran la série de 24 mots de récupération, celui-ci pouvait lire ces mots et les transmettre directement aux attaquants via un module LTE (eSIM). Le 13 octobre, Ledger a demandé sur X aux revendeurs de sept marchés — Indonésie, Singapour, Thaïlande, Philippines, Vietnam, Malaisie et Hong Kong — de suspendre les ventes et de retirer les produits. La mesure est nettement plus large que lorsqu’un seul revendeur avait été désigné précédemment.
Pourquoi cette affaire mérite-t-elle réflexion ? Parce que tout le modèle de confiance des portefeuilles matériels repose sur l’hypothèse que « la clé privée ne quitte pas la puce ». Or, cette fois, ce n’est pas la cryptographie qui a été contournée, mais la chaîne d’approvisionnement : un composant matériel tiers a été inséré entre l’écran et la puce sécurisée. Les signatures du micrologiciel et les vérifications du code source ouvert ne peuvent pas l’arrêter : il est physiquement présent et se fait passer pour un appareil sorti d’usine. Ledger souligne que ses infrastructures, ses systèmes et ses canaux de vente directe n’ont pas été compromis. Le problème se limite à la revente par des tiers dans certaines régions, et aucun cas de vol touchant des acheteurs d’autres régions n’a encore été confirmé.
Mon analyse : la limite de sécurité d’un portefeuille matériel n’a jamais été la puce, mais l’endroit où l’on se le procure. Les portefeuilles hors ligne déplacent la surface d’attaque d’Internet vers la logistique et les rayons des magasins, précisément la couche la plus difficile à auditer. Après tout, les $BTC d’une personne et ses principaux actifs se trouvent souvent dans ce petit boîtier métallique qui tient dans la paume de la main. Deux points restent à éclaircir : à quel maillon de la chaîne de distribution le sabotage a eu lieu et qui l’a effectué ; et si l’analyse des appareils récupérés par Ledger Donjon révélera d’autres lots concernés.
La question revient donc, au bout du compte, à chaque détenteur de cryptomonnaies : êtes-vous prêt à passer par un revendeur local pour économiser quelques dizaines d’unités monétaires et recevoir l’appareil plus vite, ou préférez-vous attendre une livraison directe depuis le site officiel et vérifier vous-même chaque élément de l’emballage inviolable ?
#Ledger demande aux revendeurs d’Asie du Sud-Est et de Hong Kong de suspendre les ventes
