L'essentiel
- dérobés selon les analystes de la blockchain
- 86 à 93 M$
- portefeuilles vidés
- 300+
- la phrase de récupération visée par l'implant
- 24 mots
Des portefeuilles Ledger vendus par un revendeur agréé d'Asie du Sud-Est contenaient un composant espion ajouté à l'intérieur de l'appareil. Selon des analystes de la blockchain, entre 86 et 93 millions de dollars auraient été dérobés sur plus de 300 portefeuilles. Ledger l'a confirmé le 10 octobre : le problème ne vient pas de ses usines, mais de la chaîne de distribution.
Ce qui s'est passé
- 9 octobre : Ledger reconnaît des signalements de fonds disparus.
- 10 octobre : le support de Ledger confirme qu'un appareil d'une victime contenait un implant matériel non autorisé.
- 11 octobre : Ledger indique que tous les cas confirmés concernent des appareils vendus par CryptoBilis, un revendeur présent en Malaisie, en Indonésie et aux Philippines. Ledger le retire de sa liste de revendeurs agréés, et CryptoBilis suspend ses ventes.
Les fonds volés concernent des portefeuilles Bitcoin, Ethereum et Tron. Ledger n'a pas confirmé de montant officiel et affirme que le nombre d'appareils touchés est limité. L'entreprise assure que ses systèmes internes et sa boutique officielle n'ont pas été compromis.
Comment fonctionne l'attaque
Un portefeuille matériel, ou cold wallet, protège votre clé privée en la gardant hors d'internet. Toute la sécurité repose sur un principe : la phrase de récupération de 24 mots ne doit jamais quitter l'appareil.
D'après Mark Karpelès, ancien patron de la plateforme Mt. Gox, qui dit avoir démonté un appareil vendu par CryptoBilis, l'implant combinerait un petit module de téléphonie mobile et une puce branchée sur les circuits de l'appareil. Il lirait les mots affichés à l'écran au moment de la configuration et les enverrait à distance. L'attaquant n'a plus qu'à attendre que des fonds arrivent pour les vider. Ces constats n'ont pas été vérifiés par Ledger.
Le point le plus inquiétant : l'appareil semble parfaitement normal. Le boîtier, l'emballage et le fonctionnement ne trahissent rien pour un utilisateur non averti.
L'Europe concernée ?
Un utilisateur installé en Europe affirme avoir trouvé un composant suspect dans un Ledger acheté en magasin, dans une grande enseigne d'électronique, quelques semaines plus tôt. Aucun vol n'est signalé dans ce cas, et l'information n'a pas été confirmée par Ledger à ce jour. Elle invite toutefois à la prudence, y compris pour les achats réalisés en France.
Ce que ça change pour vous
Achetez à la source : le plus sûr reste d'acheter directement sur le site officiel du fabricant. Un revendeur, même agréé, ajoute un intermédiaire dans la chaîne.
Ne configurez jamais un appareil douteux : emballage abîmé, phrase de récupération déjà fournie, appareil déjà initialisé, câbles ou pièces inhabituels… Au moindre doute, ne l'utilisez pas.
Si votre appareil vient de CryptoBilis, ou d'un vendeur non officiel, transférez vos fonds vers une nouvelle phrase de récupération générée sur un appareil acheté chez Ledger, puis contactez le support officiel.
Méfiez-vous des faux messages : ce type d'affaire attire toujours des escrocs. Ledger ne vous appellera jamais et ne vous demandera jamais vos 24 mots.
Ce qu'il faudra surveiller
- Le bilan officiel de Ledger : nombre d'appareils touchés et montant réel des pertes.
- La confirmation, ou non, de cas en Europe.
- Les nouvelles mesures de contrôle des revendeurs annoncées par Ledger, et une éventuelle indemnisation des victimes.
Cette actualité est partagée à titre d'information et ne constitue pas un conseil en investissement.
