Implant non autorisé confirmé

Ledger a confirmé le samedi 10 octobre qu'un implant matériel non autorisé avait été découvert dans un appareil utilisé par une personne impliquée dans une enquête sur des vols de cryptomonnaies. Les produits concernés avaient été achetés auprès de CryptoBilis, un revendeur basé en Asie du Sud-Est.

Sécurité des portefeuilles matériels mise à l'épreuve

Cette découverte met en lumière une faille dans la sécurité des portefeuilles matériels, ces appareils conçus pour stocker les cryptomonnaies de manière sécurisée. L'implant laisse penser que l'intégrité de l'appareil a pu être compromise entre sa fabrication et sa première utilisation, même si la puce sécurisée qu'il contient était authentique.

Enquête et pertes estimées

Le 9 octobre, Ledger a annoncé l'ouverture d'une enquête et demandé à CryptoBilis de cesser de vendre et d'expédier ses appareils. L'entreprise a également conseillé aux clients ayant acheté auprès de CryptoBilis au cours des 90 derniers jours de ne pas configurer leurs appareils. Des analystes ont estimé les pertes à plus de 86 millions de dollars, mais ces chiffres n'ont pas été confirmés de manière indépendante.

Fonctionnement de l'implant toujours flou

Ledger a confirmé la présence de l'implant le 10 octobre, sans toutefois expliquer en détail son fonctionnement ni dire s'il était à l'origine de l'ensemble des vols signalés. L'entreprise affirme n'avoir trouvé aucun indice indiquant que ses propres systèmes aient été compromis. Selon les descriptions disponibles, l'implant pourrait intercepter les informations affichées à l'écran de l'appareil, notamment une phrase de récupération utilisée pour accéder aux cryptomonnaies.

Phrase de récupération et risques de sécurité

Une phrase de récupération est une suite de mots qui permet à l'utilisateur de restaurer l'accès à ses cryptomonnaies sur un autre appareil. Si un portefeuille matériel capte cette phrase lors de la configuration, un tiers pourrait potentiellement transférer les fonds sans avoir besoin de l'appareil d'origine. Il est recommandé aux utilisateurs de garder cette phrase en lieu sûr, par exemple en la notant sur papier.

Limites de la vérification

Le « Genuine Check » de Ledger vérifie l'authenticité de la puce sécurisée contenue dans l'appareil, mais il ne peut pas détecter toutes les modifications physiques, comme les implants espions. Cela signifie que cette vérification ne garantit qu'un aspect de la sécurité, à savoir si la puce est légitime, et non l'ensemble du parcours de l'appareil, du fabricant jusqu'à l'utilisateur.

Précédents d'appareils modifiés

Des portefeuilles matériels modifiés avaient déjà été signalés. En 2021, un faux Ledger Nano X avait été envoyé à un utilisateur avec une clé USB contenant une application frauduleuse. En 2022, des appareils Trezor altérés avaient été vendus sur des places de marché russes non autorisées. Ces cas montrent que des portefeuilles matériels ont déjà été manipulés, même si les méthodes diffèrent de la question actuelle de l'interception de l'affichage.

Réseau de distribution sous surveillance

CryptoBilis, revendeur agréé, a suspendu la vente de produits Ledger, mais il n'est pas établi que le revendeur ait eu connaissance des modifications. L'enquête doit déterminer à quelle étape les appareils ont été altérés : pendant le transport, le stockage ou une autre étape. La documentation de Ledger précise que les partenaires ne peuvent pas revendre les appareils retournés, mais cette affaire illustre l'importance de contrôler l'ensemble de la chaîne d'approvisionnement.

Mesures de protection des clients

Ledger conseille aux utilisateurs concernés qui ont déjà configuré leurs appareils de transférer leurs actifs vers un nouvel appareil doté d'une nouvelle phrase de récupération. Les utilisateurs ne doivent jamais communiquer leur phrase de récupération à qui que ce soit, même s'ils prétendent appartenir au service client.