Ledger Nano S+ contrefait vole les phrases-seed et vide les portefeuilles

Un chercheur en sécurité basé au Brésil a découvert un stratagème impliquant des Ledger Nano S+ contrefaits capables de voler des phrases mnémotechniques (seed phrases) et de vider des fonds sur environ 20 blockchains. L’appareil contrefait a été acheté sur une place de marché chinoise et expédié avec un firmware malveillant personnalisé ainsi qu’une application Ledger Live clonée ou modifiée. Lorsque les utilisateurs saisissent leur phrase seed lors de la configuration, le système exfiltre immédiatement les données. Le rapport a également constaté la capture en clair de matériel sensible (seeds et PINs) après un dump mémoire. Des indicateurs matériels étaient déterminants : le Ledger Nano S+ contrefait utilise une puce ESP32-S3 au lieu du véritable ST33 Secure Element, et les marquages de la puce ont été limés pour masquer l’identification. Les attaquants ont également utilisé des emballages d’applications trompeurs sur Android, Windows (.EXE), macOS (.DMG) et une build iOS TestFlight, avec exfiltration de données via le réseau. La « Genuine Check » peut échouer ou être mimée car une compromission de la chaîne d’approvisionnement peut permettre au firmware contrefait de reproduire le comportement attendu — Ledger indique que seuls les appareils disposant de sa clé de fabrication secrète devraient vérifier. Le lieu de vente importe pour le risque : les appareils apparaissent sur des places de marché tierces (par ex. vendeurs tiers Amazon, eBay, Mercado Livre, JD, AliExpress), souvent à des réductions suspectes. Les signaux d’alerte incluent des phrases seed pré-générées et des instructions demandant de taper une seed phrase dans une application. Le chercheur coordonne avec Donjon de Ledger pour un rapport technique complet après l’analyse interne de Ledger. Pour les traders, il s’agit principalement d’un risque opérationnel de garde plutôt que d’un catalyseur direct pour le prix des cryptos. Néanmoins, toute couverture grand public pourrait temporairement peser sur le sentiment concernant la sécurité des hardware wallets et la self-custody des utilisateurs — impactant la demande globale, pas les fondamentaux d’un seul token.