Une attaque contre un revendeur de Ledger liée au vol de 93 millions de dollars en cryptomonnaies

Une attaque visant un revendeur de Ledger a été liée au vol de plus de 86 millions de dollars en cryptomonnaies. Une estimation évalue les pertes à environ 93,2 millions de dollars. Les portefeuilles matériels concernés auraient été vendus par le revendeur d’Asie du Sud-Est CryptoBilis, qui a suspendu ses ventes et ses expéditions pendant l’enquête. Ledger a déclaré que ses propres systèmes n’avaient pas été compromis ; le nombre d’appareils touchés et le montant définitif des pertes restent incertains. Selon les enquêteurs, un module non autorisé relié aux lignes de données de l’écran de l’appareil pouvait capturer une phrase de récupération de 24 mots lorsqu’elle était affichée, puis la transmettre par connexion cellulaire. L’appareil pouvait tout de même réussir le contrôle d’authenticité logicielle de Ledger, et l’élément sécurisé n’aurait été ni extrait ni compromis. Cette attaque contre un revendeur de Ledger met donc en évidence des risques physiques dans la chaîne d’approvisionnement que les contrôles logiciels pourraient ne pas détecter. Le suivi sur la blockchain aurait retracé les fonds sur six chaînes et 315 portefeuilles. Environ 2 990 ETH sont passés par Tornado Cash avant d’atteindre un pool de confidentialité de Zcash. Tether a gelé environ 10 millions de dollars en USDT ; une partie des fonds aurait été convertie en USDD, tandis qu’environ 700 ETH n’avaient pas bougé au moment de la publication. Ledger a conseillé aux clients ayant acheté des appareils auprès de CryptoBilis au cours des 90 derniers jours de ne pas initialiser les appareils inutilisés. Les utilisateurs ayant déjà configuré un appareil devraient transférer leurs actifs vers un nouveau signataire, au moyen d’une phrase de récupération nouvellement générée sur un équipement de confiance.