Un implant dans Ledger suscite des inquiétudes sur la chaîne d’approvisionnement des portefeuilles matériels
L’équipe de sécurité Donjon de Ledger a découvert un implant malveillant dans un portefeuille matériel vendu par le revendeur d’Asie du Sud-Est CryptoBilis. L’implant peut capturer la phrase de récupération de 24 mots de l’appareil lors de sa configuration et l’envoyer par LTE grâce à une eSIM préconfigurée, mettant ainsi les fonds du portefeuille en danger. Ledger a confirmé qu’un appareil était concerné et a indiqué que les pertes vérifiées à ce jour concernent des portefeuilles vendus par CryptoBilis. CryptoBilis a cessé de vendre des appareils Ledger pendant la poursuite de l’enquête. L’enquêteur on-chain Specter a relié plus de 86 millions de dollars de vols présumés sur Bitcoin, Ethereum et Tron, mais Ledger précise que les estimations de pertes circulant en ligne n’ont pas encore été vérifiées. Ledger conseille aux acheteurs de ne pas configurer les appareils suspects et demande à toute personne qui en a utilisé un de transférer ses fonds vers un nouvel appareil avec une nouvelle phrase de récupération. L’incident du portefeuille matériel a également ravivé des inquiétudes plus générales concernant la chaîne d’approvisionnement. Le chercheur en sécurité Joe Grand a averti que des manipulations physiques sophistiquées peuvent être difficiles à détecter. Trezor a déclaré que les contrôles d’authenticité et les micrologiciels signés sont utiles, mais ne permettent pas d’exclure toute modification, et prévoit de réduire son réseau de revendeurs. Des experts ont recommandé de répartir la confiance entre plusieurs fournisseurs et d’améliorer les conceptions résistantes aux manipulations, tout en soulignant qu’aucune mesure ne supprime tous les risques. Ledger affirme que l’implant n’a modifié ni son Secure Element, ni son système d’exploitation, ni les signatures de transaction. L’incident met en évidence les risques de sécurité liés aux portefeuilles matériels et aux phrases de récupération, mais ne signale pas un problème plus général touchant le réseau Bitcoin.
Neutral
L’incident pourrait inciter, à court terme, les traders de cryptomonnaies et les utilisateurs de l’autoconservation à la prudence, notamment à l’égard des fournisseurs de portefeuilles matériels et de la sécurité des phrases de récupération. Cette réaction pourrait affecter la confiance envers Ledger et pousser certains utilisateurs à transférer leurs fonds ou à revoir la manière dont ils conservent leurs actifs. Toutefois, les informations disponibles ne font état d’aucune défaillance des protocoles Bitcoin, Ethereum ou Tron, et le montant total du vol présumé n’a pas été vérifié. L’impact direct sur les cours du BTC, de l’ETH et du TRX devrait donc être limité ; une éventuelle réaction du marché devrait davantage se cantonner au sentiment lié à la sécurité qu’entraîner des ventes généralisées. À plus long terme, des contrôles renforcés de la provenance, des conceptions plus résistantes aux altérations et un encadrement plus clair des revendeurs pourraient améliorer la confiance dans l’autoconservation. L’événement pourrait inciter certains utilisateurs à diversifier leurs fournisseurs, mais il ne modifie pas en soi la valeur fondamentale ni le fonctionnement des cryptomonnaies citées.