Le piège matériel qui a coûté 93 millions
Le 9 octobre dernier, Ledger a confirmé la découverte d’un implant matériel non autorisé dans certains de ses portefeuilles physiques vendus par CryptoBilis en Asie du Sud-Est.
Les pertes liées à cette attaque sont considérables. Selon des chercheurs onchain, plus de 300 portefeuilles compromis ont entraîné un vol estimé à 93,2 millions de dollars en cryptomonnaies. Parmi ces montants, Tether a gelé 10 millions de dollars USDT pour limiter les dégâts. Toutes les victimes confirmées avaient acheté leur appareil Ledger via CryptoBilis, ce qui permet pour l’instant de circonscrire l’incident à cette chaîne d’approvisionnement spécifique.
Le 9 octobre, Ledger a publié publiquement son enquête après avoir confirmé que tous les cas de vol concernaient des appareils vendus par CryptoBilis.
Le mode opératoire de l’implant espion
L’attaque n’a pas exploité une faille logicielle ou une compromission du Secure Element – le cœur cryptographique des wallets Ledger – mais s’est appuyée sur une modification physique du matériel lors du passage chez le revendeur ou dans la distribution.
L’implant capturait la phrase de récupération lors de l’initialisation du portefeuille et l’envoyait automatiquement à un attaquant via un module cellulaire intégré. Ce mécanisme permettait au pirate d’accéder aux fonds sans jamais avoir à interagir directement avec l’utilisateur ou avec les systèmes internes de Ledger. Le fabricant insiste sur le fait qu’aucune preuve ne laisse penser que son infrastructure technique ou ses canaux de vente directs aient été compromis.
La sophistication de ce dispositif a surpris même les experts en sécurité, qui soulignent que seule une inspection minutieuse aurait pu révéler la présence d’un module LTE caché.
CryptoBilis et MediaMarkt sous pression
Face à l’ampleur du scandale, CryptoBilis a suspendu toutes ses ventes de wallets Ledger et Trezor durant l’enquête. Ledger a demandé à tous ses revendeurs d’Indonésie, Singapour, Thaïlande, Philippines, Vietnam, Malaisie et Hong Kong – soit sept marchés majeurs – de retirer immédiatement les produits Ledger des rayons. Cette décision vise à éviter toute propagation du problème alors que l’enquête n’a pas encore permis d’identifier avec certitude le point exact de compromission dans la chaîne logistique.
En Europe, MediaMarktSaturn a également pris des mesures drastiques : tous les produits Ledger ont été retirés des magasins physiques et des plateformes en ligne dans chaque pays où le groupe opère. Cette suspension préventive fait suite au signalement d’un client allemand ayant découvert un implant suspect dans son appareil acheté chez MediaMarkt. À ce jour, aucune perte financière n’a été officiellement liée à ces cas européens, mais la vigilance reste maximale.
Un utilisateur identifié sous le nom Johannes affirme avoir acquis deux portefeuilles Ledger différents dans deux magasins MediaMarkt distincts en Allemagne : chacun contenait des câbles non autorisés et un module cellulaire suspect. Mark Karpelès, ex-PDG de Mt. Gox, a lui aussi signalé sur les réseaux qu’un Ledger Flex acheté à l’aéroport de Singapour comportait un implant espion similaire.
Ledger recommande désormais expressément aux clients ayant acheté un appareil chez CryptoBilis ou tout autre revendeur tiers concerné de ne pas initialiser leur wallet et de transférer leurs fonds vers un nouvel appareil sécurisé muni d’une nouvelle phrase de récupération générée hors ligne.
Voir Aussi
Trezor serre la vis aux revendeurs
tendu, Trezor a annoncé dès ce mardi qu’il allait réduire drastiquement le nombre de ses revendeurs officiels dès le 1er janvier prochain. Danny Sanders, directeur commercial chez Trezor, a notifié plusieurs partenaires qu’ils seraient retirés de la liste des entités autorisées dès le début d’année prochaine afin de renforcer la sécurité autour des expéditions et limiter tout risque similaire.
Trezor précise qu’aucune preuve ne suggère que ses propres appareils aient été compromis jusqu’ici. Néanmoins, par mesure préventive face aux révélations sur les implants matériels trouvés chez Ledger – notamment ceux vendus par CryptoBilis –, Trezor va suspendre ses livraisons vers certains distributeurs jugés moins fiables ou exposés.
CryptoBilis étant également distributeur Trezor officiel en Asie du Sud-Est, il a choisi d’arrêter temporairement toute vente pendant que l’enquête se poursuit.
Les failles persistantes dans la chaîne d’approvisionnement
Cet incident met en lumière une vulnérabilité majeure : même sans faille logicielle ni piratage des serveurs internes du fabricant, une attaque physique lors du stockage ou du transport peut suffire à compromettre massivement la sécurité des utilisateurs finaux. Plus de 72 millions et jusqu’à 93 millions de dollars auraient ainsi été dérobés selon différentes estimations relayées par cointelegraph.com.
Malgré l’absence actuelle d’indications claires concernant une compromission au-delà du cas CryptoBilis en Asie du Sud-Est, plusieurs utilisateurs européens rapportent désormais leurs propres soupçons après avoir acheté leurs appareils auprès de détaillants comme MediaMarkt. Les fabricants multiplient donc les audits logistiques et techniques pour tenter d’isoler toute faille résiduelle avant que celle-ci ne touche d’autres marchés stratégiques.
Points saillants
- •Plus de 93,2 millions de dollars volés sur plus de 300 portefeuilles Ledger vendus par CryptoBilis en Asie du Sud-Est (9 octobre).
- •L’implant espion lisait la phrase de récupération et la transmettait via LTE ; aucune modification du Secure Element n’a été détectée.
- •Trezor réduira le nombre de ses revendeurs à partir du 1er janvier 2024 en réponse à l’incident Ledger.
Les signaux à ne pas ignorer
Le 1er janvier marquera la réduction effective du nombre de revendeurs Trezor, une mesure annoncée après la découverte d’implants espions dans des appareils Ledger vendus par CryptoBilis, tandis que MediaMarktSaturn a déjà retiré tous les produits Ledger de ses rayons suite à des signalements similaires ; si d’autres cas de compromission sont confirmés en dehors de l’Asie du Sud-Est, l’étendue réelle de la menace reste incertaine et pourrait entraîner de nouvelles suspensions immédiates chez les distributeurs.
