Ledger confirme un implant matériel non autorisé dans une attaque de la chaîne d'approvisionnement alors que les pertes pourraient dépasser 86 millions de dollars

Le fabricant français de portefeuilles crypto a révélé une violation sophistiquée de la chaîne d'approvisionnement affectant des appareils vendus par un revendeur en Asie du Sud-Est, avec des puces malveillantes vidant les fonds des utilisateurs.

Ledger, le fabricant français derrière l'un des portefeuilles matériels de cryptomonnaie les plus populaires au monde, a confirmé dimanche qu'un implant matériel non autorisé a été découvert dans des appareils authentiques, affectant potentiellement des milliers d'utilisateurs en Asie du Sud-Est. L'entreprise a déclaré que l'incident semble isolé à un seul revendeur dans la région, bien que les pertes des portefeuilles vidés pourraient dépasser 86 millions de dollars selon les analyses forensiques initiales de la blockchain.

Contrairement aux piratages logiciels ou aux attaques de phishing, cette violation représente une menace bien plus sérieuse : une attaque de la chaîne d'approvisionnement dans laquelle des appareils physiques ont été falsifiés avant d'atteindre les clients. L'implant malveillant—une minuscule puce soudée sur la carte de circuit à l'intérieur d'unités Ledger par ailleurs authentiques—a permis aux attaquants d'intercepter les clés privées et les phrases de récupération alors que les utilisateurs configuraient ou accédaient à leurs portefeuilles, même si les appareils semblaient fonctionner normalement.

Ledger a déclaré qu'elle travaillait avec les forces de l'ordre dans plusieurs juridictions et qu'elle avait lancé une enquête interne pour déterminer comment les implants ont été introduits. L'entreprise a souligné que les appareils achetés directement sur Ledger.com ou auprès de revendeurs vérifiés en Amérique du Nord et en Europe ne montrent aucun signe de falsification. Les utilisateurs d'Asie du Sud-Est qui ont acheté des appareils ces derniers mois sont instamment priés de transférer immédiatement les fonds vers un nouveau portefeuille généré sur un appareil acheté via des canaux officiels.

Le chiffre de 86 millions de dollars est préliminaire et basé sur des adresses de portefeuille que les chercheurs en sécurité ont liées aux appareils compromis. Les pertes réelles pourraient augmenter à mesure que davantage de victimes se manifestent. Ledger n'a pas divulgué le nom du revendeur impliqué, invoquant l'enquête en cours, mais a déclaré avoir suspendu les expéditions vers le distributeur et auditer l'ensemble de son réseau de partenaires.

Les portefeuilles matériels comme Ledger sont commercialisés comme la référence en matière de sécurité crypto précisément parce qu'ils gardent les clés privées hors ligne et isolées des ordinateurs connectés à Internet. Cette attaque sape cette promesse en montrant que même les appareils isolés peuvent être compromis si la chaîne d'approvisionnement est violée. Pour les utilisateurs, cela souligne l'importance critique d'acheter des portefeuilles matériels uniquement auprès de sources officielles et d'inspecter les appareils pour détecter les signes de falsification physique.

L'incident survient à un moment sensible pour l'industrie crypto, qui a passé des années à reconstruire la confiance après les effondrements d'exchanges et les échecs de garde. Les ventes de portefeuilles matériels ont bondi après l'effondrement de FTX alors que les utilisateurs cherchaient des solutions d'auto-garde, et toute érosion de la confiance dans ces appareils pourrait pousser les investisseurs à retourner vers des dépositaires réglementés ou réduire l'adoption de la crypto dans son ensemble. Les concurrents de Ledger, notamment Trezor et Coldcard, ne se sont pas encore prononcés publiquement mais examinent probablement leurs propres contrôles de chaîne d'approvisionnement.

Pour les investisseurs ordinaires, la leçon est claire : même la technologie la plus sûre n'est aussi sûre que le réseau de distribution qui la sous-tend. Les experts recommandent de vérifier l'emballage inviolable, de vérifier les numéros de série des appareils sur le site Web du fabricant et de configurer les portefeuilles dans un environnement sécurisé. Ledger a promis de partager d'autres mises à jour au fur et à mesure de l'enquête et offre des appareils de remplacement gratuits aux victimes confirmées.