Ledger a introduit de nouvelles exigences de sécurité pour ses revendeurs agréés le 15 octobre 2026, après que des attaquants ont installé des composants électroniques cachés à l'intérieur de portefeuilles de cryptomonnaies authentiques afin de voler les phrases de récupération des utilisateurs et d'accéder à leurs fonds.
Résumé
- Ledger a introduit des règles plus strictes pour les revendeurs après que des criminels ont modifié des portefeuilles matériels authentiques pour voler des cryptomonnaies.
- Des implants cachés ont capturé les phrases de récupération des portefeuilles lors de la configuration et ont transmis des informations sensibles via les réseaux cellulaires.
- Ledger a suspendu les ventes de revendeurs agréés en Asie du Sud-Est et à Hong Kong pendant l'enquête sur les appareils compromis.
- Les équipes de sécurité ont inspecté les appareils des magasins et des entrepôts, signalant aucun appareil compromis parmi leurs échantillons examinés.
- Ledger a demandé aux revendeurs d'arrêter d'exposer les portefeuilles et d'interdire la revente des appareils retournés sans exception.
Le fabricant de portefeuilles matériels a confirmé que les attaquants avaient acheté des appareils légitimes, les avaient modifiés et les avaient remis en circulation via les canaux de distribution en Asie du Sud-Est. Ledger a suspendu les ventes régionales des revendeurs, inspecté les appareils des magasins de détail et des entrepôts, et a commencé à travailler avec les forces de l'ordre pour tracer les fonds volés.
L'entreprise maintient que ses systèmes internes, son logiciel d'exploitation et ses puces de sécurité n'ont pas été compromis. Les enquêteurs continuent d'établir l'ampleur complète de l'attaque, y compris comment les appareils modifiés sont entrés sur le marché.
L'attaque des portefeuilles Ledger impliquait des implants cachés de phrases de récupération
L'enquête de Ledger a révélé que les attaquants avaient passé des mois à préparer l'opération. Ils ont acheté des portefeuilles matériels authentiques, ouvert les appareils et inséré des composants électroniques personnalisés conçus pour capturer les phrases de récupération lors de la configuration.
Une phrase de récupération contient généralement 24 mots qui permettent à un utilisateur de restaurer l'accès à un portefeuille de cryptomonnaies. Quiconque obtient ces mots peut potentiellement recréer le portefeuille sur un autre appareil et transférer ses actifs.
Les attaquants ont exploité le moment où la phrase de récupération apparaissait à l'écran de l'appareil. Un composant caché a collecté les mots et les a transmis à une infrastructure contrôlée par les criminels.
Dans sa mise à jour technique du 13 octobre, l'équipe de sécurité Donjon de Ledger a expliqué que l'implant utilisait un microcontrôleur pour lire la phrase et une SIM intégrée pour transmettre les informations via une connexion cellulaire LTE.
L'entreprise a déclaré que l'implant fonctionnait indépendamment de l'élément sécurisé de l'appareil, qui protège les informations cryptographiques sensibles. Les enquêteurs n'ont trouvé aucune preuve que le composant malveillant ait modifié le système d'exploitation ou altéré les signatures de transaction.
Des enquêtes antérieures sur les puces cachées à l'intérieur des portefeuilles Ledger ont documenté comment des composants électroniques non autorisés pouvaient exposer les phrases de récupération sans modifier les fonctions de signature normales de l'appareil.
La dernière déclaration de Ledger a décrit une opération criminelle organisée impliquant l'approvisionnement en équipements, des arrangements de distribution et une infrastructure pour collecter les identifiants de portefeuilles volés.
Le fabricant a affirmé que le groupe avait dépensé des millions pour préparer l'attaque. Il n'a pas fourni de ventilation financière ni identifié les personnes responsables.
Les attaquants auraient utilisé les phrases de récupération collectées pour accéder à plusieurs portefeuilles lors d'une opération de vol coordonnée le 9 octobre.
Bien que des enquêteurs indépendants en blockchain aient estimé les pertes à plus de 86 millions de dollars, Ledger n'a pas vérifié le montant total volé ni le nombre de clients affectés.
Ledger suspend les ventes de portefeuilles en Asie du Sud-Est
À la suite de cette découverte, Ledger a demandé aux revendeurs et distributeurs agréés d'Asie du Sud-Est et de Hong Kong de suspendre la vente d'appareils pendant que les enquêteurs examinaient les canaux de distribution concernés.
Les restrictions couvraient l'Indonésie, Singapour, la Thaïlande, les Philippines, le Vietnam, la Malaisie et Hong Kong.
CryptoBilis, un revendeur opérant en Asie du Sud-Est, avait déjà été lié à des cas confirmés impliquant des appareils modifiés.
L'entreprise a suspendu les ventes de portefeuilles matériels après que des rapports ont fait état de clients ayant perdu des fonds.
Des reportages précédents sur l'enquête sur le portefeuille CryptoBilis ont documenté la découverte par Ledger d'un implant non autorisé et sa réponse initiale aux plaintes des clients.
Ledger a ensuite étendu ses précautions au-delà du revendeur après avoir reçu des rapports concernant d'autres emplacements.
En Allemagne, MediaMarkt Saturn a cessé de vendre des appareils Ledger dans ses magasins physiques et sur sa plateforme en ligne à la suite d'un implant signalé dans l'appareil d'un client.
Ledger a déclaré que le cas allemand n'avait entraîné aucune perte confirmée de fonds clients.
L'incident a provoqué une suspension distincte des ventes de portefeuilles Ledger en Allemagne pendant que l'entreprise examinait les appareils et enquêtait sur les circonstances.
Lors de sa mise à jour du 15 octobre, Ledger a indiqué que ses enquêteurs avaient acheté des appareils dans des magasins de différents marchés, y compris en Allemagne, et les avaient ouverts pour un examen physique.
L'entreprise a examiné des échantillons provenant d'entrepôts et contrôlé une partie de son propre inventaire.
Aucun composant non autorisé n'a été découvert dans les échantillons inspectés lors de ces contrôles, selon Ledger.
Cependant, l'entreprise n'a pas divulgué combien d'appareils ont été examinés, laissant le nombre total de produits potentiellement affectés non confirmé.
Ledger a décrit l'incident comme « une attaque de distribution localisée » et a maintenu que ses systèmes de fabrication n'étaient pas responsables de la compromission.
L'enquête n'a pas encore établi précisément où chaque appareil affecté a été modifié.
Ledger introduit de nouvelles règles pour les détaillants de portefeuilles matériels
Dans le cadre de sa réponse, Ledger a ordonné aux détaillants agréés de modifier leur façon de stocker et de vendre les portefeuilles matériels.
Les détaillants doivent cesser de placer les appareils Ledger sur les étagères d'exposition et les comptoirs. Ils doivent plutôt conserver les produits dans des zones de stockage et ne les remettre aux clients qu'au moment de l'achat.
L'entreprise a introduit ces exigences immédiatement, expliquant que les mesures visaient à réduire les possibilités de manipulation non autorisée.
Ledger a rappelé aux vendeurs agréés que les appareils retournés ne doivent jamais être revendus, même lorsque leur emballage semble non ouvert ou que le produit semble inutilisé.
La règle existait déjà, mais Ledger a demandé aux distributeurs de la suivre sans exception.
Les détaillants doivent informer rapidement le fabricant chaque fois que des clients signalent des produits inhabituels ou un matériel potentiellement suspect.
L'entreprise renforce la surveillance de son réseau de distribution agréé pendant que l'enquête se poursuit.
Ledger a déclaré que son équipe de sécurité avait mené la plus grande enquête interne de l'histoire de l'entreprise, mobilisant plusieurs départements.
Des spécialistes de Ledger Donjon ont démonté l'implant récupéré et examiné son fonctionnement pour établir comment les attaquants collectaient les phrases de récupération.
Le fabricant a collaboré avec des chercheurs en sécurité et des partenaires industriels, dont SEAL_911, durant l'enquête.
Selon Ledger, les équipes travaillent avec les forces de l'ordre pour tracer les fonds volés et identifier l'infrastructure utilisée pour collecter les identifiants des portefeuilles.
L'entreprise n'a pas divulgué d'arrestations, d'accusations pénales formelles ou de fonds récupérés résultant de ces efforts.
Ledger a déclaré qu'elle avait l'intention de publier des informations techniques supplémentaires lorsque les enquêteurs pourront divulguer leurs conclusions en toute sécurité.
Ledger prévoit des protections supplémentaires contre la falsification des portefeuilles
Au-delà de ses restrictions immédiates en matière de vente au détail, Ledger développe des mesures de sécurité produit supplémentaires destinées à rendre la falsification physique plus difficile.
L'entreprise n'a pas fourni de spécifications techniques, de modèles de produits concernés ni de calendrier pour l'introduction de ces protections.
Ledger a déclaré qu'elle partagerait ses conclusions avec d'autres fabricants et vendeurs de portefeuilles matériels afin qu'ils puissent examiner des risques similaires dans leurs produits.
Les clients qui ont déjà utilisé un portefeuille potentiellement concerné ont été invités à transférer leur cryptomonnaie vers un appareil de confiance avec une phrase de récupération nouvellement générée.
Restaurer une ancienne phrase de récupération sur un appareil de remplacement ne sécuriserait pas les fonds si les attaquants avaient déjà obtenu cette phrase.
Les conseils de sécurité de Ledger avertissent les utilisateurs de ne jamais divulguer leurs phrases de récupération à quiconque prétendant représenter le support client.
L'entreprise a souligné que ses employés ne demanderont pas les mots de récupération par messages, appels téléphoniques ou sites web.
Lors de son annonce du 15 octobre, Ledger a reconnu que l'enquête se poursuivait et que des travaux de sécurité supplémentaires restaient à faire.
Le fabricant a réitéré son intention de publier de plus amples détails sur l'attaque et les méthodes utilisées par les criminels dès que son enquête permettra la divulgation.
