Ledger a confirmé qu'un appareil appartenant à un utilisateur touché contenait un implant matériel non autorisé, marquant la première constatation au niveau d'un appareil dans une enquête sur les fonds perdus signalés par des acheteurs de ses appareils auprès du revendeur CryptoBillis.

Dans sa dernière mise à jour publique, le fabricant de portefeuilles matériels a indiqué contacter les utilisateurs concernés, collaborer avec le revendeur CryptoBillis et coopérer avec les autorités compétentes. L'entreprise a également déclaré n'avoir constaté aucune indication que son infrastructure de sécurité, ses systèmes ou ses services aient été compromis.

Cette constatation attire l'attention sur le chemin de distribution de l'appareil, tandis que l'entreprise poursuit l'examen des circonstances plus larges des pertes signalées. La mise à jour de Ledger a répertorié l'implant comme une constatation confirmée dans un appareil, tandis que le nombre d'appareils potentiellement concernés et le rôle joué par l'implant dans les pertes restent à l'examen. L'entreprise n'a pas divulgué l'ampleur potentielle ni publiquement relié l'implant à chaque perte signalée.

Comment l'enquête est parvenue à une constatation au niveau d'un appareil

Ledger a lancé son enquête après que des utilisateurs ont signalé des fonds perdus liés à des appareils achetés auprès de CryptoBillis. À ce stade, l'entreprise n'avait confirmé ni cause commune, ni total des pertes signalées, ni compromission de ses propres systèmes. Elle a demandé au revendeur de suspendre les ventes et a averti les clients de ne pas initialiser les appareils inutilisés, comme le rapportait un précédent article.

La dernière déclaration donne à l'enquête une constatation concrète au niveau d'un appareil. Elle n'établit pas combien d'unités peuvent être concernées ni n'explique comment chaque perte signalée s'est produite.

CryptoBillis suspend toutes les ventes de portefeuilles matériels

Ledger a indiqué que CryptoBillis a cessé la vente de l'intégralité de son stock de portefeuilles matériels jusqu'à la conclusion de l'enquête. Cette suspension limite toute distribution supplémentaire via le revendeur pendant que les deux entreprises déterminent les prochaines étapes.

Cette constatation place l'accent sur la chaîne d'approvisionnement. La sécurité d'un portefeuille matériel commence avant que son propriétaire ne crée un portefeuille : l'appareil doit parvenir à l'acheteur sans modification non autorisée. Les portefeuilles matériels sont conçus pour conserver les clés privées de l'utilisateur hors ligne, et ce modèle de sécurité repose sur l'authenticité du matériel lors de sa configuration. Ledger n'a pas déclaré que tous les appareils de CryptoBillis avaient été altérés, c'est pourquoi l'enquête et la suspension des ventes restent importantes.

Les listes de revendeurs sur les réseaux sociaux ne sont pas des avertissements officiels

Une publication X du contributeur de CryptoQuant Darkfost citait d'autres revendeurs Ledger en Asie du Sud-Est qui, selon elle, pourraient être exposés à un risque lié à la chaîne d'approvisionnement en raison de leur proximité régionale avec CryptoBillis. La publication décrivait explicitement cette suggestion comme une spéculation et ne présentait aucune preuve que ces détaillants aient vendu des appareils altérés.

Ledger a confirmé un implant non autorisé dans un appareil lié à CryptoBillis. Elle n'a publiquement identifié d'autres revendeurs, confirmé un problème de distribution plus large ni conseillé à tous les clients de la région de déplacer leurs fonds. Les acheteurs doivent donc éviter de traiter une liste de revendeurs circulant en ligne comme un avertissement officiel, tout en suivant les conseils de Ledger s'ils ont acheté auprès de CryptoBillis ou s'ils reçoivent une communication directe de l'entreprise.

Ce que les acheteurs concernés devraient envisager

Ces étapes s'appliquent aux personnes ayant acheté un appareil Ledger auprès de CryptoBillis. Ledger n'a pas émis de consigne de migration pour l'ensemble des utilisateurs Ledger.

• Laisser un appareil inutilisé non initialisé. Les clients ayant acheté auprès du revendeur et n'ayant pas commencé la configuration ne doivent pas initialiser l'appareil tant que l'enquête se poursuit.
• Ne pas réutiliser une phrase de récupération existante sur un appareil de remplacement. Un appareil de remplacement chargé avec l'ancienne phrase de 24 mots restaure le même portefeuille et ne crée pas de frontière de sécurité distincte.
• Envisager de transférer les actifs vers un nouveau signataire avec une nouvelle phrase. Pour un appareil déjà initialisé, Ledger conseille d'envisager une migration vers une nouvelle configuration de portefeuille. Les utilisateurs doivent vérifier chaque adresse de destination sur l'écran du portefeuille matériel avant d'approuver une transaction.
• Ne jamais divulguer la phrase de récupération. Ledger déclare ne jamais demander la phrase de récupération de 24 mots des utilisateurs, et toute demande en ce sens doit être traitée comme une tentative d'escroquerie.

Une piste physique, avec des questions en suspens

La confirmation de Ledger transforme l'affaire, passée d'une série de signalements d'utilisateurs à une enquête avec une constatation confirmée au niveau d'un appareil. Des questions subsistent quant à l'ampleur du problème et au lien entre l'implant et les pertes signalées. Les signaux à surveiller désormais sont les mises à jour de suivi de Ledger sur le nombre d'appareils potentiellement concernés, les notifications directes aux acheteurs ayant passé commande auprès du revendeur, et la conclusion de l'enquête qui déterminera si CryptoBillis reprend ses ventes.

Pour les acheteurs de CryptoBillis, la priorité immédiate est simple : ne pas initialiser un appareil inutilisé et utiliser une nouvelle phrase de récupération lors du transfert des actifs. Pour les autres utilisateurs d'auto-conservation, cet épisode rappelle que la sécurité d'un portefeuille dépend de l'intégrité de l'appareil avant la signature de sa première transaction.

Cet article est fourni à titre informatif uniquement et ne constitue ni un conseil financier ni un conseil en sécurité. Les utilisateurs qui estiment qu'un appareil pourrait être concerné doivent suivre les conseils officiels de Ledger et ne jamais partager leur phrase de récupération.