Le développeur de portefeuilles crypto Ledger a rejeté les affirmations selon lesquelles il aurait été piraté, après que des chercheurs du fabricant de portefeuilles concurrent OneKey ont reproduit une vulnérabilité de remplacement de transaction à l'aide d'une version obsolète de l'application Ethereum de Ledger.

Jeudi, Yishi Wang, fondateur et PDG d'OneKey, a déclaré sur X que l'équipe de sécurité Anzen de l'entreprise avait recréé l'attaque contre la version 1.22.1 de l'application Ethereum en laboratoire.

« Le bug est une condition de course entre la logique d'affichage des transactions et le tampon de transaction sous-jacent », a écrit Wang. « Un attaquant peut écraser la transaction en attente de signature pendant que l'utilisateur en examine encore une légitime. »

Une telle faille permettrait à un pirate ayant déjà compromis le logiciel communiquant avec une application Ledger vulnérable d'afficher une transaction Ethereum légitime à l'utilisateur, puis de remplacer ses détails avant la signature — redirigeant les fonds vers le portefeuille de l'attaquant sans que la modification apparaisse sur l'appareil. Cette condition préalable est significative : la vulnérabilité seule ne donne pas accès à l'attaquant, et son exploitation suppose que l'ordinateur hôte ou la connexion ait déjà été compromis.

Le directeur technique de Ledger, Charles Guillemet, a rejeté la caractérisation d'OneKey, estimant que reproduire un bug déjà corrigé ne revient pas à « pirater Ledger ».

« Ce que ce fil décrit est une vulnérabilité dans une version obsolète de l'application Ethereum », a-t-il répondu sur X. « Elle a été identifiée par notre processus de sécurité et corrigée dans l'application Ethereum 1.22.2, publiée le 13 août, avant ce message. »

Dans un bulletin de sécurité publié jeudi, Ledger a expliqué que la faille pouvait amener une application affectée à afficher une transaction tout en en signant une autre. L'exploitation exigerait d'abord qu'un attaquant contrôle les communications entre l'appareil et son hôte — via un logiciel malveillant, une application de portefeuille compromise ou un site web malveillant.

Ledger a déclaré n'avoir trouvé aucune preuve que quiconque ait exploité la vulnérabilité en dehors d'un laboratoire.

« Aucun utilisateur n'a été piraté. Aucune exploitation en conditions réelles », a écrit Guillemet. « Exécuter un exploit contre une ancienne version après la publication du correctif est un exercice de laboratoire, pas une découverte. »

Selon l'entreprise, des protections ont été ajoutées dans la version 1.22.2 de l'application Ethereum le 13 août, avant que le problème sous-jacent ne soit traité dans la version 26.6.1 du Secure SDK le 21 août et que les applications de Ledger ne soient recompilées avec le logiciel corrigé. L'entreprise recommande la version 1.22.3 ou ultérieure, qui corrige également une vulnérabilité distincte d'affichage des transactions. Le bulletin a été publié le 27 août.

Interrogé sur les affirmations d'OneKey, Ledger a renvoyé Decrypt vers Ledger Donjon, son équipe interne de recherche en sécurité, qui a indiqué dans un message X distinct que cet épisode démontrait pourquoi les portefeuilles matériels doivent prendre en charge les mises à jour logicielles.

« Tout logiciel comporte des bugs. Les portefeuilles matériels ne font pas exception », a écrit l'équipe. « C'est pourquoi la capacité de mise à jour est une partie essentielle de l'architecture de sécurité de Ledger : lorsqu'une vulnérabilité est découverte, que ce soit par notre propre équipe Donjon ou par des chercheurs externes, nous pouvons corriger chaque appareil sur le terrain. Un portefeuille qui ne peut pas être mis à jour ne peut pas être corrigé. »

Ledger a conseillé à ses clients d'installer les derniers micrologiciels et applications via Ledger Wallet, de mettre à jour l'application Ethereum vers la version 1.22.3 ou ultérieure, et de vérifier la version affichée sur l'appareil. Les applications et le micrologiciel se mettent à jour séparément.

Plus tôt ce mois-ci, après que des attaquants ont volé plus de 130 millions de dollars en Bitcoin à des utilisateurs de portefeuilles Coldcard isolés du réseau, Guillemet avait déclaré à Decrypt que l'incident servait d'avertissement pour l'industrie des portefeuilles matériels.

« Nous ne nous reposons pas non plus uniquement sur notre propre parole », avait-il déclaré. « Notre laboratoire de recherche Donjon existe pour tenter de casser nos produits avant quiconque d'autre. » Le différend entre les deux fabricants de portefeuilles se déroule dans un contexte de surveillance accrue de la sécurité des portefeuilles matériels dans toute l'industrie, et la mesure pratique immédiate pour les utilisateurs de Ledger est de vérifier que leur application Ethereum est en version 1.22.3 ou ultérieure.