Le fabricant de portefeuilles matériels crypto Ledger a déclaré vendredi enquêter sur des rapports de fonds volés liés à des appareils vendus par l'intermédiaire d'un revendeur en Asie du Sud-Est, alors qu'un braquage suspecté de 86 millions de dollars menace de s'ajouter aux pertes croissantes de l'industrie causées par des exploits cette année.

La société examine des rapports selon lesquels plus de 86 millions de dollars en cryptomonnaies auraient été volés depuis des centaines de portefeuilles liés à des appareils vendus par CryptoBilis, un revendeur d'Asie du Sud-Est, mais les pertes et ce lien n'ont pas été vérifiés de manière indépendante.

Ledger a demandé à CryptoBilis d'interrompre les ventes et les expéditions, et a conseillé aux acheteurs récents de ne pas configurer leurs appareils. Les clients ayant déjà activé leur portefeuille devraient envisager de transférer leurs actifs vers un nouvel appareil avec une phrase de récupération nouvellement générée, a indiqué la société. Une attaque de la chaîne d'approvisionnement impliquant des appareils manipulés pourrait être une explication possible, mais la cause, le nombre d'utilisateurs touchés et le montant total des pertes restent non confirmés.

Ce que les enquêteurs et Ledger ont rapporté

L'enquêteur blockchain pseudonyme Specter a déclaré sur X que plus de 86 millions de dollars en cryptomonnaies auraient pu être volés depuis des centaines de portefeuilles. Aucune confirmation indépendante du montant des actifs des utilisateurs touchés n'a été apportée.

Specter a déclaré avoir retracé des adresses suspectées de vol sur Bitcoin, Ethereum et Tron après avoir vu des rapports d'utilisateurs de Ledger sur X et Reddit. Il reste incertain de savoir si les incidents sont liés ou ce qui a causé les pertes.

Ledger a reconnu dans un post sur X les rapports de fonds manquants de clients ayant acheté des appareils via CryptoBilis, un revendeur en Asie du Sud-Est, mais n'a pas confirmé le montant des pertes signalé ni identifié la cause.

Par précaution, la société a indiqué avoir demandé à CryptoBilis de suspendre toutes les ventes et expéditions pendant que son enquête se poursuit. Ledger a conseillé aux clients ayant acheté des appareils auprès du revendeur au cours des 90 derniers jours de ne pas commencer leur configuration. Ceux qui ont déjà activé leur portefeuille devraient envisager de transférer leurs actifs vers un nouvel appareil Ledger avec une phrase de récupération nouvellement générée, a indiqué la société.

Une possible attaque de la chaîne d'approvisionnement

Une explication possible est une attaque de la chaîne d'approvisionnement, dans laquelle des portefeuilles matériels sont manipulés avant d'arriver aux clients. Par exemple, un attaquant pourrait fournir un appareil avec une phrase de récupération qu'il connaît déjà, lui permettant d'accéder aux fonds déposés dans le portefeuille à une date ultérieure. Une phrase de récupération est la séquence de mots qui sauvegarde un portefeuille matériel et contrôle l'accès à ses fonds ; elle est conçue pour être générée sur l'appareil lui-même afin que personne d'autre ne la connaisse.

Un tel scénario serait différent d'une compromission des systèmes internes de Ledger. Cependant, rien ne confirme qu'une manipulation d'appareils ou des phrases de récupération pré-générées soient à l'origine des pertes signalées, et il n'existe aucune preuve confirmée que les systèmes ou la technologie de portefeuille de Ledger aient été compromis.

L'incident fait toujours l'objet d'une enquête, et il est incertain de savoir combien d'utilisateurs ont touchés, si les vols signalés sont liés ou combien de cryptomonnaies ont été perdues. Ledger a indiqué qu'elle fournirait des mises à jour au fur et à mesure de l'avancement de l'enquête.

Une année difficile pour la sécurité crypto

Le vol potentiel pourrait s'ajouter à une année déjà difficile pour la sécurité crypto. Le mois dernier, la plateforme d'échange crypto Bitget a subi un exploit ayant entraîné le vol de plus de 350 millions de dollars d'actifs. Parmi les autres incidents majeurs figurent Liquid Network à environ 320 millions de dollars, Drift à 295 millions de dollars et Kelp à 293 millions de dollars, selon les données DefiLlama. Si elles sont confirmées, les pertes suspectées liées à Ledger seraient inférieures à chacun de ces exploits, mais l'épisode est notable par le segment concerné : les portefeuilles matériels, ces appareils hors ligne que de nombreux détenteurs utilisent précisément pour garder leurs fonds à l'écart des plateformes d'échange et autres plateformes en ligne.

À propos de Ledger

Fondée en 2014 et basée à Paris, Ledger est un grand fabricant de portefeuilles matériels, des appareils qui conservent hors ligne les clés privées utilisées pour accéder aux cryptomonnaies. La société affirme avoir vendu plus de 7 millions d'appareils dans le monde, et ses produits sont largement utilisés par des investisseurs cherchant à protéger leurs cryptomonnaies sans dépendre des plateformes d'échange.

Cela rend tout problème de sécurité potentiel impliquant ses produits significatif pour l'ensemble du marché crypto. Dans ce cas cependant, l'enquête concerne des appareils vendus par l'intermédiaire d'un revendeur tiers plutôt que par les propres canaux de Ledger. Les appareils achetés directement auprès du fabricant passent de la production au client, tandis que les unités revendues transitent par des intermédiaires avant d'arriver aux acheteurs — une différence au cœur de l'enquête en cours.

MISE À JOUR (9 oct., 14h58 UTC) : ajoute du contexte supplémentaire sur Ledger.

Source : CoinDesk