Ledger collabore avec les autorités après que des utilisateurs de ses portefeuilles matériels ont signalé la semaine dernière des pertes de fonds et qu'un client a reçu un appareil altéré, bien que le fabricant parisien ait rassuré ses clients en indiquant que le nombre de produits touchés était « limité ».

Dans une annonce publiée dimanche, la société a déclaré avoir également contacté directement les clients concernés.

L'enquête a débuté après que Ledger a indiqué vendredi avoir commencé à examiner les signalements de clients d'Asie du Sud-Est ayant perdu des fonds après avoir acheté des appareils auprès d'un revendeur. Samedi, la société a déclaré avoir confirmé que l'appareil de l'un des utilisateurs touchés contenait un implant matériel non autorisé.

Les portefeuilles matériels sont conçus pour conserver les clés privées des utilisateurs hors ligne, en signant les transactions sans exposer les identifiants qui contrôlent leurs fonds. Ce modèle de sécurité repose sur le fait que l'appareil arrive intact ; un implant non autorisé intégré dans le matériel échappe donc aux menaces qu'il est conçu pour contrer.

Ledger n'a pas confirmé le montant des pertes, mais l'enquêteur blockchain Specter a déclaré que 86 millions de dollars avaient été siphonnés depuis les appareils.

« Alors que l'enquête se poursuit, nous collaborons avec les autorités compétentes », a écrit Ledger dimanche dans une annonce sur X. Son compte Ledger Support a partagé des informations supplémentaires, dont une publication de suivi sur la plateforme.

La société a ajouté : « Nous conseillons également vivement aux utilisateurs de ne pas acheter auprès de revendeurs non autorisés, où le risque d'acquérir des appareils suspects, contrefaits ou modifiés est important, car rien ne fonctionne selon les directives de sécurité de Ledger.

« La sécurité n'est pas statique et cet incident souligne pourquoi nous réexaminons et renforçons continuellement nos processus de distribution et d'anti-fraude. »

Des clients d'Asie du Sud-Est ont signalé la semaine dernière des pertes de fonds après avoir acheté des appareils auprès de CryptoBilis, un vendeur basé à Kuala Lumpur, en Malaisie. Ledger a conseillé aux clients ayant acheté auprès de CryptoBilis de ne pas configurer leurs appareils, comme l'avait précédemment rapporté Bitcoin Magazine. Selon l'annonce de dimanche, CryptoBilis a depuis cessé de vendre des portefeuilles matériels.

Cette distinction est importante car le hameçonnage repose sur le fait d'amener les utilisateurs à divulguer leurs identifiants en ligne, tandis qu'un implant se trouve dans le matériel dès le déballage de l'appareil, avant même que la configuration ne commence.

Des utilisateurs sur les réseaux sociaux ont publié des preuves photographiques d'implants installés dans des produits Ledger, affirmant que ces modifications pourraient exposer les clés privées des utilisateurs. On ignore combien d'appareils de signature de Ledger contenaient l'implant.

Ni Ledger ni CryptoBilis n'ont immédiatement répondu aux questions de Bitcoin Magazine. L'enquête étant en cours, il conviendra de surveiller ce que les autorités découvriront et si un nombreinitif d'appareils et un montant vérifié des pertes seront confirmés.

La sécurité des portefeuilles matériels fait l'objet d'un examen intense depuis que des pirates ont volé près de 120 millions de dollars en bitcoin à des utilisateurs de Coldcard en juillet, comme l'avait rapporté à l'époque Bitcoin Magazine. Les appareils, fabriqués par la société canadienne Coinkite, contenaient un bug du firmware ayant entraîné une génération défectueuse de la phrase seed, permettant aux pirates de deviner les phrases seed des investisseurs.

Dans un incident distinct le mois dernier, le fabricant de portefeuilles matériels Trezor a rapporté que près de 81 000 clients avaient vu leurs données fuiter après le vol de données chez son partenaire logistique tiers, comme l'a couvert Bitcoin Magazine.

Les criminels ciblent les données clients tout au long de l'année, des escrocs ayant obtenu des informations via Global-e, le processeur de paiement utilisé par Ledger, pour envoyer des courriels de hameçonnage. Pris ensemble, ces incidents montrent que la surface d'attente s'étend sur l'intégralité du parcours d'un appareil — firmware, logistique, traitement des paiements et canaux de revente.

Cet article a été rédigé par Mathew Di Salvo et est initialement paru sur Bitcoin Magazine.