Ledger a introduit des contrôles plus stricts sur la vente de portefeuilles matériels après que des criminels ont modifié des appareils authentiques et les ont utilisés pour voler des cryptomonnaies. Dans un communiqué du 15 octobre, la société a réaffirmé son interdiction de revendre les portefeuilles retournés et a ordonné aux détaillants de garder les nouveaux appareils hors des rayons d'exposition. Cette mesure fait suite à la découverte que des composants cachés implantés dans des portefeuilles revendus capturaient les phrases de récupération de 24 mots des clients et les transmettaient via les réseaux mobiles.

Des criminels ont altéré les appareils avant la revente

Ledger a indiqué que les attaquants avaient acheté des portefeuilles authentiques, y avaient installé des composants cachés, puis les avaient réintroduits dans les circuits de revente en Asie du Sud-Est. Selon la société, le groupe a passé des mois à préparer l'opération et a construit des systèmes pour collecter les phrases de récupération et déplacer les fonds volés.

L'opération montre comment une altération de la chaîne d'approvisionnement peut compromettre un portefeuille matériel sans toucher à sa cryptographie : une phrase de récupération est la sauvegarde principale qui permet de restaurer les comptes d'un portefeuille sur n'importe quel appareil compatible, de sorte que la capture de ces 24 mots suffit à prendre le contrôle des fonds.

L'enquête a débuté le 9 octobre, après que des clients ont signalé la disparition d'actifs depuis des appareils vendus par CryptoBilis, un revendeur basé en Malaisie. Une précédente enquête sur le vol de portefeuilles Ledger avait relié les plaintes à ce revendeur, qui a ensuite suspendu ses ventes.

Fonctionnement des implants cachés

L'équipe de sécurité de Ledger a découvert un implant qui copiait la phrase de récup de 24 mots affichée lors de la configuration du portefeuille. Le composant transmettait ensuite ces mots via une connexion de données mobiles à l'aide d'une carte SIM électronique intégrée. La société a précisé que la puce de sécurité et le système d'exploitation de l'appareil étaient restés intacts.

Ce détail situe l'attaque à l'étape de la configuration, lorsque la phrase est affichée pour que son propriétaire la note, plutôt que dans le matériel sécurisé de l'appareil lui-même.

Le fondateur de Binance, Changpeng Zhao, a averti sur X le 9 octobre que les éléments probants désignaient une attaque via un seul revendeur, plutôt qu'un problème affectant tous les portefeuilles Ledger.

Les estimations de pertes augmentent à mesure que les enquêteurs retracent les fonds

Le chercheur blockchain Specter avait initialement estimé les pertes à plus de 86 millions de dollars. Cependant, la mise à jour du 15 octobre de Bitquery a retracé 102 millions de dollars de fonds volés depuis 324 portefeuilles sur six réseaux. Une précédente confirmation de l'altération des appareils avait établi que les enquêteurs avaient trouvé un composant non autorisé. Ledger n'a pas confirmé le montant total des pertes ni le nombre de clients concernés.

Bitquery a indiqué que Tether avait gelé 10 millions de dollars en USDT liés au vol. Son enquête a également suivi les fonds volés à travers des échanges et des services de confidentialité. Les chercheurs ont compté des portefeuilles plutôt que des clients individuels et ont noté qu'un même propriétaire pouvait contrôler plusieurs adresses concernées.

Ledger modifie sa distribution et ses recommandations aux clients

Ledger a indiqué que ses équipes avaient examiné des appareils provenant de magasins en Allemagne ainsi que des stocks entreposés dans des entrepôts, et que ces échantillons ne montraient aucune altération. Dans une mise à jour X du 14 octobre, la société a demandé une suspension des ventes sur sept marchés, dont Hong Kong. Les revendeurs en Asie ont suspendu la vente de portefeuilles pendant que l'enquête se poursuivait.

Les nouvelles règles de manipulation se concentrent sur l'étape de la revente, le point où les unités altérées sont entrées dans la chaîne d'approvisionnement de cette affaire, en maintenant les appareils dans un stockage contrôlé jusqu'au moment de la vente.

En vertu des nouvelles règles, les revendeurs agréés doivent stocker les portefeuilles à l'écart des rayons publics et remettre les appareils aux acheteurs au point de vente. Ledger conseille aux clients de CryptoBilis de pas configurer les appareils non utilisés, tandis que ceux qui en ont déjà initialisé un doivent transférer leurs actifs vers un nouveau portefeuille avec une phrase de récupération inédite. Les points encore en suspens dans cette affaire incluent un total de pertes confirmé — Ledger n'a pas confirmé le chiffre de 102 millions de dollars de Bitquery — et la question de savoir si des fonds volés supplémentaires sont gelés au-delà des 10 millions de dollars en USDT déjà bloqués par Tether.