Les vols présumés liés aux portefeuilles matériels Ledger approchent 90 millions de dollars, et l'émetteur de stablecoins Tether a commencé à geler les USDT associés à l'incident, selon des enquêteurs blockchain.

Dans un communiqué daté du 9 octobre, le fabricant de portefeuilles matériels crypto a déclaré enquêter sur des signalements faisant état de pertes de fonds de clients après l'achat d'appareils auprès de CryptoBilis, un revendeur agréé opérant en Asie du Sud-Est. Par précaution, Ledger a demandé au distributeur de suspendre immédiatement les ventes et expéditions de ses portefeuilles matériels pendant que l'enquête se poursuit.

Recommandations pour les clients concernés

Ledger a conseillé aux clients ayant acheté des appareils auprès de CryptoBilis au cours des 90 derniers jours de ne pas les initialiser si la configuration n'avait pas encore été effectuée. Ceux qui avaient déjà configuré leur portefeuille ont été invités à envisager de transférer leurs cryptomonnaies vers un nouvel appareil Ledger initialisé avec une nouvelle phrase de récupération.

CryptoBilis figure dans l'annuaire officiel des revendeurs Ledger pour la Malaisie, l'Indonésie et les Philippines. Les clients qui achètent via des canaux de distribution agréés comptent généralement sur ces relations pour réduire le risque de recevoir du matériel contrefait ou compromis. Les portefeuilles matériels occupent une place particulière dans ce modèle de confiance, car les utilisateurs les achètent pour conserver leurs clés privées hors ligne ; une compromission introduite à n'importe quel point de la chaîne de distribution viendrait compromettre la protection même que cet achat est censé offrir.

Réaction des figures du secteur

L'incident a attiré l'attention du fondateur de Binance, Changpeng Zhao, qui a averti les utilisateurs de faire preuve de prudence, en particulier s'ils avaient récemment acheté un appareil Ledger.

« D'après les informations disponibles à ce jour, il semble que l'incident soit limité à une attaque de la chaîne d'approvisionnement impliquant un seul revendeur », a-t-il écrit sur X.

Zhao a suggéré qu'un nombre limité de clients avaient peut-être reçu des appareils contrefaits ou altérés, tout en soulignant la réputation de sécurité établie de Ledger. Il a également appelé à une coopération dans l'ensemble de l'industrie des cryptomonnaies pour identifier les attaquants présumés et récupérer les actifs volés.

« J'attends et je sais que tous les acteurs de'écosystème BNB (et toute l'industrie) aideront à retracer et à récupérer les fonds », a-t-il ajouté.

Parallèlement, l'ancien PDG de Mt. Gox, Mark Karpelès, enquête sur l'éventuelle insertion de composants matériels malveillants dans les appareils distribués aux clients. Karpelès a demandé à CryptoBilis d'ouvrir certains de ses portefeuilles Ledger invendus afin que leurs circuits imprimés internes puissent être inspectés à la recherche de puces espionnes éventuelles ou d'autres modifications non autorisées.

Les limites de l'authentification au centre des débats

Cette inquiétude met en lumière une limite du processus d'authentification matérielle de Ledger. La documentation de sécurité de l'entreprise reconnaît que son système Genuine Check vérifie le Secure Element d'un appareil, mais ne peut pas nécessairement identifier les modifications physiques ailleurs dans le matériel si la puce de sécurité d'origine reste intacte. Cela signifie qu'un appareil physiquement altéré pourrait passer l'authentification même s'il contient des composants non autorisés. Pour les clients, cette limite est importante : le Genuine Check est la vérification dont ils disposent lors de la configuration d'un nouvel appareil, et le fait de le réussir n'exclut pas une manipulation ailleurs dans le matériel.

Aucune preuve confirmée n'établit que des implants matériels malveillants sont à l'origine des vols signalés. Ledger n'a pas révélé combien d'appareils auraient pu être compromis, ni déterminé si l'incident résulte d'un matériel contrefait, d'une altération physique ou d'une autre méthode d'attaque.

Les enquêteurs s'efforcent de contenir les pertes

Tandis que Ledger examine la source présumée des compromissions, des enquêteurs blockchain s'efforcent de retracer et de restreindre les mouvements des cryptomonnaies volées.

L'enquêteur on-chain Specter a déclaré que l'analyse des transactions avait identifié des flux provenant de centaines de portefeuilles de victimes présumées vers des adresses sur Bitcoin, Ethereum et Tron. Specter a initialement estimé que les vols présumés dépassaient 86 millions de dollars, mais la société de sécurité blockchain MistTrack a ensuite évalué les pertes signalées à près de 90 millions de dollars.

Ces estimations n'ont pas été vérifiées de manière indépendante, et les enquêteurs n'ont pas établi si chaque portefeuille inclus dans les calculs avait été compromis dans le cadre de la même opération.

MistTrack a indiqué avoir observé le gel d'USDT par Tether lié à l'incident et que plusieurs utilisateurs concernés avaient contacté son équipe pour obtenir de l'aide.

Ce que le gel peut et ne peut pas faire

Ce gel offre une voie de récupération potentielle, car l'USDT comprend des contrôles administratifs permettant à Tether de restreindre les transferts depuis des adresses désignées. Une fois qu'une adresse est gelée, les utilisateurs ne peuvent plus déplacer les USDT concernés via des transactions blockchain ordinaires, sauf si la restriction est levée. Cette capacité peut aider à empêcher que les fonds volés ne soient déplacés vers d'autres portefeuilles ou convertis en d'autres cryptomonnaies pendant que les enquêteurs s'efforcent d'établir la propriété des fonds.

Cette intervention a toutefois des limites. Les vols présumés s'étendent sur plusieurs réseaux blockchain et impliquent des actifs au-delà de l'USDT. Tether ne peut pas geler directement les Bitcoin ou Ethereum natifs, laissant les enquêteurs dépendants de la coopération des plateformes d'échange, des dépositaires et des forces de l'ordre si ces actifs transitent par des services identifiables.

Le gel de l'USDT ne restitue pas non plus automatiquement les tokens à leurs propriétaires d'origine. Toute indemnisation nécessiterait une vérification supplémentaire et une coordination avec les autorités ou contreparties concernées.

MistTrack n'a pas divulgué la valeur en dollars des tokens gelés, ce qui rend impossible la détermination de la proportion des quelque 90 millions de dollars de pertes signalées qui pourrait finalement être récupérée. Cette incertitude accroît la pression sur les enquêteurs pour identifier où sont passés les fonds restants avant qu'ils ne soient dispersés par d'autres transactions. Tant que la valeur des tokens gelés les conclusions de l'enquête de Ledger et les résultats des inspections des appareils ne seront pas divulgués, l'ampleur finale de la récupération restera incertaine.