Les autorités singapouriennes ont identifié des composants matériels malveillants dans des portefeuilles de crypto-monnaies Ledger achetés via des circuits de distribution dans la cité-État, selon un avis publié mercredi par la police singapourienne (SPF). Au moins deux cas ont été signalés depuis le 10 septembre, avec des pertes combinées d'environ 3,5 millions de dollars singapouriens, soit environ 2,7 millions de dollars.

Cette découverte touche au principe fondamental des portefeuilles matériels, conçus pour conserver hors ligne les clés privées contrôlant les avoirs en crypto-monnaies, la phrase de récupération — la séquence de mots permettant de restaurer un portefeuille sur un nouvel appareil — servant de sauvegarde principale à ces clés. Les enquêtes préliminaires ont révélé que certains composants pouvaient être utilisés pour capturer des phrases de récupération ou des clés privées, permettant à des personnes non autorisées d'ouvrir les portefeuilles et de déplacer des actifs à l'insu ou sans le consentement de leurs propriétaires. L'avis n'a cité aucun magasin spécifique.

La police a déclaré être en contact avec Ledger, qui examine les cas touchés, tandis que sa propre enquête se poursuit.

La SPF appelle à la prudence avec les phrases de récupération

Dans l'avis, la SPF a averti les utilisateurs de ne pas saisir de phrases de récupération ni d'effectuer de transactions sur des appareils qu'ils suspectent d'être compromis. Elle a également mis en garde contre la remise de clés ou de phrases seed à quiconque, y compris des personnes se faisant passer pour des fournisseurs de portefeuilles, des plateformes d'échange ou des policiers.

Les signalements singapouriens précèdent d'environ un mois l'alerte du 9 octobre

Le premier signalement à Singapour a été déposé environ un mois avant que l'incident plus large ne soit rendu public le 9 octobre, lorsque Ledger a demandé à CryptoBilis, un revendeur agréé opérant en Indonésie, en Malaisie et aux Philippines, d'arrêter les ventes et les expéditions.

À l'époque, Cryptopolitan avait rapporté que plus de 86 millions de dollars en Bitcoin, Ethereum et Tron auraient été volés depuis des portefeuilles vendus par ce magasin. Ledger n'a pas confirmé ce chiffre.

Le 10 octobre, Ledger a déclaré sur X avoir découvert une puce matérielle non autorisée sur l'appareil d'un client. La puce, dissimulée dans le boîtier d'un Nano X, lisait la phrase de récupération de 24 mots sur l'écran pendant la configuration et la transmettait via une carte SIM intégrée en LTE.

L'équipe de sécurité Donjon de Ledger a indiqué que la puce n'affectait pas l'élément sécurisé, le système d'exploitation ni le processus de signature, ce qui explique pourquoi elle n'a jamais déclenché le test d'authenticité « Genuine Check » de l'entreprise.

Dans les jours qui ont suivi, deux affirmations liées à Singapour ont vu le jour. Mark Karpelès, ancien directeur général de Mt. Gox, a déclaré avoir acheté un Ledger Flex à l'aéroport de Singapour contenant une puce espion. Un autre propriétaire a rapporté qu'un appareil acheté chez le distributeur informatique local Challenger avait été altéré, et Ledger lui a ensuite envoyé un remplacement.

Le 13 octobre, Ledger a demandé aux revendeurs en Indonésie, à Singapour, en Thaïlande, aux Philippines, au Vietnam, en Malaisie et à Hong Kong de suspendre la vente de ses produits.

Dans un message du 28 octobre, l'entreprise a indiqué que toutes les pertes confirmées concernaient des appareils vendus via un nombre limité de revendeurs. Elle n'a confirmé aucun drainage lié à un appareil acheté hors d'Asie du Sud-Est et ne voit aucune indication que son infrastructure, ses systèmes ou son canal de vente directe aient été compromis.

« Les chiffres qui circulent en ligne proviennent de tiers et Ledger ne les a pas entièrement vérifiés », a déclaré l'entreprise le 22 octobre.

La réponse à plus long terme de Ledger : Atom

La solution plus durable de Ledger est l'Atom, un appareil à 849 dollars dévoilé lors de l'événement Op3n à Paris le 15 octobre. L'Atom ne sera pas expédié avant l'été 2027 au plus tôt, et ses protections anti-altération ne seront pas rétrofitées aux unités Nano, Flex et Stax déjà en circulation. D'ici la conclusion de l'enquête policière et de la probe de Ledger, tout futur avis nommant les magasins concernés constituerait le signal le plus clair à ce jour pour les propriétaires cherchant à déterminer si leurs appareils relèvent des circuits de distribution touchés.