Les investisseurs en crypto-monnaies à Singapour ont perdu environ 3,5 millions de dollars singapouriens (2,7 millions de dollars) après avoir acheté des portefeuilles matériels Ledger falsifiés, selon la police singapourienne. Dans un avis publié le 28 octobre, les autorités ont confirmé au moins deux cas et indiqué que les plaintes ont commencé à arriver le 10 septembre — soit près d'un mois avant que la faille de sécurité plus large ne soit rendue publique en octobre.

Les enquêtes préliminaires ont révélé des composants malveillants à l'intérieur d'appareils Ledger achetés dans certains magasins de détail à Singapour. Ce type d'altération relève de ce qui est décrit comme une compromission de la chaîne d'approvisionnement, dans laquelle des unités individuelles sont physiquement modifiées entre la fabrication et le point de vente, plutôt qu'attaquées par voie logicielle après la configuration.

Un matériel non autorisé a capturé les phrases de récupération et les clés privées

Les enquêteurs ont découvert que les appareils compromis contenaient du matériel non autorisé capable de capturer les phrases de récupération et les clés privées. Grâce à ces informations, les attaquants pouvaient accéder aux avoirs en crypto-monnaies et transférer des fonds sans l'autorisation de leurs propriétaires.

Les portefeuilles matériels sont conçus pour protéger les actifs numériques en conservant les clés privées hors ligne. Les incidents survenus à Singapour démontrent comment une falsification physique peut compromettre cette protection avant même que les clients ne commencent à utiliser leurs appareils. Comme une phrase de récupération permet aux utilisateurs de restaurer l'accès à leurs avoirs, quiconque la obtient peut potentiellement prendre le contrôle du portefeuille concerné et déplacer ses actifs — c'est pourquoi cette phrase est considérée comme l'identifiant le plus sensible dans les dispositifs d'auto-conservation.

Ledger suspend les ventes régionales pendant l'enquête

Ledger a commencé à enquêter sur des rapports concernant des appareils distribués par le revendeur sud-est asiatique CryptoBilis début octobre. Le 10 octobre, la société a confirmé la présence d'un implant matériel non autorisé dans au moins un appareil concerné. Dès le 13 octobre, Ledger avait demandé une suspension temporaire des ventes via les revendeurs et distributeurs régionaux — une mesure de précaution couvrant Singapour, la Malaisie, l'Indonésie, la Thaïlande, les Philippines, le Vietnam et Hong Kong.

La société a examiné les cas concernés tout en coopérant avec les autorités singapouriennes, bien que l'ampleur totale de la compromission suspectée de la chaîne d'approvisionnement reste incertaine. La question de savoir si d'autres unités concernées seront découvertes dans les sept juridictions couvertes fait partie des points en suspens à mesure que l'examen se poursuit.

La police exhorte les utilisateurs à protéger leurs actifs restants

La police singapourienne a conseillé aux détenteurs de crypto-monnaies de cesser d'utiliser les appareils suspectés de falsification, d'éviter de saisir les phrases de récupération et de s'abstenir d'effectuer des transactions supplémentaires via du matériel potentiellement compromis.

Lorsque les identifiants ont pu être exposés, les autorités ont recommandé de transférer les crypto-monnaies restantes vers un portefeuille de confiance avec une phrase de récupération nouvellement générée, le transfert devant être effectué via un appareil non compromis.

Cette affaire met en lumière les préoccupations croissantes concernant les canaux de distribution des portefeuilles matériels de crypto-monnaies, montrant que même les appareils conçus pour la sécurité hors ligne peuvent exposer les investisseurs à des pertes importantes lorsque des attaquants compromettent des produits physiques avant la livraison. Pour les investisseurs, cela souligne l'importance de vérifier l'authenticité des appareils et de suivre les avis de sécurité des fabricants.

La police singapourienne poursuit son enquête sur les pertes signalées tandis que Ledger examine les portefeuilles concernés. Le nombre d'appareils touchés, l'endroit de la chaîne de distribution où la falsification a eu lieu et la date de reprise possible des ventes des revendeurs régionaux figurent parmi les détails qui restent non résolus.