Le fabricant de wallets matériels Trezor réduit son réseau de revendeurs agréés après la découverte d'implants malveillants dans des dispositifs Ledger vendus via des distributeurs tiers, les enquêteurs blockchain estimant désormais les pertes liées à l'incident CryptoBilis à 102 millions de dollars.

Cet épisode montre comment une altération introduite avant qu'un dispositif n'atteigne l'acheteur peut contourner entièrement la cryptographie intégrée d'un wallet, déplaçant la question de la sécurité du matériel lui-même vers la chaîne de distribution qui le livre.

Trezor a annoncé ces changements préventifs le 13 octobre dans une déclaration sur la chaîne d'approvisionnement, confirmant que les partenaires de distribution concernés perdront leur agrément le 1er janvier 2027. Les nouvelles expéditions vers ces revendeurs sont déjà interrompues. L'entreprise a également retiré CryptoBilis, un détaillant d'Asie du Sud-Est, de son réseau agréé après que Ledger a identifié des dispositifs altérés distribués par ce même commerce. Trezor a souligné n'avoir reçu aucune preuve de dispositifs compromis portant sa propre marque.

Trezor met fin aux accords de revente à partir de janvier 2027

Le directeur commercial Danny Sanders a détaillé ces ajustements dans une lettre aux partenaires de distribution, expliquant que Trezor ne pouvait plus maintenir le même niveau de supervision sur l'ensemble de son réseau de revendeurs actuel.

Les partenaires concernés pourront écouler leurs stocks restants pendant la période des fêtes, mais ne recevront aucun stock supplémentaire, et leur agrément expire au début de l'année 2027. Trezor prévoit d'introduire une vérification plus stricte des partenaires ainsi que des exigences contractuelles actualisées couvrant l'approvisionnement, le stockage et la manipulation des produits. Les détaillants tiers ont longtemps été essentiels à la manière dont les fabricants de wallets atteignent les marchés locaux, mais chaque intermédiaire ajoute un maillon supplémentaire entre l'usine et le client précisément le segment de la chaîne d'approvisionnement désormais soumis à une vigilance accrue dans tout le secteur après les découvertes liées à CryptoBilis.

Sanders a souligné que cette décision n'indiquait pas de faute des revendeurs concernés. Il a également publiquement remercié les partenaires de longue date et présenté ses excuses pour la rupture de leurs relations commerciales. Trezor n'a pas divulgué le nombre de détaillants qui perdront leur agrément ni les marchés concernés.

Ledger relie les vidages de wallets à des implants LTE dissimulés

Cette refonte du réseau de revente fait suite à l'enquête de Ledger sur les vidages de wallets liés à CryptoBilis touchant des clients en Asie du Sud-Est. L'équipe de sécurité Donjon de Ledger a identifié un implant électronique non autorisé dissimulé dans les wallets matériels concernés. Le composant interceptait la phrase de récupération de 24 mots affichée lors de l'initialisation du dispositif et transmettait les données via LTE à l'aide d'une carte SIM intégrée. Comme une phrase de récupération suffit à elle seule à restaurer un wallet sur tout appareil compatible, une phrase capturée lors de l'initialisation donne à un attaquant l'accès à tous les fonds que le wallet détiendra ultérieurement — sans avoir besoin de toucher à nouveau au matériel.

Selon Ledger, l'implant fonctionnait indépendamment de l'élément sécurisé (Secure Element) et ne modifiait ni le système d'exploitation du dispositif ni les signatures de transaction. L'entreprise a confirmé que les cas qu'elle a étudiés impliquaient des dispositifs vendus via CryptoBilis, tout en maintenant que ses systèmes internes et ses canaux de vente directe restent inchangés (post X). L'incident ajoute une nouvelle dimension physique de chaîne d'approvisionnement aux inquiétudes déjà soulevées concernant le bilan de sécurité de Ledger, qui comprenait d'anciennes fuites de données clients et une exploitation de la chaîne d'approvisionnement logicielle.

La société d'intelligence blockchain Bitquery a depuis retracé environ 102 millions de dollars d'actifs volés sur 324 wallets et six blockchains, dépassant les estimations initiales de 86 millions de dollars, selon son enquête publiée. L'analyse a identifié des retraits coordonnés sur Tron, Bitcoin, Ethereum, Solana, BNB Chain et Polygon, tandis que Tether a gelé environ 10 millions de dollars en USDT liés aux transferts suspects. Ledger n'a pas confirmé de manière indépendante le chiffre total des pertes.

MediaMarkt suspend la vente de produits Ledger à mesure que l'enquête s'élargit

L'enquête a également touché des détaillants européens. MediaMarktSaturn a suspendu la vente des produits Ledger concernés après qu'un client a signalé du matériel altéré acheté en Allemagne, ayant découvert des câblages supplémentaires et des composants de communication cellulaire dans deux dispositifs acquis dans différents points de vente MediaMarkt.

Ledger a reconnu le signalement allemand mais a indiqué qu'aucune perte de fonds associée n'avait été identifiée, et l'entreprise n'a pas étab de lien entre ces dispositifs et les vols liés à CryptoBilis.

Par ailleurs, un autre fabricant de wallets, OneKey, a révoqué l'agrément de revendeur de CryptoBilis et proposé des dispositifs de remplacement gratuits aux clients ayant acheté ses produits chez ce détaillant entre le 1er mars et le 13 octobre.

Ledger continue de conseiller aux clients de CryptoBilis de ne pas initialiser les dispositifs non utilisés. Ceux qui ont déjà configuré les wallets concernés doivent transférer leurs actifs vers un wallet généré de manière sécurisée avec une nouvelle phrase de récupération.

Les questions en suspens incluent le chiffre total des pertes non confirmé par Ledger, le lien éventuel entre les dispositifs MediaMarkt allemands et les vols liés à CryptoBilis, ainsi que tout traçage ou gel d'actifs supplémentaire découlant de l'enquête de Bitquery et de l'action de Tether portant sur 10 millions de dollars en USDT.

Les changements plus larges de Trezor concernant ses revendeurs prendront effet le 1er janvier 2027, avec des contrôles de distribution révisés visant à réduire le nombre d'intermédiaires manipulant les dispositifs des clients.

Source : Crypto Adventure