Ledger a demandé à ses distributeurs et revendeurs de portefeuilles numériques en Indonésie, à Singapour, en Thaïlande, aux Philippines, au Vietnam, en Malaisie et à Hong Kong de suspendre la vente des appareils et de les retirer des rayons, tandis que l’entreprise enquête sur des cas de manipulation matérielle liés à une attaque de la chaîne d’approvisionnement.
Cette décision intervient après que Ledger a confirmé que certains appareils vendus par le distributeur asiatique CryptoBilis avaient été modifiés de manière à permettre le vol des phrases de récupération utilisées pour accéder aux actifs numériques. Selon l’entreprise, des utilisateurs ont signalé plusieurs pertes financières, ce qui l’a poussée à ouvrir une enquête le 9 octobre.
Une implantation matérielle qui contourne les contrôles de sécurité
La branche de sécurité Donjon de Ledger a révélé des détails supplémentaires sur le composant implanté à l’intérieur des appareils, confirmant dans une large mesure des rapports précédemment publiés par Mark Karpelès et Tibane Labs. Le composant fonctionne au moyen d’un microcontrôleur qui détecte la phrase de récupération composée de 24 mots et la décode lors de la configuration ou de la restauration du portefeuille, puis l’envoie à une partie non autorisée via une connexion LTE au moyen d’une carte eSIM activée.
Ledger a expliqué que l’implant est un composant distinct qui ne modifie ni l’élément sécurisé Secure Element ni le système d’exploitation de Ledger, et qu’il ne change ni les transactions ni les signatures. Les appareils modifiés ont ainsi pu contourner les contrôles d’intégrité autonomes effectués par Ledger, ce qui montre que l’intégrité logicielle seule ne suffit pas à vérifier un appareil matériel compromis avant son arrivée chez l’utilisateur.
Des signalements qui dépassent CryptoBilis
Ledger a déclaré que toutes les pertes confirmées à ce jour étaient liées à des appareils vendus par CryptoBilis, mais des utilisateurs ont également signalé des appareils compromis achetés auprès d’autres vendeurs en Asie et en Europe. Les signalements concernaient notamment des appareils achetés dans le magasin technologique Metapod situé dans un aéroport de Singapour, ainsi que dans la chaîne MediaMarkt en Europe.
À la suite de ces signalements, MediaMarkt a retiré les produits de ses rayons. La chaîne se procure les appareils Ledger auprès du distributeur Aqipa GmbH. Ledger a également étendu sa décision de suspendre les ventes à l’ensemble de ses distributeurs dans les pays asiatiques mentionnés et à Hong Kong, jusqu’à la fin des enquêtes concernant l’intégrité des appareils.
En revanche, Ledger a confirmé que son infrastructure, ses systèmes, ses services et son canal de vente directe pouvaient être utilisés en toute sécurité, selon les informations de l’article source.
Pourquoi cette information est-elle importante ?
Cette affaire montre que la chaîne d’approvisionnement des appareils constitue un point de confiance indépendant du système d’exploitation et des composants de sécurité internes. La manipulation a consisté à ajouter un composant distinct capable de capturer les données de récupération sans modifier les éléments sur lesquels reposent les contrôles de Ledger, ce qui fait de l’origine de l’appareil ainsi que de son stockage et de sa circulation des éléments essentiels du modèle de protection.
Trezor, principal concurrent sur le marché des portefeuilles matériels, a pris une mesure préventive similaire : l’entreprise a annoncé une réduction de son réseau de distributeurs et un durcissement des exigences juridiques ainsi que des contrôles concernant l’origine et le stockage des appareils et leur manipulation. La société a déclaré n’avoir trouvé aucune preuve d’une compromission de ses appareils, mais elle mettra fin aux partenariats avec certains distributeurs le 1er janvier 2027 et leur retirera leur autorisation de vente.