LEDGER : un implant matériel met à l’épreuve la sécurité de sa chaîne de distribution
📩 Pour nous contacter: redaction@frenchweb.fr
Ledger a confirmé, samedi 10 octobre, la présence d’un implant matériel non autorisé dans l’appareil d’un utilisateur concerné par son enquête sur des vols de cryptomonnaies. Les signalements portent sur des produits achetés auprès de CryptoBilis, un revendeur présent en Asie du Sud-Est. La découverte établit une altération physique dans au moins un appareil ; son rôle dans l’ensemble des pertes signalées reste à déterminer.
L’affaire met à l’épreuve une composante essentielle de la sécurité des portefeuilles matériels : leur intégrité entre la fabrication et la première utilisation. Une puce sécurisée peut être authentique, et l’appareil qui l’entoure avoir été modifié. Pour Ledger, l’enquête doit désormais préciser l’étendue de l’exposition et remonter le parcours des produits concernés.
Des pertes importantes, un bilan encore provisoire
Le 9 octobre, Ledger a annoncé l’ouverture d’une enquête et demandé à CryptoBilis de suspendre les ventes et expéditions de ses appareils. Le fabricant recommandait aux clients ayant acheté auprès de ce revendeur au cours des 90 jours précédents de ne surtout pas commencer leur configuration.
L’analyste pseudonyme Specter évoque alors plus de 86 millions de dollars de pertes potentielles sur plusieurs centaines de portefeuilles. CoinDesk précisait que ce montant n’avait pas été confirmé indépendamment. Dans son enquête actualisée le 11 octobre, Bitquery estime les fonds détournés à 93,2 millions de dollars sur 315 portefeuilles, répartis sur six blockchains.
Ce chiffre repose sur une analyse des transactions et des adresses que Bitquery rattache à l’incident, un bilan qui n’est pas confirmé par Ledger, d’autant que le nombre de portefeuilles recensés ne permet pas de déduire directement le nombre de personnes touchées.
Un implant confirmé, son fonctionnement encore à établir
Dans sa mise à jour du 10 octobre, Ledger a confirmé l’implant, sans publier de démonstration complète de son fonctionnement ni établir qu’il expliquait tous les vols signalés. L’entreprise indique également n’avoir aucun indice de compromission de ses infrastructures de sécurité, systèmes ou services.
Les premières descriptions publiques évoquent un composant ajouté près de l’écran, susceptible d’intercepter les informations affichées pendant la configuration. La phrase de récupération apparaît à l’écran lorsque l’utilisateur initialise son portefeuille. Son interception pourrait exposer le secret qui permet de restaurer l’accès aux actifs.
Un portefeuille matériel conserve les clés privées et permet de signer les transactions ; les cryptomonnaies restent inscrites sur les blockchains. La phrase de récupération permet de reconstruire ces clés sur un autre appareil. Sa compromission peut donc donner à un tiers la capacité de déplacer les fonds sans posséder le dispositif original. Lorsqu’une passphrase supplémentaire protège le portefeuille, ce secret est également nécessaire pour retrouver les clés correspondantes.
Dans le scénario d’une interception de l’affichage, un client pourrait générer lui-même sa phrase et la conserver sur papier, conformément aux consignes habituelles, alors que le matériel en capturerait une copie.
Le contrôle d’authenticité possède une limite précise
Ledger décrit cette distinction dans sa documentation sur l’achat sécurisé de ses appareils. Le « Genuine Check » vérifie cryptographiquement l’authenticité du composant sécurisé. Il ne peut toutefois pas détecter certaines modifications physiques, dont des implants espions, lorsque la puce d’origine reste intacte.
Ce contrôle apporte donc une garantie sur un composant essentiel, sans certifier tout le parcours physique de l’appareil. L’authenticité et l’intégrité répondent à deux questions complémentaires : le produit contient-il une puce légitime, et contient-il uniquement les éléments prévus par sa conception ?
L’incident soulève ainsi une question d’architecture autant que de distribution. La résistance du composant sécurisé doit être appréciée avec les possibilités de modification des éléments qui l’entourent, notamment ceux par lesquels une information sensible est présentée à l’utilisateur.
Des appareils modifiés avaient déjà circulé
Le risque possède des précédents documentés, ainsi en juin 2021, Kraken Security Labs décrit un Ledger Nano X modifié, reçu par un utilisateur dans un colis non sollicité, accompagné d’une fausse lettre du dirigeant de Ledger. Une petite mémoire USB avait été ajoutée à l’intérieur. Elle contenait une application frauduleuse destinée à obtenir la phrase de récupération en demandant à son propriétaire de la saisir sur son ordinateur. Kraken a ensuite reproduit ce scénario.
En mai 2022, Trezor signale des appareils altérés vendus sur des places de marché russes non autorisées. Dans une expertise publiée en mai 2023, Kaspersky décrit un Model T dont le microcontrôleur avait été remplacé et le logiciel interne modifié pour sélectionner une phrase de récupération parmi vingt phrases prédéfinies. L’appareil présentait une interface ordinaire, mais les attaquants connaissaient les secrets qu’il utilisait.
Ces incidents montrent que des portefeuilles matériels ont déjà été modifiés avant leur utilisation. Leurs mécanismes diffèrent toutefois de l’interception de l’affichage envisagée dans l’affaire CryptoBilis, dont le fonctionnement précis reste à établir.
La distribution entre dans le périmètre de sécurité
Cet incident pose la question des contrôles au sein du réseau commercial. CryptoBilis figurant dans les listes officielles de revendeurs de Ledger, depuis les ventes de produits Ledger par ce distributeur sont suspendues, sans pour autant attribuer au revendeur l’origine de l’altération ni de présumer qu’il en avait connaissance.
L’enquête doit établir où les appareils ont pu être modifiés, est ce pendant leur transport, leur stockage ou une autre étape de leur circulation. Elle doit également préciser les lots concernés et les éventuels intermédiaires. Ledger indique, dans sa documentation, que ses accords de distribution interdisent aux partenaires de remettre en vente des appareils retournés.
Pour les fabricants de portefeuilles matériels, cette affaire rappelle que la promesse de sécurité engage une chaîne complète. La conception électronique, les contrôles logistiques et les pratiques commerciales contribuent ensemble à l’intégrité du produit reçu, d’autant que le client dispose généralement de moyens limités pour examiner lui-même cette continuité.
Protéger les clients pendant que l’enquête se poursuit
Pour les acheteurs concernés ayant déjà configuré leur appareil, Ledger recommande d’envisager un transfert des actifs vers un nouveau dispositif initialisé avec une nouvelle phrase de récupération. Restaurer une phrase potentiellement exposée sur un appareil neuf conserverait le risque associé à sa compromission. Le fabricant rappelle également que la phrase ne doit jamais être communiquée à un interlocuteur se présentant comme son support.
Notre politique éditoriale concernant l'intelligence artificielle
Les analyses et articles sont rédigées par des journalistes.
L'IA peut être utilisée comme outil d'assistance (traduction, synthèse, recherche documentaire ou amélioration stylistique).
Les faits, chiffres et analyses sont systématiquement vérifiés et validés par la rédaction.
Les illustrations générées ou modifiées par IA sont explicitement signalées.