Community Trust ScoreVérifié
Ledger l’a confirmé. Un implant matériel non autorisé — physiquement intégré dans au moins un de ses appareils — a été découvert dans des portefeuilles vendus par un revendeur en Asie du Sud-Est. Les pertes liées à cette faille pourraient déjà dépasser 86 millions de dollars.
Pourquoi c'est important
Ce scandale soulève des préoccupations majeures quant à la sécurité des portefeuilles matériels, qui sont souvent considérés comme une solution de stockage fiable pour les cryptomonnaies. La révélation d'un implant non autorisé met en lumière les vulnérabilités potentielles dans la chaîne d'approvisionnement et pourrait éroder la confiance des utilisateurs envers les fabricants de dispositifs de sécurité. À une époque où la protection des actifs numériques est cruciale, cet incident pourrait avoir des répercussions significatives sur le marché des cryptomonnaies et sur la réputation des entreprises du secteur.
Les cryptomonnaies affectées incluent Bitcoin, Ethereum et Tron. L’enquête de Ledger est toujours en cours, donc ce chiffre de 86 millions pourrait encore augmenter. La société n’a pas encore déterminé combien de clients ont été touchés ni à quoi ressemblera le décompte final des pertes. Ce qui est clair, c’est que l’implant n’était ni un bug logiciel ni une arnaque de phishing. Quelqu’un a physiquement altéré le matériel avant qu’il n’atteigne les acheteurs.
Pas idéal pour une entreprise qui vend la sécurité comme produit principal.
CryptoBilis suspend toutes les ventes dans trois pays
Le revendeur au centre de cette affaire est CryptoBilis, un distributeur agréé de Ledger opérant en Indonésie, en Malaisie et aux Philippines. Une fois l’implant découvert, CryptoBilis a suspendu toutes les ventes de portefeuilles matériels Ledger. L’entreprise affirme coopérer avec l’enquête de Ledger et ne reprendra les ventes qu’une fois l’investigation terminée. C’est probablement la bonne décision, mais cela n’aide pas beaucoup les clients qui ont déjà acheté un appareil.
Ledger a contacté directement les utilisateurs qu’elle pense avoir acheté chez CryptoBilis. Le conseil est assez direct : si vous avez acheté un portefeuille chez ce revendeur et ne l’avez pas encore configuré, ne le faites pas. Ne le touchez pas. Et si vous en avez déjà configuré un et transféré des cryptos dessus, déplacez tout — maintenant — vers un nouvel appareil Ledger en utilisant une nouvelle phrase de sécurité. L’ancienne phrase est potentiellement compromise, point final.
La sécurité des portefeuilles matériels repose sur une promesse de base : l’appareil que vous recevez est exactement celui qui a quitté le fabricant. Un implant physique brise cette promesse de la pire manière possible. Il ne peut pas être corrigé par une mise à jour du firmware. Il ne peut pas être réparé à distance. Les dommages, s’il y en a, se sont produits au moment où quelqu’un a branché un appareil compromis et généré des clés dessus.
Les systèmes de Ledger n’ont pas été touchés
Ledger est assez ferme sur un point : son infrastructure, ses systèmes internes et ses services n’ont pas été touchés. La faille est limitée à ce qui s’est passé dans la chaîne d’approvisionnement du revendeur, et non à quelque chose du côté de Ledger. Cela importe pour la base de clients plus large — les personnes qui ont acheté directement chez Ledger ou via d’autres canaux vérifiés semblent être épargnées.
Mais cela reste une mauvaise image pour le secteur des portefeuilles matériels en général. Les détenteurs de crypto se tournent vers les portefeuilles matériels précisément parce qu’ils veulent quelque chose de plus sûr qu’un portefeuille logiciel ou un compte d’échange. Tout l’argument est l’isolation physique. Lorsque cette couche physique est subvertie avant même que l’appareil ne soit expédié, cela annule en quelque sorte l’objectif.
Ledger n’a pas dit comment l’implant fonctionnait réellement ou ce qu’il était censé faire. Aucun détail technique n’a encore été révélé. On ne sait pas si ces informations apparaîtront pendant l’enquête ou si Ledger les gardera pour elle. Le programme de primes de l’entreprise est ouvert à toute personne ayant des informations pertinentes — Ledger demande activement aux gens de se manifester s’ils savent quelque chose.
Le nombre total d’appareils compromis est encore inconnu. Ledger n’a pas donné de chiffre. L’estimation de la perte de 86 millions de dollars est probablement un plancher, pas un plafond, selon le nombre de portefeuilles qui avaient réellement l’implant et combien d’utilisateurs ont déjà déplacé des fonds à travers eux.
Ce que les utilisateurs concernés doivent faire dès maintenant
Les étapes que Ledger veut que les utilisateurs suivent sont simples, bien que gênantes. Ne configurez aucun portefeuille acheté chez CryptoBilis. Si vous l’avez déjà fait, déplacez vos actifs vers un nouvel appareil immédiatement et générez une nouvelle phrase de sécurité. Ne réutilisez jamais l’ancienne phrase. Contactez Ledger via les canaux de support officiels, pas via des forums tiers ou des comptes de réseaux sociaux prétendant aider.
Le programme de primes de Ledger mérite également d’être signalé. Si vous avez des informations qui pourraient aider à retracer comment l’implant est entré dans la chaîne d’approvisionnement, Ledger veut vous entendre.
L’angle du revendeur ici est vraiment délicat pour l’industrie plus large des portefeuilles matériels. Les revendeurs agréés sont la manière dont ces entreprises étendent leur distribution sur des marchés qui seraient autrement difficiles à atteindre. L’Indonésie, la Malaisie et les Philippines représentent une véritable demande pour des produits de sécurité crypto. Mais une chaîne de distribution plus longue signifie plus de points de défaillance potentiels — et apparemment, plus d’opportunités pour quelqu’un de modifier physiquement un appareil avant qu’il n’atteigne un acheteur.
Ledger dit s’engager à tenir les utilisateurs informés à mesure que l’enquête progresse. Aucun calendrier n’a été donné pour la publication des résultats.
Le chiffre de 86 millions de dollars, pour l’instant, est là où en sont les choses.
Questions Fréquentes
Qu’est-ce qui a été trouvé exactement dans les portefeuilles matériels de Ledger ?
Ledger a confirmé qu’un implant matériel non autorisé — une modification physique — a été trouvé dans au moins un appareil vendu par CryptoBilis, un revendeur en Asie du Sud-Est opérant en Indonésie, en Malaisie et aux Philippines.
Combien de crypto pourrait avoir été perdu dans l’incident de l’implant matériel de Ledger ?
Les pertes pourraient dépasser 86 millions de dollars à travers Bitcoin, Ethereum et Tron, bien que l’enquête de Ledger soit en cours et que le chiffre final n’ait pas été confirmé.
