Ledger gèle ses ventes en Asie après des implants matériels

Ledger a demandé à ses revendeurs et distributeurs d'Asie du Sud-Est et de Hong Kong de cesser de vendre ses portefeuilles de cryptomonnaies et de retirer les stocks des rayons. Cette décision fait suite à la découverte, dans certains appareils, d'implants matériels qui volent les phrases de récupération protégeant les cryptoactifs des utilisateurs.

L'entreprise fabrique des portefeuilles matériels physiques qui conservent les clés privées servant à gérer et à valider les transactions sur les actifs numériques. Ces clés sont censées ne jamais quitter l'appareil. Les portefeuilles trafiqués ont été conçus pour contourner cette protection.

Le point de départ de l'enquête

Plusieurs utilisateurs ont signalé la perte de cryptomonnaies, et Ledger a ouvert une enquête le 9 octobre. Elle a confirmé que des appareils vendus par CryptoBilis, un revendeur d'Asie du Sud-Est, avaient été modifiés. Les portefeuilles modifiés récupéraient la phrase de récupération des utilisateurs et l'envoyaient à un tiers non autorisé via une connexion mobile LTE.

L'équipe de sécurité interne de Ledger, Donjon, a publié hier de nouveaux détails techniques sur l'implant. Ses conclusions recoupent largement les rapports publiés auparavant par Mark Karpelès et Tibane Labs.

Ce que fait l'implant

Selon Donjon, l'implant dispose de son propre microcontrôleur. Il repère et décode la phrase de récupération de 24 mots que les utilisateurs notent lors de la configuration ou de la restauration d'un portefeuille. Il transmet ensuite cette phrase en LTE grâce à une eSIM déjà provisionnée.

L'implant est un composant matériel distinct. Il ne touche pas au Secure Element, la puce protégée qui contient les clés, et ne modifie pas le système d'exploitation de Ledger. Il ne modifie pas non plus les transactions ni les signatures. C'est pourquoi les autocontrôles d'intégrité de Ledger ne peuvent pas le détecter. Un portefeuille équipé de l'implant peut avoir l'apparence et le comportement d'un appareil normal tout en laissant discrètement fuiter le seul secret qui donne un accès total aux fonds.

Des signalements chez d'autres vendeurs

À ce jour, toutes les pertes de fonds confirmées concernent un appareil acheté chez CryptoBilis. Des utilisateurs ont toutefois décrit des portefeuilles compromis achetés auprès d'autres vendeurs en Asie et en Europe.

Certains affirment avoir acheté des appareils modifiés chez un revendeur high-tech Metapod dans un aéroport de Singapour. D'autres ont mis en cause MediaMarkt, une enseigne d'électronique présente en Europe. MediaMarkt s'approvisionne en appareils Ledger auprès du distributeur Aqipa GmbH et a désormais retiré le produit de ses rayons à la suite de ces signalements.

Ledger a ensuite élargi sa réponse. La suspension des ventes concerne désormais tous les distributeurs en Indonésie, à Singapour, en Thaïlande, aux Philippines, au Vietnam, en Malaisie et à Hong Kong. Elle restera en vigueur jusqu'à ce que l'entreprise ait fini de vérifier si les appareils présents sur ces marchés sont sûrs.

L'entreprise a souligné que ses infrastructures, systèmes et services ne sont pas touchés, et qu'acheter directement auprès de Ledger reste sûr.

Trezor réduit son réseau de revendeurs

Trezor, autre grand fabricant de portefeuilles matériels, a annoncé qu'il allait réduire son réseau de revendeurs afin de renforcer sa surveillance et de limiter le risque d'attaques sur la chaîne d'approvisionnement.

"La sécurité de la chaîne d'approvisionnement n'est jamais acquise, c'est pourquoi nous relevons le niveau d'exigence pour chaque partenaire qui continue avec Trezor, avec un cadre juridique actualisé et des contrôles plus stricts sur la manière dont les appareils sont achetés, stockés et manipulés", a déclaré l'entreprise.

Trezor affirme n'avoir trouvé aucune preuve que ses propres appareils aient été compromis et dit agir par précaution. Dans une lettre adressée aux revendeurs concernés, l'entreprise indique que leurs partenariats prendront fin le 1er janvier 2027. À partir de cette date, ils ne seront plus autorisés à vendre des appareils Trezor.

Notre analyse

Pour quiconque détient des cryptomonnaies, la principale leçon est simple : l'endroit où l'on achète un portefeuille matériel compte autant que le modèle choisi. Cette attaque n'a cassé ni la cryptographie ni le logiciel de Ledger. Elle a ajouté un composant qui échappe à tout ce que l'appareil vérifie. Cela laisse penser que des contrôles d'intégrité logiciels ne suffisent pas, à eux seuls, à exclure une manipulation physique dès lors qu'un appareil est passé entre des mains peu fiables.

L'affaire s'inscrit dans une tendance plus large : les attaquants ciblent le chemin qu'emprunte un produit jusqu'au client plutôt que le produit lui-même. On a vu la même logique avec des smartphones Android bon marché livrés avec un malware de fraude publicitaire et avec des paquets de code piégés comme la campagne npm MALFEX. L'objectif rappelle aussi d'autres méthodes de vol de cryptomonnaies, dont les attaques par SIM swap : mettre la main sur le secret qui débloque les fonds.

Les lecteurs qui ont acheté un appareil Ledger chez l'un des vendeurs cités ont tout intérêt à suivre de près les consignes de Ledger. Reste à voir si l'enquête confirme des pertes liées à d'autres vendeurs que CryptoBilis, jusqu'où les implants se sont répandus en Europe, et si d'autres fabricants de portefeuilles emboîtent le pas à Trezor en réduisant leur réseau de revendeurs.