Crypto : Singapour enquête sur des appareils Ledger modifiés à l’insu du fabricant

Le piège se cachait dans le boîtier. La police de Singapour alerte sur des appareils Ledger altérés, achetés dans des magasins physiques. Depuis le 10 septembre, au moins deux cas ont été signalés, pour des pertes cumulées d’environ 3,5 millions de dollars singapouriens. Les premières investigations révèlent la présence de composants matériels capables de capturer les phrases de récupération ou les clés privées des utilisateurs. On fait le point sur cette info.

La police recense au moins deux cas impliquant des Ledger altérés vendus dans des boutiques de Singapour.

Des composants malveillants peuvent dérober les informations nécessaires pour accéder aux fonds.

Ledger décrit une attaque contre son circuit de distribution et a demandé une suspension des ventes chez ses revendeurs en Asie du Sud-Est et à Hong Kong.

Réinitialiser un appareil suspect ne suffit pas à éliminer un implant matériel.

Dans son avertissement du 28 octobre, la police indique que les composants découverts peuvent permettre à des tiers de transférer les cryptomonnaies sans l’autorisation de leur propriétaire. L’enquête reste en cours, et les autorités échangent avec Ledger, qui examine les cas concernés.

Le fabricant avait décrit, le 15 octobre, une attaque contre des appareils distribués en Asie du Sud-Est. Selon son communiqué, un groupe criminel a acheté des Ledger authentiques, ouvert les boîtiers et ajouté des composants dissimulés pour intercepter la phrase de récupération pendant la configuration. Les appareils modifiés ont ensuite réintégré le circuit des revendeurs.

La victime pouvait donc générer elle-même sa phrase de récupération tout en la faisant capturer par l’implant. Le scénario dépasse celui d’un appareil livré avec des mots déjà inscrits sur une feuille.

Ledger affirme que sa puce, son système d’exploitation et ses serveurs n’ont pas été compromis. L’entreprise situe l’altération après la sortie des appareils de son contrôle. Cette explication distingue la sécurité des composants d’origine de celle du produit remis à l’acheteur.

Face à une modification matérielle, générer une nouvelle phrase sur le même appareil ne constitue pas une protection suffisante : le composant ajouté reste présent. Il ne faut donc pas présenter une réinitialisation ou un contrôle d’authenticité comme une garantie contre ce type d’attaque.

La police recommande de ne plus saisir de phrase de récupération ni effectuer de nouvelles transactions sur un appareil suspect, et de contacter le fabricant par ses canaux officiels. Si les clés ou la phrase semblent compromises, elle conseille d’envisager le transfert des actifs restants vers un portefeuille fiable, doté d’une nouvelle phrase générée sur un appareil non compromis.

De son côté, Ledger a demandé à ses revendeurs et distributeurs de suspendre les ventes en Asie du Sud-Est et à Hong Kong. Le fabricant a aussi renforcé ses consignes : aucun appareil retourné ne doit être remis en vente, même s’il paraît neuf, et les stocks doivent rester hors des rayons accessibles aux clients.