Un portefeuille de cryptomonnaies peut passer un contrôle d'authenticité tout en contenant du matériel malveillant.
Ledger a confirmé avoir découvert un implant matériel non autorisé lors d'une enquête sur des vols de cryptomonnaies impliquant ses appareils. L'entreprise a établi que les cas confirmés faisant l'objet de l'enquête étaient liés à CryptoBilis, un revendeur agréé dont Ledger a suspendu les ventes.
Selon BleepingComputer, des chercheurs qui examinaient des appareils modifiés ont découvert des circuits supplémentaires capables de récupérer des informations sensibles sur les portefeuilles. Le moment où les appareils ont été compromis reste incertain.
L'incident met en évidence un risque pour la sécurité de la chaîne d'approvisionnement : même les appareils conçus pour protéger des informations sensibles peuvent être compromis si des attaquants y accèdent physiquement avant qu'ils ne parviennent aux utilisateurs.
Qu'est-ce qu'un portefeuille matériel et pourquoi est-ce vraiment important ?
Un portefeuille matériel est un appareil physique qui stocke les clés cryptographiques utilisées pour autoriser les transactions en cryptomonnaies, en les isolant des ordinateurs et téléphones connectés à Internet. Contrairement à un compte sur une plateforme d'échange, où un tiers détient généralement les clés, un portefeuille matériel donne aux utilisateurs le contrôle direct de leurs actifs. Cela suffit à rendre les portefeuilles matériels sécurisés dès leur conception.
Cependant, la protection dépend de plus que de la conception de l'appareil.
L'enquête de Ledger montre comment des attaquants pourraient contourner cette hypothèse en ajoutant des composants non autorisés capables de récupérer des informations sensibles. L'appareil peut continuer à fonctionner normalement, ce qui rend la compromission difficile à déceler pour les utilisateurs.
Fonctionnement présumé de l'implant matériel
Les signalements de clients de Ledger en Asie du Sud-Est ont poussé l'entreprise à enquêter sur les appareils dans cette région, où elle a ensuite déterminé que tous les clients concernés avaient acheté leurs appareils auprès de l'un de ses revendeurs agréés — CryptoBilis.
Le 9 octobre, Ledger a annoncé sur X avoir suspendu les ventes de CryptoBilis pendant la poursuite des enquêtes. Selon BleepingComputer, les enquêtes de l'entreprise ont ensuite établi que le portefeuille d'au moins un client concerné contenait un implant matériel non autorisé.
Des chercheurs en sécurité qui examinaient des appareils Ledger Nano X modifiés, comme l'a rapporté BleepingComputer, ont découvert des circuits supplémentaires conçus pour récupérer des informations sur le portefeuille. Selon les informations disponibles, l'implant identifie les phrases de récupération et transmet les informations capturées au moyen d'une eSIM.
Avec la phrase de récupération, un acteur malveillant peut restaurer le portefeuille ailleurs et vider les fonds.
Ledger met en œuvre une protection contre les manipulations sur ses portefeuilles. Cependant, les implants malveillants au cœur de cet incident ont tout de même fonctionné en raison d'une limite de la conception du Genuine Check de Ledger. L'entreprise précise qu'une vérification ne peut pas détecter les modifications non autorisées si le Secure Element d'origine reste intact.
Cela laisse penser que les acteurs impliqués ont effectué la modification avec soin. Bien que Ledger n'ait pas officiellement confirmé le montant total dérobé, les sociétés de suivi de la blockchain et les médias spécialisés estiment que les pertes des utilisateurs ont dépassé 86 millions de dollars.
Ce que doivent faire les utilisateurs et les organisations
L'incident met en évidence la distinction entre un matériel authentique et un matériel resté physiquement sécurisé tout au long de sa distribution.
Pour les utilisateurs de cryptomonnaies, acheter auprès de vendeurs de confiance et suivre les recommandations du fabricant en matière de vérification peut aider à réduire l'exposition aux appareils compromis. Des prix inhabituellement bas ou des changements inattendus de l'emballage peuvent justifier un examen plus approfondi, même leur absence ne garantit pas la sécurité.
Toute personne qui soupçonne que son appareil a été compromis doit cesser de l'utiliser et contacter le fabricant par l'intermédiaire des canaux d'assistance officiels. Si une phrase de récupération a pu être exposée, le portefeuille lui-même doit être considéré comme compromis, plutôt que de compter uniquement sur un appareil de remplacement.
Pour les entreprises, le même risque s'étend au-delà des portefeuilles de cryptomonnaies. Les organisations qui dépendent de fournisseurs tiers pour leur matériel et même leurs logiciels pourraient hériter de vulnérabilités introduites avant l'arrivée de ces produits dans leurs locaux. Un composant compromis peut affaiblir des contrôles de sécurité par ailleurs solides, exposer des données sensibles ou offrir aux attaquants un point d'ancrage au sein des systèmes de l'entreprise.
La sélection des fournisseurs, la traçabilité des produits, les emballages inviolables et la vérification du matériel peuvent réduire ces risques. Mais aucun contrôle unique ne garantit qu'un produit est exempt de modifications malveillantes.
Un contrôle d'authenticité réussi peut établir que certains composants sont authentiques, mais il ne peut pas nécessairement prouver que rien d'autre n'a été ajouté. Cette lacune fait de l'intégrité de la chaîne d'approvisionnement un élément essentiel de la sécurité matérielle.
Autre actualité : les attaquants exploitent activement CVE-2026-85097, une vulnérabilité critique du plugin WordPress Bricksforge qui permet l'exécution de code à distance sans authentification.