Un implant matériel sophistiqué pour voler les fonds des utilisateurs

Ledger a confirmé la présence d’un implant matériel non autorisé dans certains de ses portefeuilles distribués via CryptoBilis, un revendeur basé en Asie du Sud-Est. Selon BleepingComputer, cet implant, découvert dans au moins un appareil Ledger, utilise un microcontrôleur STM32G431KBU6 et un module LTE blindé pour transmettre les données capturées. Mark Karpelès, expert en cybersécurité, a partagé une photo montrant l’implant caché derrière l’écran du Ledger X, équipé d’une eSIM pour une connexion réseau.

L’implant capture l’affichage et les pressions sur les boutons afin d’identifier la phrase de récupération (seed phrase) des utilisateurs. Deux versions de cet implant ont été confirmées par Tibane Labs, avec des différences dans leur intégration et leur alimentation. Ledger précise que les appareils compromis ont été achetés sur des plateformes comme Amazon Japan et Yahoo! Auctions Japan, puis expédiés depuis la Malaisie.

Ledger confirme qu’un implant matériel non autorisé a été découvert dans un portefeuille vendu par CryptoBilis, utilisant une connexion LTE pour voler les données des utilisateurs et drainer leurs fonds crypto.

Des pertes estimées à 86 millions de dollars et une enquête en cours

Les rapports de vol de fonds associés à ces implants concernent des pertes estimées à 86 millions de dollars en cryptomonnaies, selon The Coin Republic. Les fonds ont été drainés depuis des portefeuilles Bitcoin, Ethereum et TRON, avec des transferts suspects vers des plateformes comme Tornado Cash. Ledger a demandé à CryptoBilis de suspendre immédiatement les ventes et les livraisons de ses appareils, tout en conseillant aux clients d’éviter d’initialiser leurs nouveaux portefeuilles ou de transférer leurs actifs vers un nouvel appareil sécurisé.

Ledger souligne que ses canaux de vente directs ne sont pas affectés par cette faille, et que l’incident ne remet pas en cause la sécurité des portefeuilles matériels en général. Cependant, l’enquête se concentre exclusivement sur les appareils vendus par CryptoBilis dans les 90 derniers jours.

Comment identifier un portefeuille compromis et quelles actions mener

Ledger recommande aux utilisateurs ayant acheté un appareil via CryptoBilis de ne pas l’initialiser s’ils ne l’ont pas encore fait. Pour ceux qui ont déjà configuré leur portefeuille, la société conseille de transférer immédiatement leurs actifs vers un nouvel appareil Ledger avec une nouvelle phrase de récupération, selon The Hacker News. Un portefeuille légitime ne doit jamais arriver avec une phrase de récupération pré-définie, imprimée ou scellée.

Ledger a également rappelé à tous ses revendeurs de ne pas réapprovisionner en produits retournés, afin d’éviter toute réintroduction d’appareils compromis. Changpeng Zhao, ancien PDG de Binance, a évoqué une hypothèse selon laquelle les attaquants auraient acquis CryptoBilis en utilisant un accord de confidentialité (NDA) pour masquer leur opération, bien que cette information n’ait pas été confirmée par Ledger ou CryptoBilis.

Ce que cela change ici : risques pour les entreprises et administrations africaines

Bien que cet incident ne concerne pas directement le Bénin ou l’Afrique de l’Ouest, il rappelle l’importance pour les entreprises et administrations locales de vérifier l’authenticité des équipements informatiques et de cryptomonnaies qu’elles acquièrent, surtout via des revendeurs tiers. Les organisations utilisant des portefeuilles matériels pour gérer des actifs numériques pourraient, à l’avenir, renforcer leurs protocoles d’achat en privilégiant les canaux officiels des fabricants et en effectuant des audits physiques des appareils reçus.

Les administrations béninoises et ouest-africaines gérant des fonds publics ou des actifs numériques pourraient aussi envisager des partenariats avec des experts en cybersécurité pour évaluer les risques liés aux équipements tiers. Par ailleurs, la formation des équipes IT sur les bonnes pratiques de sécurisation des portefeuilles matériels et la détection des signes de compromission (comme une phrase de récupération pré-remplie) serait un moyen de limiter les risques de pertes financières.

Enfin, cet épisode souligne la nécessité de diversifier les canaux d’achat et de ne pas dépendre exclusivement d’un seul revendeur, surtout dans un contexte où les attaques ciblent spécifiquement les intermédiaires. Les entreprises locales pourraient ainsi intégrer des clauses de vérification dans leurs contrats avec les fournisseurs de technologies.