Que s'est-il réellement passé ?
Le fabricant de portefeuilles matériels Ledger a, selon Kryptonovinky.cz et Kryptonovinky.sk, publié mardi une analyse d'une attaque visant ses appareils arrivés chez les clients via le revendeur CryptoBilis. Selon l'équipe de sécurité de Ledger, appelée Donjon (comme le citent les deux Kryptonovinky à propos de ses constatations), un implant physique, c'est-à-dire une petite puce dotée d'un microcontrôleur, avait été dissimulé dans le boîtier de l'appareil. Celui-ci était censé surveiller ce qui s'affichait sur l'écran du portefeuille. Au moment où, lors de la configuration initiale, la phrase de récupération apparaissait, l'implant était censé la capter et l'envoyer via le réseau mobile.
Précision importante sur les sources : la rédaction de charliedesk n'a pas lu l'analyse primaire de Ledger et de l'équipe Donjon à partir d'une source directe de Ledger, mais la connaît de manière indirecte via le reportage de Kryptonovinky. Nous présentons donc la description de l'attaque comme ce que, selon Ledger, Donjon a constaté, et non comme un résultat technique vérifié de façon indépendante.
La phrase de récupération (en anglais seed phrase, généralement 24 mots) est la clé principale de tout le portefeuille. Celui qui la détient contrôle les fonds. C'est précisément pour cela qu'elle est si sensible : l'attaque décrite ne vise ni le logiciel ni le chiffrement, mais le chemin physique de l'appareil, de la fabrication jusqu'au client, c'est-à-dire ce qu'on appelle la chaîne d'approvisionnement.
Pourquoi est-ce un problème de chaîne d'approvisionnement, et non (seulement) d'un seul fabricant ?
L'essentiel est de savoir par où le composant malveillant a pénétré dans l'appareil. Selon la description, il ne s'agissait pas d'une erreur de conception du portefeuille, mais d'une manipulation de la marchandise avant même que le client ne l'ait reçue. Cela change l'angle de vue : le point faible n'est pas nécessairement le produit lui-même, mais la distribution (revendeurs, remballage, stockage intermédiaire).
C'est précisément cette dimension qui explique pourquoi la concurrence réagit elle aussi à cette découverte. Selon CryptoSlate et Cointelegraph, le directeur commercial (CCO) de Trezor, Danny Sanders, a envoyé une lettre datée du 13 octobre, dans laquelle il annonçait à certains partenaires qu'ils perdraient à compter du 1er janvier 2027 leur statut de revendeur autorisé. Trezor présente cela, selon CryptoSlate, comme un renforcement de la surveillance de sa propre chaîne d'approvisionnement et comme une mesure préventive.
Que change exactement Trezor ?
| Quoi | Détail | Source |
|---|---|---|
| Forme de la décision | Lettre du CCO Danny Sanders du 13 octobre | CryptoSlate, Cointelegraph |
| Qui est concerné | Certains revendeurs autorisés (pas tous) | CryptoSlate, Cointelegraph |
| À partir de quand | Retrait de l'autorisation à compter du 1er janvier 2027 | CryptoSlate |
| Motif | Renforcement du contrôle de la chaîne d'approvisionnement, prévention | CryptoSlate |
Selon CryptoSlate, Trezor a déclaré n'avoir trouvé aucune preuve de manipulation sur ses appareils. Il s'agit donc d'une réduction préventive du cercle des revendeurs, et non d'une réaction à un implant trouvé dans ses propres produits.
Et ces emplacements disparus de l'offre ?
Les Kryptonovinky tchèques et slovaques indiquent de concert que les portefeuilles Ledger disparaissent d'une partie de la vente ; la version slovaque mentionne concrètement les magasins MediaMarkt. L'ampleur de ce retrait, qu'il s'agisse d'une mesure temporaire ou d'une décision générale, et les marchés précisément concernés, ne ressort pas clairement des sources disponibles. Nous classons cela pour l'instant parmi les éléments non vérifiés.
Qu'en découle-t-il pour l'utilisateur ordinaire ?
Ceci n'est pas un mode d'emploi sur ce qu'il faut faire de son argent, mais une description de l'endroit où se situe le risque dans ce type d'incident. Dans une attaque sur la chaîne d'approvisionnement, ce qui compte, c'est l'origine de l'appareil et la façon dont la phrase de récupération est générée et affichée. De manière générale, les fabricants de portefeuilles matériels renvoient, face à de telles situations, à l'achat via les canaux officiels et à la vérification de l'authenticité de l'appareil. Les procédures concrètes varient selon le fabricant et ne font pas l'objet de ces quatre sources, c'est pourquoi nous ne les présentons pas ici comme un fait.
Ce qu'il faut suivre par la suite (afin de pouvoir le vérifier plus tard)
- Si Ledger publiera l'ampleur des unités touchées vendues via CryptoBilis et combien de fonds (si tant est qu'il y en ait eu) ont été dérobés. Inconnu pour l'instant.
- Comment Trezor procédera exactement à la réduction des revendeurs et quels partenaires cela touchera. Seuls le principe et la date ont été publiés pour l'heure.
- Si et sur quels marchés Ledger reviendra réellement dans l'offre physique et en ligne, y compris dans des chaînes comme MediaMarkt.
Charliedesk suit ce cas comme une histoire de distribution, et non comme une défaillance de la cryptographie. Dès que des chiffres vérifiés s'ajouteront, nous les compléterons et nous laisserons contrôler à leur sujet.