Ledger confirme la présence d'un implant caché dans le portefeuille d'un client : le vrai risque est la chaîne d'approvisionnement

Le 10 octobre, le support de Ledger a confirmé que le portefeuille d'un client concerné contenait un « implant matériel non autorisé ». L'appareil appartenait à un utilisateur visé par l'enquête sur des vols impliquant CryptoBilis, un revendeur actif en Indonésie, en Malaisie et aux Philippines. La société d'analyse on-chain Bitquery estime qu'environ 92,9 millions de dollars ont été dérobés dans 311 portefeuilles. Ledger n'a pas confirmé ce chiffre, ni indiqué que l'implant était à l'origine des pertes.

Le signal : le point faible était la voie de livraison

Ledger affirme n'avoir aucune indication que sa propre infrastructure de sécurité, ses systèmes ou ses services aient été compromis. Si l'on prend cette déclaration au pied de la lettre, l'histoire change de nature. La cryptographie et le micrologiciel peuvent être intacts alors que l'objet physique que tient le client n'est pas celui que le fabricant a expédié. Les produits d'auto-garde vendent l'idée qu'il n'est plus nécessaire de faire confiance à un tiers. Un portefeuille matériel réintroduit pourtant ce tiers : toutes les personnes qui ont touché le colis entre l'usine et le bureau. Les premiers signalements de vols datent du 9 octobre, parmi des clients ayant acheté auprès d'un même revendeur. Ce schéma désigne le canal de vente, même si Ledger n'a pas précisé comment l'appareil avait été modifié ni quand.

Comment un implant pourrait vider un portefeuille

Une phrase de récupération se compose généralement de 24 mots qui permettent à quiconque de reconstruire un portefeuille et d'autoriser des transferts sans l'appareil d'origine. Lors de la configuration, le portefeuille affiche ces mots sur son écran. Le chercheur Mark Karpelès, ancien PDG de Mt. Gox, a rapporté avoir trouvé des composants électroniques supplémentaires dissimulés derrière l'écran d'un Ledger Nano X obtenu en Malaisie, à l'intérieur d'un matériau normalement utilisé pour protéger l'écran. Un compte rendu technique publié par Tibane Labs décrit un microcontrôleur, du matériel de communication cellulaire et des connexions aux lignes de données internes de l'écran. Son analyse suggère qu'un tel composant pourrait capturer ce que l'écran affiche pendant la configuration.

Il s'agit d'une hypothèse, non d'un constat. Ledger n'a pas dit si l'implant transmettait quoi que ce soit, ni confirmé que ce mécanisme ait vidé un compte. Mark Karpelès a également rapporté que l'emballage paraissait intact, ce qui soulève un point inconfortable : un contrôle visuel de routine pourrait ne pas détecter ce type de modification.

Ce que Ledger et le revendeur ont fait

Ledger a demandé à CryptoBilis de suspendre les ventes de produits Ledger, et le revendeur a ensuite interrompu les ventes de tous ses portefeuilles matériels jusqu'à la fin de l'enquête. Les clients ayant acheté auprès de CryptoBilis qui n'ont pas encore configuré leur appareil sont invités à ne pas le faire. Pour ceux qui en ont déjà utilisé un, Ledger recommande de transférer les fonds vers un nouveau portefeuille initialisé avec une phrase de récupération entièrement nouvelle. L'entreprise souligne que reporter l'ancienne phrase sur un appareil de remplacement ne réglerait pas l'éventuelle exposition, car la phrase elle-même peut être compromise. Ledger a contacté les forces de l'ordre et remercie l'initiative SEAL_911 de la Security Alliance pour son aide. Elle n'a nommé aucun suspect et n'a donné aucun calendrier.

Par ailleurs, deux anciens dirigeants de CryptoBilis, Arravind Prabu et Vimalatheethan, ont déclaré avoir cédé le contrôle opérationnel après un changement de propriétaire et avoir terminé la passation en mars. Leur déclaration n'établit pas qui a modifié l'appareil.

Les questions à vous poser

• D'où vient exactement votre portefeuille matériel, et le vendeur peut-il prouver une chaîne de conservation ininterrompue depuis le fabricant ?
• Si un emballage intact n'a pas révélé la falsification dans ce cas, quelle vérification au-delà d'un contrôle visuel un acheteur peut-il réellement effectuer ?
• Ledger affirme que ses propres systèmes n'ont pas été compromis. Comment une personne extérieure à l'entreprise pourrait-elle confirmer à quel endroit de la chaîne la modification a eu lieu ?
• Si vous avez déjà configuré un appareil acheté auprès d'un revendeur tiers, êtes-vous prêt à générer une nouvelle phrase de récupération et à tout déplacer ?
• En quoi consiste la protection promise par Ledger contre la falsification physique, et quand sera-t-elle disponible, sachant qu'aucune date n'a été donnée ?

Ce qu'il faut surveiller ensuite

Le signal décisif sera de savoir si Ledger établit comment l'implant s'est retrouvé dans l'appareil et s'il relie ce composant aux vols. Il faudra surveiller le nombre d'autres portefeuilles portant des modifications similaires, que Ledger n'a pas communiqué, ainsi que toute confirmation des chiffres de pertes avancés par Bitquery. Si d'autres revendeurs ou d'autres régions révèlent des appareils modifiés, le problème cesse d'être celui d'un seul distributeur et devient une question sur la manière dont tous les portefeuilles matériels sont vendus.