Ledger retiré de 7 marchés asiatiques, enquête sur des puces espionnage

Sept marchés mis à l'arrêt

Dans une mise à jour publiée le 13 octobre, le fabricant français de portefeuilles matériels a déclaré :

[We are] il demandait aux revendeurs et distributeurs d’Asie du Sud-Est et de Hong Kong de suspendre les ventes d’appareils Ledger pendant la durée de l’enquête. Cela implique notamment de retirer les produits des rayons.

Cette suspension concerne l’Indonésie, Singapour, la Thaïlande, les Philippines, le Vietnam, la Malaisie et Hong Kong. Il s’agit d’une extension majeure par rapport à la réponse initiale, qui ne visait qu’un seul revendeur régional.

Ledger a pris soin de limiter la portée de ses aveux, soulignant qu’au fur et à mesure que l’enquête avançait, les seuls incidents confirmés restaient confinés à l’Asie du Sud-Est. La société a en outre précisé :

« Nous n’avons pas constaté de fuite liée à un appareil acheté ailleurs. Rien n’indique que l’infrastructure, les systèmes ou les services de Ledger, ni son canal de vente directe, aient été compromis. »

Enfin, l’entreprise a indiqué que Ledger Donjon, son équipe interne de recherche en sécurité, analysera les appareils qu’elle recevra afin de déterminer qui a altéré le matériel et à quel maillon de la chaîne de distribution cela s’est produit.

Comment l’affaire de la puce espionne de Ledger a pris de l’ampleur

La crise a été rendue publique le 9 octobre, lorsque des utilisateurs ont signalé des vols de cryptomonnaies provenant de portefeuilles achetés via Cryptobilis, un revendeur opérant en Asie du Sud-Est. Ledger a demandé à Cryptobilis de suspendre toutes les ventes et expéditions, et les pertes présumées ont depuis été estimées à pas moins de 93,4 millions de dollars.

Par la suite, le 10 octobre, Ledger a confirmé la présence d’un implant matériel caché à l’intérieur de l’appareil d’un utilisateur concerné. Cet implant pouvait lire la phrase de récupération de 24 mots affichée lors de la configuration et la transmettre aux pirates via LTE à l’aide d’une eSIM.

La panique s’est ensuite propagée en Europe : un utilisateur a déclaré avoir trouvé un implant caché dans un Ledger acheté dans un magasin Mediamarkt en Allemagne, et l’ancien PDG de Mt. Gox, Mark Karpeles, a noté que l’antenne portait la mention « version eurasienne ». Le 13 octobre, Mediamarkt Saturn a cessé toute vente d’appareils Ledger, une décision que l’entreprise a déclaré soutenir, à la suite du signalement d’un implant par un client en Allemagne. Ledger a précisé qu’aucune perte de fonds n’avait été signalée dans ce cas.

Les fournisseurs concurrents sont également en alerte : Trezor a annoncé qu’il mettrait fin à certains partenariats avec des revendeurs à compter du 1er janvier 2027, afin de constituer un réseau « suffisamment restreint pour que nous puissions évaluer et contrôler chaque partenaire restant », tout en insistant sur le fait qu’il n’existe aucune preuve que ses propres appareils aient été compromis.

Ce que les acheteurs de Ledger doivent faire dès maintenant

Les clients ayant effectué un achat auprès de Cryptobilis au cours des 90 derniers jours ne doivent pas configurer les appareils non utilisés, et ceux qui l’ont déjà fait doivent transférer leurs fonds vers un nouveau portefeuille doté d’une nouvelle phrase de récupération. Les utilisateurs ayant des questions concernant un appareil peuvent contacter Ledger via son service d’assistance officiel.

La société a également averti que les escrocs ont tendance à exploiter des incidents comme celui-ci et a par la suite publié l’avertissement suivant :

« Ledger ne vous appellera jamais, ne vous enverra jamais de message directement et ne vous demandera jamais votre phrase de récupération de 24 mots. De nombreuses allégations et chiffres circulant en ligne ne sont pas vérifiés. »