Ledger a confirmé qu’un implant matériel non autorisé découvert à l’intérieur d’un signataire de cryptomonnaie vendu par le revendeur d’Asie du Sud-Est CryptoBilis peut capturer les phrases de récupération de 24 mots des utilisateurs et les transmettre via un réseau cellulaire.
Résumé
- Ledger a confirmé la présence d’un implant matériel à l’intérieur d’un signataire affecté vendu par le revendeur d’Asie du Sud-Est CryptoBilis.
- L’implant lit les phrases de récupération lors de la configuration et transmet les mots capturés via une connexion LTE.
- Ledger affirme que l’implant fonctionne séparément sans modifier son Secure Element, son système d’exploitation ou ses signatures.
- CryptoBilis a suspendu les ventes de signataires Ledger pendant que les enquêteurs examinent les appareils affectés et les pertes signalées par les clients.
- Ledger n’a pas vérifié le nombre total de victimes ni les pertes globales en cryptomonnaies signalées.
Ledger a divulgué les conclusions le 13 octobre, à la suite d’une enquête de son équipe de sécurité Donjon sur des pertes en cryptomonnaies signalées le 9 octobre. L’entreprise a confirmé la présence d’un implant dans l’appareil d’un client affecté le 10 octobre et a déclaré que chaque perte de fonds qu’elle a vérifiée dans l’incident concernait des appareils achetés via CryptoBilis. Le revendeur a suspendu les ventes de signataires Ledger pendant que les enquêteurs examinent le matériel affecté.
L’enquête sur la sécurité du portefeuille Ledger révèle un dispositif d’espionnage caché
Selon les dernières conclusions de l’entreprise, le composant non autorisé se trouve à l’intérieur du boîtier du portefeuille et surveille les informations affichées sur son écran. Lors du processus de configuration initial, un signataire Ledger affiche une phrase de récupération de 24 mots qui permet aux utilisateurs de restaurer l’accès à leurs avoirs en cryptomonnaies.
L’implant contient un microcontrôleur capable de lire les informations affichées lors de la configuration. Lorsqu’il détecte les écrans de phrase de récupération, il décode les mots et transmet les informations via une connexion LTE à l’aide d’une eSIM provisionnée. Les conclusions de Ledger indiquent que le composant fonctionne indépendamment des systèmes de sécurité normaux du signataire.
Dans sa déclaration, Ledger a expliqué que l’appareil ne modifie pas le Secure Element, la puce chargée de protéger les clés privées. L’implant ne modifie pas le système d’exploitation Ledger, les transactions en cryptomonnaies ni les signatures numériques. Sa fonction est de capturer les informations sensibles affichées lors de l’initialisation du portefeuille.
L’entreprise a déclaré que son enquête n’a pas établi que l’incident affecte des appareils achetés via d’autres canaux de distribution. « Nous n’avons pas vérifié de drainage lié à un signataire acheté ailleurs », a déclaré Ledger. Cependant, ses chercheurs en sécurité continuent d’examiner les signalements impliquant des modifications matérielles dans d’autres appareils et lieux.
Les dernières conclusions techniques fournissent des informations supplémentaires sur le matériel caché découvert dans les portefeuilles Ledger vendus par CryptoBilis. Ledger avait initialement confirmé la présence d’un composant non autorisé le 10 octobre, mais n’avait pas établi publiquement son mode de fonctionnement à ce stade.
CryptoBilis arrête les ventes pendant que Ledger enquête sur les vols signalés
L’enquête a commencé après que Ledger a reçu des signalements de cryptomonnaies manquantes de la part de clients ayant acheté des appareils via CryptoBilis, un revendeur de portefeuilles matériels desservant les marchés d’Asie du Sud-Est. Le 9 octobre, le fabricant a commencé à examiner les plaintes et a demandé au distributeur d’arrêter de vendre et d’expédier ses produits.
Au 10 octobre, l’équipe de sécurité de l’entreprise avait identifié un implant non autorisé à l’intérieur d’un appareil appartenant à un client affecté. CryptoBilis a ensuite confirmé avoir arrêté de vendre des signataires Ledger pendant que l’enquête se poursuivait.
Ledger n’a pas établi comment les composants non autorisés sont entrés dans les appareils affectés ni identifié les responsables de leur installation. L’entreprise n’a annoncé aucune arrestation, accusation pénale ou action répressive terminée liée à l’incident.
Pendant ce temps, la société d'analyse blockchain Bitquery a estimé que les vols de cryptomonnaies présumés liés à l'enquête atteignaient environ 102 millions de dollars répartis sur 324 portefeuilles dans son analyse du 12 octobre. La société a retracé les mouvements impliquant Bitcoin, Ethereum et d'autres réseaux blockchain tout en examinant les liens possibles entre les adresses concernées.
Ces chiffres restent des estimations indépendantes. Ledger n'a pas confirmé le calcul des pertes de Bitquery, le nombre de clients concernés ni si chaque transaction suspecte identifiée par les chercheurs résultait de l'implant matériel.
Dans sa déclaration du 13 octobre, le fabricant a indiqué : « Nous n'avons pas confirmé le nombre total d'utilisateurs concernés ni la valeur totale perdue. » Il a averti que les chiffres circulant en ligne provenaient de tiers et n'avaient pas été entièrement vérifiés par ses enquêteurs.
Par ailleurs, la société a déclaré que son équipe Donjon continuerait d'examiner les appareils soumis pendant l'enquête. Les chercheurs devraient évaluer les modifications physiques et déterminer si d'autres signataires concernés contiennent des composants similaires.
Ledger exhorte les clients de CryptoBilis à déplacer leurs cryptomonnaies
Les clients ayant déjà utilisé des appareils concernés ont été invités à transférer rapidement leurs cryptomonnaies vers un nouveau signataire initialisé avec une phrase de récupération entièrement nouvelle. Ledger a spécifiquement averti les utilisateurs de ne pas importer ni restaurer leurs mots de récupération existants dans un autre appareil acheté auprès de CryptoBilis.
Cette recommandation fait suite aux conclusions de la société selon lesquelles l'implant peut capturer les phrases de récupération affichées lors de la configuration. Un utilisateur qui transfère une phrase de récupération exposée vers un autre portefeuille matériel continuerait d'utiliser des identifiants potentiellement connus d'un attaquant.
Le fabricant a déclaré que les victimes devraient coordonner avec les forces de l'ordre avant d'ouvrir leurs signataires, en particulier lorsque l'appareil pourrait être nécessaire à une enquête. Ouvrir le matériel sans manipulation appropriée pourrait affecter l'état des preuves physiques.
Ledger a réitéré qu'il n'appellerait jamais les clients, n'enverrait pas de messages directs non sollicités ni ne demanderait leurs phrases de récupération. Cet avertissement fait suite à des rapports distincts de faux sites Web Ledger tentant de voler les phrases de récupération des portefeuilles, bien qu'aucun lien direct entre ces campagnes d'hameçonnage et l'incident matériel de CryptoBilis n'ait été établi.
Pour les clients qui ont obtenu leurs appareils ailleurs, Ledger a mis à disposition des conseils d'inspection via son site Web d'assistance. La société a averti que l'ouverture d'un signataire peut l'endommager et a conseillé aux utilisateurs de s'assurer que leurs phrases de récupération sont sauvegardées en toute sécurité avant de tenter une inspection.
Ledger Donjon poursuit l'examen des implants matériels
L'équipe de recherche Donjon de Ledger poursuit son examen technique des signataires modifiés. La société a déclaré que ses enquêteurs analyseraient les appareils supplémentaires à leur arrivée et publieraient de plus amples informations lorsque de nouvelles conclusions auraient été vérifiées.
L'équipe est spécialisée dans la recherche sur la sécurité matérielle et logicielle, y compris les attaques physiques contre les dispositifs de signature de cryptomonnaies. La documentation de recherche de Ledger décrit des travaux impliquant l'analyse de circuits, l'inspection de composants et les tests des mécanismes de sécurité utilisés pour protéger les clés privées.
L'enquête s'est concentrée sur la manière dont le composant non autorisé capturait les informations de l'écran de l'appareil. Les conclusions du 13 octobre de Ledger identifient un microcontrôleur distinct et un système de communication cellulaire, sans modification confirmée de l'élément sécurisé ni du processus de signature.
La société a demandé des informations aux chercheurs et à d'autres personnes susceptibles de détenir des preuves concernant les modifications. Les conclusions pertinentes peuvent être soumises à [email protected], tandis que les clients concernés ont été dirigés vers le support Ledger.
Ledger a déclaré qu'il continuerait d'examiner les rapports concernant d'autres modèles de signataires et zones géographiques. La société n'a pas annoncé de date pour l'achèvement de l'enquête ni pour la publication d'un rapport final.
