Ledger : un implant eSIM vole les phrases de récupération

Ledger a confirmé qu’un implant matériel intégré à ses appareils de signature vendus par le revendeur d’Asie du Sud-Est CryptoBilis capture la phrase de récupération de 24 mots lors de la configuration et la transmet via LTE au moyen d’une eSIM provisionnée. L’équipe de sécurité Donjon de l’entreprise a indiqué que l’implant ne modifie ni le Secure Element de l’appareil, ni le système d’exploitation de Ledger, ni les transactions et signatures. Des chercheurs onchain estiment les pertes à plus de 86 millions de dollars sur Bitcoin, Ethereum et Tron, même si Ledger affirme que ni le montant total ni le nombre d’utilisateurs concernés n’ont été vérifiés.

Pourquoi c’est important

L’attaque contourne le modèle de sécurité central de l’appareil sans le falsifier. Comme l’implant récupère la phrase de récupération lors de la configuration, les victimes perdent tous les actifs contrôlés par cette phrase, y compris ceux transférés ensuite vers de nouveaux wallets. Ledger affirme n’avoir aucune indication d’une compromission de sa propre infrastructure ou de ses services et a demandé à CryptoBilis de suspendre toutes les ventes et expéditions pendant que ses équipes examinent le matériel récupéré.

L’ampleur de l’incident dépasse désormais le revendeur initial. MediaMarkt Saturn a cessé de vendre des appareils Ledger en magasin et en ligne à compter du 13 octobre, après qu’un client allemand a signalé un implant, même si aucune perte de fonds n’a été constatée dans ce cas. Mark Karpelès, ancien PDG de Mt. Gox, a également déclaré qu’un Ledger Flex acheté à l’aéroport de Singapour contenait un implant espion, une affirmation que Ledger n’a pas confirmé comme étant liée à la même opération.

Impact sur le marché

Les concurrents considèrent cet épisode comme un signal d’alarme pour la chaîne d’approvisionnement. Trezor a retiré CryptoBilis de son réseau et réduit son réseau élargi de revendeurs, les partenaires concernés perdant leur autorisation le 1er janvier 2027. OneKey a révoqué l’autorisation du revendeur dans son ensemble et propose des remplacements gratuits pour les appareils achetés via CryptoBilis entre le 1er mars et le 13 octobre.

La leçon pour les détenteurs est de privilégier les canaux officiels : achetez directement auprès des fabricants et considérez les appareils de tiers comme non fiables tant qu’ils n’ont pas été vérifiés. Le prochain élément à surveiller est la publication par Ledger d’un montant de pertes vérifié, ainsi que toute action des autorités permettant d’établir l’origine de l’opération.