Chaque histoire Zipp taguée #SeedPhrase, les plus récentes en premier.
L’incident montre qu’un portail développeur compromis peut mettre les utilisateurs en danger, même au sein de la boutique d’applications sélectionnées d’un appareil.
Sur les modèles récents concernés, ces failles ne révèlent pas automatiquement les phrases de récupération. Mais un accès physique et des outils USB peuvent tout de même créer un risque que le stockage hors ligne ne suffit pas à éliminer.
La campagne vise les phrases de récupération de 24 mots et fait suite à de précédentes annonces Google malveillantes qui redirigeaient les utilisateurs de Ledger vers de fausses pages de vérification.
La chaîne d'attaque signalée va de Safari à un accès au niveau du kernel, exposant directement les clés privées et les phrases de récupération stockées sur les appareils concernés.
Ce logiciel espion multiplateforme, caché dans des boutiques d’apps officielles, utilisait l’OCR pour extraire des phrases de récupération directement depuis les galeries photo des utilisateurs, une appli Android ayant dépassé 10K téléchargements avant d’être retirée.
CoinTelegraph
WuBlockchain
TheBlock