Ledger et Trezor encouragent une divulgation responsable des vulnérabilités

Les enjeux sont difficiles à surestimer. Une seule faille non corrigée sur un appareil contenant des clés privées peut vider des wallets. C’est pourquoi les deux fournisseurs s’appuient sur la divulgation coordonnée de vulnérabilités, la pratique consistant à signaler discrètement un bug, à laisser le fournisseur le corriger, puis à n’informer le public qu’après. Pour un article connexe, voir AINext Awards & Conference Dubai 2026: Where AI Leaders, Innovators and Decision-Makers Shape the Future of Artificial Intelligence.

Ledger demande aux chercheurs de lui laisser l'occasion de diagnostiquer et de corriger les vulnérabilités avant de divulguer les détails à des tiers ou au public, selon sa politique de bug-bounty Donjon. L'entreprise présente la divulgation coordonnée comme la norme responsable, et non comme une courtoisie facultative. Pour un article connexe, voir AgriNext Awards & Conference Dubai 2026: Where Agriculture Leaders, Innovators and Investors Shape the Future of Food Systems.

Ledger l'a dit clairement.

Chez Ledger, nous pensons que la divulgation coordonnée de vulnérabilités est la bonne approche pour mieux protéger les utilisateurs.

Trezor adopte une approche parallèle. Son portail de sécurité demande aux chercheurs en bug-bounty d'agir de bonne foi, de laisser à l'entreprise le temps de corriger un problème avant toute divulgation publique, et d'éviter toute fraude ou préjudice, selon ses conditions de sécurité publiées. Pour un article connexe, voir Nearly 4,000 BTC Leave Liquid Through Valid Peg-Out.

Deux concurrents, une même philosophie. Aucun ne souhaite qu'une faille soit divulguée sur internet avant qu'un correctif soit prêt à être déployé. Il s'agit d'une position politique permanente, et non d'une annonce conjointe confirmée ni d'une réponse à une violation spécifique. Pour un reportage connexe, voir Liquid Network Releases 3,996 BTC After L-BTC Burn.

Le débat sur la divulgation n'est pas académique pour Ledger. L'entreprise a déjà fait l'objet de scrutins, notamment dans un cas où une application Ethereum a été corrigée avant qu'une exploitation ne touche les utilisateurs, exactement le type de résultat que la divulgation coordonnée est conçue pour produire.

Le modèle est simple en théorie. Un chercheur découvre une faille, la signale en privé, le fournisseur l'évalue et la corrige, puis la divulgation a lieu une fois que les utilisateurs sont protégés. La friction réside dans le timing.

Ledger fixe un délai. Sa politique de divulgation de 90 jours signifie que l'entreprise fait de son mieux pour résoudre les problèmes dans les 90 jours suivant la réception d'un rapport de vulnérabilité, bien qu'elle souligne qu'il s'agit d'un objectif, et non d'une échéance garantie.

Ledger établit également une ligne rouge concernant la qualité. Il n'accepte pas les rapports générés entièrement ou principalement par des outils automatisés ou l'IA sans analyse humaine significative, exigeant que les soumissions démontrent une compréhension de la cause racine et de l'impact, et incluent une preuve de concept valide ou des étapes de reproduction claires.

Trezor établit une barre similaire. Ses rapports doivent inclure un code de démonstration et une description approfondie du bogue et de son impact potentiel, une exigence destinée à éliminer le bruit et à prouver qu'une faille est réelle.

Il y a de l'argent derrière la demande. Trezor propose des récompenses pour des vulnérabilités critiques allant de 1 000 $ à 100 000 $, avec une note explicite indiquant que les cas exceptionnellement catastrophiques n'ont pas de plafond, bien que la gravité et l'éligibilité restent à sa discrétion.

Cette approche du secteur privé résonne avec la réflexion gouvernementale. L'Agence américaine de cybersécurité et de sécurité des infrastructures a publié BOD 20-01 le 2 septembre 2020, exigeant des agences fédérales concernées qu'elles développent et publient des politiques de divulgation de vulnérabilités et maintiennent des procédures de gestion.

Il est essentiel que cette directive stipule que les politiques des agences ne doivent pas restreindre la divulgation des chercheurs, sauf par une demande de période de réponse raisonnablement limitée dans le temps. Elle sépare également les politiques de divulgation des récompenses payées et n'impose pas de programme de récompenses. Le champ d'application concerne les agences fédérales, et non les créateurs privés de wallets ; il s'agit donc d'un contexte, et non d'une règle imposée à Ledger ou Trezor.

Voici ce qu’un appel de divulgation ne signifie pas : il ne confirme pas qu’un utilisateur a été compromis, que les fonds sont en danger, ou qu’un produit spécifique est vulnérable. Les politiques ne mentionnent aucun produit, version ou perte affecté.

Les rapports selon lesquels l'IA génère une nouvelle vague de menaces contre les wallets restent, pour l'instant, non confirmés. L'idée selon laquelle Ledger et Trezor ont émis un nouvel appel spécifiquement lié à des menaces de sécurité liées à l'IA provient d'un seul compte qui n'a pas pu être vérifié indépendamment, et aucun chiffre concernant des incidents ou des pertes ne le confirme.

Ce qui est solide, c’est le processus. Si vous utilisez l’un ou l’autre appareil, la leçon pratique est que les deux entreprises souhaitent que les défauts soient traités discrètement et corrigés avant toute divulgation, ce qui réduit les chances qu’un bug devienne public avant qu’un correctif ne soit disponible.

La vraie question qui plane sur les portefeuilles matériels n’est pas de savoir si des bogues existent. Ils existeront toujours. Il s’agit de savoir si les chercheurs qui les découvriront ensuite choisiront le handshake de 90 jours ou la une.

Avertissement : Cet article a uniquement une finalité informative et ne constitue pas un conseil financier ou en matière d'investissement. Les marchés des cryptomonnaies et des actifs numériques comportent des risques importants. Effectuez toujours vos propres recherches avant de prendre des décisions.