Un audit de code a révélé que le kit de développement logiciel (SDK) de Ledger envoie des informations de signature et des métadonnées de transaction aux serveurs de Ledger. Des passionnés de vie privée ont découvert ce comportement mardi dans le SDK par défaut utilisé par les applications wallet pour se connecter aux appareils matériels Ledger. La découverte a surpris les défenseurs de la vie privée lorsque les résultats ont circulé sur les réseaux sociaux.
Le partage est activé par défaut depuis la version 1.16 du module context, datant de mai 2026 ou antérieurement. Des métadonnées importantes ont été transférées depuis les appareils Ledger vers les serveurs Ledger depuis la fin mai. Les applications et les utilisateurs doivent opter pour le désabonnement au partage, mais la grande majorité ne le fait pas. De nombreux utilisateurs ont cru à tort que les wallets Ledger signaient les transactions en privé et les diffusaient directement sur les réseaux blockchain sans partager non plus de données personnelles avec Ledger.
Le développeur Ambire Kaloyan Kosev, également connu sous le nom de superKalo, a signalé le problème hier. Kosev a déclaré que les serveurs Ledger ont reçu les modèles d'appareils, les versions logicielles et les adresses blockchain des utilisateurs qui ont effectué des paiements ou des requêtes. Kosev a soutenu que la confidentialité devrait être activée par défaut, particulièrement chez Ledger.
Le constructeur SDK sélectionne par défaut un point de terminaison du serveur Ledger, et la divulgation de ce comportement était insuffisante. Le signataire basé sur Ethereum envoie un rapport pour chaque demande de signature de transaction ou de signature de données typées, indépendamment de la demande d'authentification aveugle de l'utilisateur.
Les développeurs de Ledger ont commis le code de rapport original le 26 mars. La version 1.16.0 du module context a intégré ce code dans le package en direct en avril, avec une distribution aux utilisateurs pendant avril et mai. La version initiale a dirigé les données partagées vers un serveur de staging de Ledger. La version 2.1.0 a modifié la destination vers les serveurs de production.
Ledger Donjon, l'équipe de sécurité interne de Ledger, a déclaré mardi que les transferts font partie de la signature claire. Donjon a expliqué que les descripteurs de signature claire convertissent les transactions brutes en texte lisible, mais qu'ils sont trop volumineux pour un appareil. Donjon a précisé que le SDK récupère les descripteurs depuis les serveurs de Ledger pour améliorer les performances. Donjon a indiqué que la recherche du descripteur approprié nécessite l'envoi des détails pertinents de la transaction. L'équipe de sécurité de Ledger a affirmé que Ledger ne conserve aucune donnée. L'équipe de sécurité a précisé que les wallets peuvent utiliser leur propre module pour éviter le partage par défaut.
Nicolas Bacca, cofondateur de Ledger, qui a quitté l'entreprise en 2023, a déclaré à l'enthousiaste de bitcoin Mr Hodl que le paramètre par défaut aurait pu être négligé. Mr Hodl s'est demandé pourquoi le partage exigeait que les utilisateurs se désinscrivent, alors que personne n'avait accepté. Bacca a répondu qu'il ne savait pas pourquoi.
L'application wallet de Ledger envoie également d'autres informations via l'infrastructure Ledger. Le module Bitcoin de l'application récupère les historiques de comptes et les taux de frais à partir d'un Explorateur Ledger et diffuse les transactions via cet Explorateur. L'application vérifie séparément l'Explorateur pour chaque adresse et soumet chaque transaction signée au point de terminaison d'envoi de l'Explorateur.
Ledger Live a transmis à l'entreprise d'analyse Segment des informations sur les clics, le nombre de comptes, les noms d'actifs crypto, les types d'appareils et les firmwares, selon un rapport publié en 2023. Ledger affirme désormais que les traceurs de personnalisation nécessitent un consentement explicite. Une violation de données distincte en 2020 a exposé les noms, adresses et numéros de téléphone d'environ 272 000 clients Ledger. Le mois dernier, un logiciel espion présent sur des appareils vendus par un revendeur malaisien prétendument officiel mais peu fiable a vidé plus de 86 millions de dollars des comptes des victimes.