ChainThink, 11 mars : L'équipe de recherche sécurité Donjon, filiale de Ledger, a découvert une vulnérabilité dans la chaîne de démarrage sécurisé des processeurs MediaTek. Un attaquant ayant un accès physique à un téléphone peut, via une connexion USB, extraire les clés cryptographiques avant le chargement du système d'exploitation, déchiffrer le stockage de l'appareil et obtenir le code PIN et la phrase mnémotechnique du wallet en environ 45 secondes. Lors de tests de preuve de concept, cette vulnérabilité a permis d'extraction avec succès des données sensibles depuis des applications de wallet telles que Trust Wallet, Kraken Wallet et Phantom.
Les chercheurs indiquent que cette vulnérabilité pourrait affecter environ 25 % des téléphones Android équipés de puces MediaTek et de l'environnement d'exécution fiable Trustonic. Charles Guillemet, chef technologue de Ledger, déclare que les smartphones n'ont jamais été conçus comme des coffres-forts ; bien que cette vulnérabilité puisse être corrigée par un correctif, elle révèle un risque inhérent à stocker des clés sur des appareils non sécurisés, et il recommande aux utilisateurs de mettre à jour leurs correctifs de sécurité dès que possible.