Ledger a annoncé le 15 octobre 2026 de nouvelles exigences de sécurité pour ses détaillants autorisés. Précédemment, des attaquants avaient installé des composants électroniques cachés dans des portefeuilles cryptographiques authentiques afin de voler les phrases de récupération des utilisateurs et accéder à leurs fonds.
Ledger indique qu'après que des criminels ont modifié des portefeuilles matériels authentiques afin de voler des cryptomonnaies, l'entreprise a renforcé ses règles pour les revendeurs.
- Les modules cachés capturent la phrase de récupération du portefeuille pendant le processus de configuration de l'appareil et transmettent les informations sensibles via le réseau cellulaire.
- Ledger a suspendu les ventes de revente autorisées en Asie du Sud-Est et à Hong Kong pendant son investigation sur les appareils affectés.
- L'équipe de sécurité a inspecté les équipements de détail et d'entrepôt et a indiqué qu'aucun équipement affecté n'a été trouvé dans les échantillons prélevés.
- Ledger a demandé aux détaillants de cesser d'afficher les portefeuilles et d'interdire la revente sans exception des appareils retournés.
Ce fabricant de portefeuilles matériels a confirmé que les attaquants ont acheté des appareils légitimes, les ont modifiés, puis les ont réintroduits sur le marché via des canaux de distribution en Asie du Sud-Est. Ledger a suspendu les ventes de revente dans cette région, vérifié les appareils provenant de points de vente au détail et d'entrepôts, et a commencé à collaborer avec les autorités judiciaires pour retrouver les fonds volés.
L'entreprise affirme que ses systèmes internes, logiciels opérationnels et puces de sécurité n'ont pas été compromis. Les enquêteurs continuent de déterminer l'étendue complète de l'attaque, y compris la manière dont ces appareils modifiés ont pénétré sur le marché.
L'attaque du portefeuille Ledger implique un logiciel malveillant caché dans le phrase de récupération
L'enquête de Ledger a révélé que les attaquants se sont préparés pendant plusieurs mois pour cette opération. Ils ont acheté des portefeuilles matériels authentiques, démonté les appareils et intégré des composants électroniques sur mesure pour capturer les phrases de récupération pendant le processus de configuration.
La phrase de récupération contient généralement 24 mots, permettant à l'utilisateur de retrouver l'accès à son portefeuille cryptographique. Toute personne ayant accès à ces mots peut recréer ce portefeuille sur un autre appareil et transférer ses actifs.
Les attaquants exploitent le moment où la phrase de récupération apparaît à l'écran de l'appareil. Des composants cachés collectent ces mots et les transmettent à une infrastructure contrôlée par des criminels.
Lors de la mise à jour technique du 13 octobre, l'équipe de sécurité Donjon de Ledger a expliqué que ce logiciel malveillant utilise un microcontrôleur pour lire la phrase et transmettre les informations via une connexion LTE cellulaire à travers une carte SIM intégrée.
L'entreprise a déclaré que ce composant fonctionne indépendamment du Secure Element chargé de protéger les informations cryptographiques sensibles. Les enquêteurs n'ont trouvé aucune preuve de modification du système d'exploitation ou de changement des signatures de transaction par des composants malveillants.
Une enquête précédente sur la puce cachée dans les portefeuilles Ledger a documenté comment des composants électroniques non autorisés pouvaient exposer la phrase de récupération sans altérer la fonction normale de signature de l'appareil.
Ledger a récemment décrit cela comme une opération criminelle organisée impliquant l'achat d'équipements, des arrangements de distribution et une infrastructure utilisée pour collecter les identifiants des portefeuilles volés.
Le fabricant affirme que le groupe a dépensé des millions de dollars pour cette attaque, mais n'a fourni aucune répartition financière ni identifié les personnes concernées.
Selon des rapports, les attaquants ont utilisé des phrases de récupération collectées pour accéder à plusieurs portefeuilles lors d'un vol coordonné le 9 octobre.
Bien que des enquêteurs indépendants en blockchain estiment les pertes à plus de 86 millions de dollars, Ledger n'a pas encore vérifié le montant total volé ni le nombre de clients concernés.
Ledger suspend la vente de portefeuilles dans la région ASEAN
Après avoir identifié le problème, Ledger a demandé aux distributeurs et revendeurs autorisés en Asie du Sud-Est et à Hong Kong de suspendre la vente des appareils jusqu'à ce que les enquêteurs aient vérifié les canaux de distribution concernés.
Les régions restreintes incluent l'Indonésie, Singapour, la Thaïlande, les Philippines, le Vietnam, la Malaisie et Hong Kong.
Un revendeur en Asie du Sud-Est, CryptoBilis, a précédemment été associé à des cas confirmés impliquant la manipulation d'appareils.
Après la signalement de pertes de fonds par des clients, l'entreprise a suspendu la vente de portefeuilles matériels.
Les rapports précédents sur l'enquête concernant le portefeuille CryptoBilis ont documenté la découverte par Ledger d'un composant non autorisé ainsi que sa réponse initiale aux plaintes des clients.
Après avoir reçu des rapports impliquant d'autres lieux, Ledger a ensuite élargi les mesures préventives au-delà de ce revendeur.
En Allemagne, MediaMarkt Saturn a cessé de vendre les appareils Ledger via ses magasins physiques et sa plateforme en ligne après qu'un appareil client ait été signalé comme contenant un logiciel malveillant.
Ledger indique que l'affaire allemande n'a pas entraîné de perte confirmée des fonds clients.
Cet événement a également entraîné la suspension séparée des ventes de portefeuilles Ledger en Allemagne, tandis que l'entreprise examine les appareils et enquête sur les faits.
Dans la mise à jour du 15 octobre, Ledger a indiqué que les enquêteurs avaient acheté des appareils dans des magasins de différents marchés, notamment en Allemagne, et les avaient démontés pour une inspection physique.
L'entreprise a également vérifié des échantillons d'entrepôt et filtré une partie de son stock propre.
Ledger a déclaré que les échantillons examinés lors de ces contrôles n'ont pas révélé de composants non autorisés.
Cependant, l'entreprise n'a pas divulgué le nombre d'appareils vérifiés, donc le nombre total d'appareils potentiellement concernés n'est pas encore confirmé.
Ledger a décrit cet événement comme une « attaque par distribution partielle » et a maintenu que son système de fabrication n'était pas la cause de cette faille.
L'enquête n'a pas encore déterminé avec précision où chaque appareil affecté a été modifié.
Ledger introduit de nouvelles règles pour les détaillants de portefeuilles matériels
Dans le cadre des mesures de réponse, Ledger a demandé aux détaillants autorisés de modifier la manière dont les portefeuilles matériels sont stockés et vendus.
Les détaillants doivent cesser d'exposer les appareils Ledger sur des étagères et des comptoirs. Au contraire, ils doivent stocker les produits dans des zones d'entreposage et ne les remettre aux clients qu'au moment de l'achat.
L'entreprise indique que ces exigences sont immédiatement en vigueur afin de réduire les possibilités d'accès non autorisé aux appareils.
Ledger rappelle également aux revendeurs autorisés que les appareils retournés ne doivent jamais être revendus, même si l'emballage semble non ouvert ou le produit semble inutilisé.
Cette règle existait déjà, mais Ledger a demandé aux distributeurs de l'appliquer sans exception.
Les détaillants doivent informer immédiatement le fabricant lorsqu'un client signale un produit anormal ou un matériel suspect.
Alors que l'enquête se poursuit, l'entreprise renforce la supervision de son réseau de distributeurs autorisés.
Ledger indique que son équipe de sécurité a mené la plus grande enquête interne de l'histoire de l'entreprise, impliquant plusieurs départements.
Des experts de Ledger Donjon ont démonté l'implant récupéré et analysé son fonctionnement pour déterminer comment les attaquants ont collecté la phrase de récupération.
Le fabricant a collaboré avec des chercheurs en sécurité et des partenaires de l'industrie pendant l'enquête, notamment SEAL_911.
Ledger indique que l'équipe collabore avec les autorités judiciaires pour suivre les fonds volés et identifier l'infrastructure utilisée pour collecter les informations d'accès aux portefeuilles.
La société n'a pas divulgué d'arrestations pertinentes, de charges pénales formelles ou de récupération de fonds.
Ledger indique qu'il prévoit de publier davantage d'informations techniques une fois que les enquêteurs pourront divulguer les résultats en toute sécurité.
Ledger prévoit de renforcer la protection contre la modification des portefeuilles
Outre les restrictions de vente actuelles, Ledger développe des mesures de sécurité supplémentaires visant à rendre les altérations physiques plus difficiles.
The company has not yet provided technical specifications, affected product models, or a timeline for implementing these protections.
Ledger indique qu'il partage les résultats avec d'autres fabricants et vendeurs de portefeuilles matériels afin qu'ils examinent les risques similaires dans leurs propres produits.
Le fabricant avait précédemment averti les clients ayant acheté des appareils via CryptoBilis de ne pas initialiser l'appareil avant de contacter le support officiel.
Pour les clients ayant déjà utilisé un portefeuille susceptible d'être affecté, l'entreprise recommande de transférer leurs cryptomonnaies vers un appareil fiable et de générer une nouvelle phrase de récupération.
Si l'attaquant a déjà obtenu l'ancienne phrase de récupération, restaurer cette ancienne phrase sur un nouvel appareil ne garantit pas la sécurité de vos fonds.
Les conseils de sécurité de Ledger rappellent aux utilisateurs de ne jamais révéler leur phrase de récupération à quiconque prétend représenter le service client.
L'entreprise souligne que ses employés ne demanderont jamais de phrase de récupération par message, téléphone ou site web.
Dans l'annonce du 15 octobre, Ledger a reconnu que l'enquête est toujours en cours et que d'autres travaux de sécurité restent à accomplir.
The manufacturer reaffirms that it will release further details about the attack and the methods used by the criminals once the investigation permits disclosure.