Quelqu’un a emporté environ 91 millions de dollars en une seule fois. 203 BTC ont été transférés vers deux adresses dans le même bloc, et durant la même heure, environ 58 millions de dollars en USDT sur la blockchain Tron ont également été déplacés. L’argent provenait d’un lot de portefeuilles matériels Ledger ; les phrases de récupération avaient déjà été envoyées le jour où les utilisateurs ont allumé leurs appareils. Quelqu’un a démonté un Ledger acheté en Malaisie et a découvert une petite carte supplémentaire sous l’écran, équipée d’un eSIM. @MagicalTux a publié les photos du démontage le 8 octobre. Cette carte contient un module LTE, qui reste inactif en temps normal, mais surveille constamment l’écran. Dès que vous allumez l’appareil, activez-le et saisissez un par un les 24 mots de récupération, ces mots sont transmis via le réseau mobile. Le vérificateur d’authenticité intégré à Ledger Live ne détecte rien : le puce Ledger à l’intérieur est authentique, mais les éléments malveillants se trouvent sous l’écran. J’ai agrandi ces photos pendant longtemps ; les points de soudure sont trop réguliers pour être le fait d’un atelier artisanal. En Malaisie, il existe une boutique de portefeuilles matériels appelée CryptoBilis. Depuis au moins 2022, le site officiel de Ledger la liste comme revendeur autorisé en Malaisie, en Indonésie et aux Philippines. Une boutique sérieuse, qui vend des produits authentiques et exerce son activité depuis plusieurs années. Mais en mars de cette année, l’équipe fondatrice a vendu l’ensemble de l’entreprise. La transaction incluait un accord de confidentialité interdisant aux anciens actionnaires de révéler le changement de propriété avant le 19 octobre. En août, les registres commerciaux ne mentionnaient plus qu’un seul actionnaire détenant 100 % des parts, du nom de Jiaming, avec un adresse enregistrée dans la province du Heilongjiang. La boutique continue d’opérer, le site web est toujours en ligne, le nom de domaine n’a pas changé, et l’affichage « Revendeur agréé Ledger » reste en place. L’ancien cofondateur a plus tard déclaré que l’ancienne équipe n’avait même plus accès à l’arrière-plan de l’entreprise. Ensuite est arrivé le post de démontage du 8 octobre, avec 120 000 vues. 22 heures après la publication du post, la personne détenant ces phrases de récupération a effectué tous les transferts. Environ sept heures après les transferts, Ledger a annoncé qu’il enquêtait et a demandé à CryptoBilis d’interrompre les ventes et les expéditions. Hier, Ledger a confirmé que les appareils des utilisateurs victimes contenaient effectivement un matériel non autorisé. À ce jour, personne n’a officiellement lié les nouveaux actionnaires aux appareils modifiés, et Ledger n’a pas expliqué comment ces cartes ont été intégrées aux appareils. Mais la voie est claire : pas besoin de pirater la puce de sécurité ni de déchiffrer le firmware ; il suffit d’acheter une marque déjà autorisée, d’utiliser la réputation accumulée pendant trois ans par quelqu’un d’autre pour expédier les produits, de faire en sorte que l’appareil communique lui-même avec l’extérieur, puis de vider les fonds dès qu’un post de démontage apparaît. Le label « Revendeur agréé » était autrefois associé à l’équipe qui a ouvert cette boutique en 2022. L’entreprise a changé de propriétaire en mars, mais le label est resté en place — et jusqu’à aujourd’hui, personne n’a réexaminé qui en était désormais le détenteur.
