Une société de sécurité spécialisée en intelligence artificielle (IA) a rendu publique une faille de l’application Ledger Ethereum. Ledger affirme avoir déjà corrigé la vulnérabilité discrètement, deux semaines auparavant.
Le directeur technique Charles Guillemet a qualifié cette divulgation d’alarmiste. Le correctif a été déployé le 12 août, accompagné d’une simple ligne de note et sans bulletin de sécurité.
Ce que faisait réellement la faille de l’application Ledger Ethereum
Ledger vend une promesse centrale : l’écran vous montre ce que vous signez. Cette promesse porte un nom. Ledger l’appelle le clear signing, et cela consiste à convertir le code brut de la transaction en mots simples affichés à l’écran du dispositif.
TestMachine affirme avoir trouvé un moyen de contourner ce principe. La société développe un agent IA appelé Azimuth, qui détecte des hacks dans les smart contracts. Sur son propre benchmark EVMBench, Azimuth repère 86,3 % des bugs connus avec environ 2,7 % de faux positifs.
Voici la faille en termes simples : un site web malveillant pouvait envoyer une seconde commande à l’appareil pendant que vous lisiez encore la première.
Le canal entre le navigateur et l’appareil s’appelle l’Application Protocol Data Unit, ou APDU. Il continuait d’écouter pendant la vérification. Il acceptait donc l’échange.
Vous lisiez un petit transfert à l’écran. Puis vous validiez. Et en réalité, vous signiez une approbation illimitée de jetons à un inconnu.
C’est ce dernier point qui importe. Chainalysis a retracé environ 1 milliard de dollars en crypto volés par hameçonnage d’approbation (phishing) depuis mai 2021. Ces victimes avaient approuvé les transactions elles-mêmes.
TestMachine affirme avoir confirmé la faille sur un Ledger Flex. Ledger a vendu plus de 7 millions d’appareils dans 180 pays.
L’équipe Donjon de Ledger affirme avoir identifié la faille en premier
Guillemet renverse la chronologie. Donjon est l’équipe interne de hacking de Ledger. Il affirme que la faille a été détectée grâce à leurs propres outils IA et que le correctif a été publié en premier.
Le changelog public confirme la date : la version 1.22.2 est sortie le 12 août. Toute la note de sécurité se résume à « Security issues ».
Donjon a publié 22 bulletins de sécurité numérotés (bulletins). Aucun ne traite de cette faille. Le dernier, daté du 4 juin, porte sur un problème de récupération de clé Monero.
Ce silence a laissé un vide dans lequel TestMachine s’est engouffrée. Ledger a colmaté la brèche sans jamais dire à ses clients ce qui avait été corrigé.
La critique la plus acérée de Guillemet concerne les bonnes pratiques. Il explique que TestMachine n’a contacté le programme de bug bounty qu’après la sortie du patch, sans jamais échanger avec l’équipe dédiée.
« …Ensuite, ils ont publié un thread laissant entendre que le problème n’est pas résolu. Ce n’est pas le cas. Ce n’est pas de la recherche en sécurité. C’est créer de la peur pour attirer l’attention », a commenté Charles Guillemet, CTO de Ledger (source).
Suivez-nous sur X pour recevoir toute l’actualité en temps réel
TestMachine a salué la rapidité du correctif et refusé la récompense. Ledger verse ses bug bounties en Bitcoin, pour un montant défini au cas par cas.
L’IA a découvert la faille deux fois, mais les humains se sont affrontés
Les deux parties ont utilisé le machine learning pour identifier le même défaut. C’est ce point qu’il faut retenir.
Ledger a déjà mis cet argument en avant. Depuis plusieurs mois, ses dirigeants affirment que les attaques par IA menacent les wallets davantage que du matériel défaillant.
Guillemet insiste, quant à lui, sur la discipline.
« La recherche à la vitesse de l’IA ne rend l’écosystème plus sûr que si ceux qui la pratiquent continuent de respecter les principes fondamentaux de sécurité. Divulguer de façon responsable. Vérifier avant de publier. Ne pas confondre le bruit avec une découverte. »
Ce genre d’affrontement est courant : des sociétés de sécurité communiquent bruyamment après avoir hacké un wallet Trezor, ou lorsque des chercheurs de CertiK ont affronté Kraken sur les conditions de divulgation en 2024.
La faille aussi est familière. En janvier 2021, Donjon avait révélé que cette même application Ethereum ne montrait pas les données de transaction pour les actifs non pris en charge. Même application, même leçon : ce que vous voyiez n’était pas ce que vous signiez.
Désormais, l’IA fait remonter ces bugs en quelques heures. Les fournisseurs et les chercheurs, eux, restent contraints au rythme humain. C’est dans ce décalage que ce débat s’enracine.
Pour les propriétaires, la correction est simple : ouvrez Ledger Live, mettez à jour l’application Ethereum et vérifiez que la version affichée est bien la 1.22.2.
