Ledger a demandé à un revendeur d’Asie du Sud-Est de suspendre la vente de ses cold wallets le temps qu’il enquête sur des signalements d’utilisateurs ayant perdu des fonds. Cette initiative a lieu environ une heure après que des enquêteurs on-chain aient estimé les pertes suspectées via Ledger à plus de 86 millions de dollars.
Ledger n’a pas confirmé ce montant ni indiqué si des appareils avaient été trafiqués. Son avertissement ne concerne que les acheteurs récents auprès d’un seul revendeur en Asie du Sud-Est.
Ce que Ledger a dit aux acheteurs d’appareils CryptoBilis
Un cold wallet est un petit appareil qui conserve hors ligne les clés secrètes associées à la crypto d’un utilisateur. Ledger est l’un des fabricants les plus connus dans ce domaine.
Vendredi, le support de Ledger a désigné le vendeur concerné sous le nom de CryptoBilis. Cette boutique malaisienne, fondée en 2020, vend des produits liés à la crypto ainsi que des appareils Ledger. Elle opère également en Indonésie et aux Philippines.
Ledger a demandé à toute personne ayant acheté dans cette boutique au cours des 90 derniers jours de ne pas initialiser l’appareil. Les acheteurs l’ayant déjà fait se sont vu conseiller de transférer leurs fonds vers un nouvel appareil muni d’une nouvelle phrase de récupération. Une phrase de récupération est la sauvegarde de 24 mots permettant de contrôler un wallet.
« Par précaution, et dans l’attente des résultats de notre enquête, nous avons demandé à CryptoBilis de suspendre toutes les ventes et expéditions d’appareils Ledger », a indiqué le support Ledger dans un post.
D’où vient le chiffre de 86 millions de dollars
Le montant des pertes a été avancé par Specter, un enquêteur on-chain qui analyse les données publiques des blockchains. Specter affirme avoir suivi les fonds issus de centaines de wallets victimes, sur Ethereum, TRON et Bitcoin.
Les registres publics sur mempool indiquent que trois adresses Bitcoin listées par Specter détiennent environ 211 BTC au total. Aucun mouvement n’avait été observé à 13h44 UTC vendredi.
Ledger n’a pas validé le chiffre de 86 millions de dollars. L’entreprise n’a pas non plus expliqué la façon dont les fonds ont quitté les wallets des utilisateurs.
Une deuxième alerte sur les cold wallets depuis août
Des appareils trafiqués vendus en dehors des boutiques officielles représentent un risque bien connu. En avril, un chercheur a découvert de faux appareils Ledger sur une place de marché chinoise, qui transmettaient les codes PIN et phrases de récupération à des attaquants.
Par ailleurs, en août, un bug sur le firmware d’un appareil Coldcard a coûté environ 70 millions de dollars à des détenteurs de Bitcoin. Coldcard est un concurrent des cold wallets Ledger.
Ledger a indiqué qu’il partagerait de nouveaux éléments au fur et à mesure de l’avancée de son enquête. La question de savoir si les appareils CryptoBilis ont été altérés avant d’arriver chez les clients reste sans réponse.
